kubernetes - Kubernetes Worker Node 应该有公共(public) IP 吗？

Question

我正在计划一个 kubernetes 集群(将在公共(public)云基础设施上创建)。一个重要的问题:工作节点是否应该暴露在互联网上(具有公共(public)IP)？我想他们不应该，但我想知道最好的做法是什么。谢谢。

Answer 1

从安全角度来看，尽可能限制公共(public)可访问节点的数量总是明智的，并且有多种方法可以实现这一点。

最常见和最简单的方法是您可以将工作节点放置在云提供商的 LB 解决方案后面。负载均衡器可公开访问，但您的节点则无法访问。

如果您不能或不想使用提供商的 LB，您还可以将一些工作节点分配为可公开访问的边缘路由器，这些节点将运行 ingress pods 。然后，入口充当您的私有(private)工作节点的 LB。但是，理想情况下，边缘路由器节点应仅运行入口 Pod，以便更好地将主容器基础设施与可公开访问的节点隔离(这可以通过 labels 进行配置)。