- html - 出于某种原因,IE8 对我的 Sass 文件中继承的 html5 CSS 不友好?
- JMeter 在响应断言中使用 span 标签的问题
- html - 在 :hover and :active? 上具有不同效果的 CSS 动画
- html - 相对于居中的 html 内容固定的 CSS 重复背景?
我最近在 AWS 中为我公司的新项目设置了一个 EKS 集群。在我进入我的问题之前,这里是我的设置的一些信息。节点组中有两个节点(目前)具有自动缩放功能。起初,我在私有(private)子网中创建了节点,因为我认为它更安全。但是我的主管告诉我,我们需要能够直接通过 SSH 连接到节点,所以我在公共(public)子网中重新创建了节点,以便我们可以使用公钥通过 SSH 连接到节点。
我们有两个 CMS 实例位于 AWS(例如 aws.example.com)和 DigitalOcean(例如 do.example.com)中,其中包含一些数据。当 EKS 集群中的容器启动时,其中一些容器将需要使用 url aws.example.com 或 do.example.com 访问 AWS 中的实例。如果 EKS 中的容器无法访问实例,容器仍会运行,但其中的应用程序不会。因此,我需要将两个 CMS 实例上所有 EKS 节点的公共(public) IP 列入白名单,以便应用程序正常工作。并且有效。
我在我的 EKS 集群中使用入口。当我创建入口对象时,AWS 为我创建了一个应用程序负载均衡器。所有入站流量都由 ALB 处理,这很棒。但问题来了。当创建更多容器时,自动扩展会在我的 EKS 集群中启动新节点(每次使用不同的公共(public) IP),然后我将不得不转到两个 CMS 实例以将新公共(public) IP 地址列入白名单。
那么,有没有什么办法可以让所有的节点都使用一个固定的IP地址进行出站流量呢?或者也可以将它们配置为使用入口创建的 ALB 来处理出站流量?或者我需要创建一个服务器来做到这一点?我现在很迷茫。
这是我尝试过的:创建集群时,它似乎也创建了一个私有(private)子网,即使我指定了要在公共(public)子网中创建的节点。有一个为私有(private)子网创建的 nat-gateway (ngw-xxxxxx),它带有一个弹性 IP(例如 1.2.3.4)。公共(public)子网的路由表如下:192.168.0.0/16 本地0.0.0.0/0 igw-xxxxxx
所以我想通过将 igw-xxxxxx 更改为 ngw-xxxxxx,所有出站流量都将使用 ngw-xxxxxx 并使用 IP 地址 1.2.3.4 将流量发送到外部世界,我只需要将 1.2.3.4 列入白名单在我的两个 CMS 实例上。但就在我应用更改后,所有容器都终止了,所有东西都停止工作了。
最佳答案
正如@Marcin 在上面的评论中提到的那样。您应该将您的 node-group
移动到 private subnet
。
正如文档所说:
Use a public subnet for resources that must be connected to the internet, and a private subnet for resources that won't be connected to the internet
私有(private)子网
的思想是禁止直接从互联网访问内部资源。
您可以在此处阅读 AWS 文档的重要部分:https://docs.aws.amazon.com/vpc/latest/userguide/how-it-works.html
对于私有(private)子网
,您需要在路由表
(阅读此处:https://docs.aws.amazon.com/vpc/latest/userguide/vpc-nat-gateway.html)中设置通过Nat 网关
的传出流量。
如果出于某些原因您需要在公共(public)子网
中使用您的集群,但它是BAD parctice,您可以这样做:
您可以通过 Nat Gateways
将流量从 public subnet
路由到特定服务器(您的 CMS)。
您的公共(public)子网路由表
可能如下所示:
W.X.Y.Z/32
是您的 CMS IP 地址。
此外,好的做法是分配一个 EIP
的 pool
并将它们附加到 NAT Gateway
以确保将来不会更改.
当您想要修改基础架构并创建更复杂的 Nat
(例如,您想要过滤第 7 层
上的流量)时,您可以创建高可用性 Nat 实例
,并将 IP 附加到 NAT 实例
而不是 NAT 网关
。
在那种情况下,您将避免邮寄一些第 3 方 API 来将您的新 IP 列入白名单。
关于amazon-web-services - EKS Kubernetes 出站流量,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/65593151/
core@core-1-94 ~ $ kubectl exec -it busybox -- nslookup kubernetesServer: 10.100.0.10Address 1: 1
我有一个节点错误地注册在集群 B 上,而它实际上为集群 A 服务。 这里“在集群 B 上注册”意味着我可以从 kubectl get node 看到节点来自集群 B。 我想从集群 B 中取消注册这个节
据我所知,Kubernetes 是一个用于部署和管理容器的编排框架。另一方面,Kubernetes Engine 负责集群的伸缩,以及管理容器镜像。 从上面看,它们似乎是同一件事或非常相似。从上面的定
我正在学习 Kubernetes 和 Docker,以启动一个简单的 Python 网络应用程序。我对上述所有技术都不熟悉。 下面是我计划的方法: 安装 Kubernetes。 在本地启动并运行集群。
我了解如何在 kubernetes 中设置就绪探测器,但是是否有任何关于在调用就绪探测器时微服务应实际检查哪些内容的最佳实践?两个具体例子: 一个面向数据库的微服务,如果没有有效的数据库连接,几乎所有
Kubernetes 调度程序是仅根据请求的资源和节点在服务器当前快照中的可用资源将 Pod 放置在节点上,还是同时考虑节点的历史资源利用率? 最佳答案 在官方Kubernetes documenta
我们有多个环境,如 dev、qa、prepod 等。我们有基于环境的命名空间。现在我们将服务命名为 environment 作为后缀。例如。, apiVersion: apps/v1
我有一个关于命名空间的问题,并寻求您的专业知识来消除我的疑虑。 我对命名空间的理解是,它们用于在团队和项目之间引入逻辑边界。 当然,我在某处读到命名空间可用于在同一集群中引入/定义不同的环境。 例如测
我知道角色用于授予用户或服务帐户在特定命名空间中执行操作的权限。 一个典型的角色定义可能是这样的 kind: Role apiVersion: rbac.authorization.k8s.io/v1
我正在学习 Kubernetes,目前正在深入研究高可用性,虽然我知道我可以使用本地(或远程)etcd 以及一组高可用性的控制平面(API 服务器、 Controller 、调度程序)来设置minio
两者之间有什么实际区别?我什么时候应该选择一个? 例如,如果我想让我的项目中的开发人员仅查看 pod 的日志。似乎可以通过 RoleBinding 为服务帐户或上下文分配这些权限。 最佳答案 什么是服
根据基于时间的计划执行容器或 Pod 的推荐方法是什么?例如,每天凌晨 2 点运行 10 分钟的任务。 在传统的 linux 服务器上,crontab 很容易工作,而且显然在容器内部仍然是可能的。然而
有人可以帮助我了解服务网格本身是否是一种入口,或者服务网格和入口之间是否有任何区别? 最佳答案 “入口”负责将流量路由到集群中(来自 Docs:管理对集群中服务的外部访问的 API 对象,通常是 HT
我是 kubernetes 集群的新手。我有一个简单的问题。 我在多个 kubernetes 集群中。 kubernetes 中似乎有多个集群可用。所以 kubernetes 中的“多集群”意味着:
我目前正在使用Deployments管理我的K8S集群中的Pod。 我的某些部署需要2个Pod /副本,一些部署需要3个Pod /副本,而有些部署只需要1个Pod /副本。我遇到的问题是只有一个 po
我看过官方文档:https://kubernetes.io/docs/tasks/setup-konnectivity/setup-konnectivity/但我还是没明白它的意思。 我有几个问题:
这里的任何人都有在 kubernetes 上进行批处理(例如 spring 批处理)的经验?这是个好主意吗?如果我们使用 kubernetes 自动缩放功能,如何防止批处理处理相同的数据?谢谢你。 最
我有一个具有 4 个节点和一个主节点的 Kubernetes 集群。我正在尝试在所有节点中运行 5 个 nginx pod。目前,调度程序有时在一台机器上运行所有 pod,有时在不同的机器上运行。 如
我在运行 Raspbian Stretch 的 Raspberry PI 3 上使用以下命令安装最新版本的 Kubernetes。 $ curl -s https://packages.cloud.g
container port 与 Kubernetes 容器中的 targetports 有何不同? 它们是否可以互换使用,如果可以,为什么? 我遇到了下面的代码片段,其中 containerPort
我是一名优秀的程序员,十分优秀!