etcd - 跨多个数据中心使用 etcd 是否安全？

Question

跨多个数据中心使用 etcd 是否安全？因为它将 etcd 端口暴露给公共(public)互联网。
在这种情况下我是否必须使用客户端证书或 etcd 有某种身份验证？

Answer 1

是的，但是您需要解决两个大问题:

安全。这一切都取决于您在 etcd 中存储的信息类型。使用点对点 VPN 可能比将整个集群暴露在互联网上更受欢迎。也可以使用客户端证书。

调音。 etcd 依赖于机器之间的复制来实现两件事，即活跃性和共识。由于在成功返回之前必须将成功的写入提交到集群的大部分区域，因此您的写入性能将随着机器之间距离的增加而降低。活跃度是通过机器之间的周期性心跳来衡量的。默认情况下，etcd 有一个相当激进的 50 毫秒心跳超时，它针对在本地网络上运行的裸机服务器进行了优化。如果不调整这个超时值，你的集群会一直认为成员已经消失并触发频繁的主选举。如果您的两个环境都位于具有可变网络以及遍历网络的磁盘写入的云提供商上，情况会变得更糟，这是双重打击。

有关 etcd 调优的更多信息: https://etcd.io/docs/latest/tuning/