玩转kubernetes中Pod挂载公网IP

本文涉及的产品
容器镜像服务 ACR,镜像仓库100个 不限时长
简介: 本文主要描述如何给kubernetes中的Pod挂载公网IP

起因

在很多业务场景里,是需要kubernetes里的Pod去调用某些公网上服务的(无论这些公网服务是自建的还是其它服务提供商的)。但是通常Pod都是通过主机上SNAT的方式做出口,这样容易被误认为是某种信息抓取程序或者是类似DDoS攻击,从而容易被封闭对应的主机IP。

另外有些服务只是对某种服务提供接入,需要设置白名单,但是kuberentes集群里又跑了多种服务,这些服务都是通过主机的SNAT出去,从而比较难限定对应的服务的白名单。如果将对应的服务固定在某几个worker节点上虽然也是一个办法,但是其灵活度以及容器弹性将收到一定的限制。

是否可以提供一个方式,让对应的服务的Pod根据需要来挂载自己独立的公网IP,从而避免上述问题呢?答案是可以的,这个就是我们kubernetes容器服务中特有的网络插件Terway的一个很好的特性。

提前条件

  • 通过阿里云kubernetes容器服务来构建集群,并且在高级选项中选择对应的网络插件为Terway
    image
  • 构建集群时,worker的规格选择非共享型的ECS(这里需要注意的是,不同规格的ECS能支持的弹性网卡的个数是有限,具体限制可以咨询阿里云服务)

设置主机弹性网卡

创建弹性网卡

要使用Terway的方式,必须先给对应的ECS挂载对应的弹性网卡。可以在ECS->网络与安全->弹性网卡的页面中创建新的弹性网卡
image

这里必须选择和kubernetes集群相同的vpc, vswtich, 安全组。
这里其实还可以达到一个目的,就是给这个弹性网卡固定一个内网IP。

绑定弹性网卡ENI

创建成功后,可以在界面上绑定该网卡到对应的kuberentes的worker节点上。现在给ECS绑定弹性网卡已经可以动态加载了,无需重启机器。

重复上述两个步骤来给对应的worker节点挂载多个弹性网卡

给弹性网卡挂载公网IP

ECS->>网络与安全->弹性公网IP,创建EIP,然后挂载到对应的弹性网卡上。注意这里必须选择“普通模式”

Snip20180917_402

创建Pod并使用对应的弹性网卡

参考
https://help.aliyun.com/document_detail/97511.html?spm=a2c4g.11174283.6.660.15372ceeh3F1y5
如何判定这个Pod是通过弹性网卡还是通过主机的SNAT出去的呢?我们可以进入容器去访问外网,看看对应的IP是谁的IP就知道了。

#curl ifconfig.me

通过访问这个url,得到的返回信息就是出口的IP地址。从中可以知道我们是通过弹性网卡的EIP出去的

Pod是否可以直接对外提供服务呢?

Pod已经具备了公网IP,那么其是否可以直接提供对外服务呢?答案也是可以的。方法也很简单,具体如下。不过从安全以及维护性的考虑不建议这样做。以下只是一种验证网络互通性:

方案非常简单:给弹性网卡对应的安全组开放对应的端口,例如开放8000端口

image

然后我们进入容器,以python最简单的方式起个http服务来验证

python -m SimpleHTTPServer 8000

然后直接通过这个Pod挂载的弹性网卡的EIP来访问它就可

小结

从上述配置过程,可以提供了kubernetes集群的Pod挂载公网IP的可行的方式,从而拓展了kubernetes的应用场景。

后续我们将继续增强对于弹性网卡的控制,例如可以在Pod指定使用那块弹性网卡等,如果您对于这个还有任何需求以及好的建议,可以通过工单的形式反馈给我们容器团队

相关实践学习
容器服务Serverless版ACK Serverless 快速入门:在线魔方应用部署和监控
通过本实验,您将了解到容器服务Serverless版ACK Serverless 的基本产品能力,即可以实现快速部署一个在线魔方应用,并借助阿里云容器服务成熟的产品生态,实现在线应用的企业级监控,提升应用稳定性。
云原生实践公开课
课程大纲 开篇:如何学习并实践云原生技术 基础篇: 5 步上手 Kubernetes 进阶篇:生产环境下的 K8s 实践 相关的阿里云产品:容器服务 ACK 容器服务 Kubernetes 版(简称 ACK)提供高性能可伸缩的容器应用管理能力,支持企业级容器化应用的全生命周期管理。整合阿里云虚拟化、存储、网络和安全能力,打造云端最佳容器化应用运行环境。 了解产品详情: https://www.aliyun.com/product/kubernetes
目录
相关文章
|
2月前
|
Kubernetes 监控 调度
Kubernetes Pod调度:从基础到高级实战技巧
Kubernetes Pod调度:从基础到高级实战技巧
71 0
|
2月前
|
Kubernetes 监控 调度
|
4天前
|
Kubernetes API Python
|
9天前
|
Kubernetes 调度 容器
百度搜索:蓝易云【k8s的同一个pod中的容器会分配到不同的物理机上吗】
总结来说,同一个Pod中的容器通常会被调度到同一个节点上运行,共享同一个物理机资源。但在一些特殊情况下,它们也有可能分散到不同的节点上运行,这取决于集群的调度策略和容器的亲和性设置。 买CN2云服务器,免备案服务器,高防服务器,就选蓝易云。百度搜索:蓝易云
83 0
|
24天前
|
Kubernetes 应用服务中间件 nginx
K8S Pod Sidecar 应用场景之一 - 加入 NGINX Sidecar 做反代和 web 服务器
K8S Pod Sidecar 应用场景之一 - 加入 NGINX Sidecar 做反代和 web 服务器
|
2月前
|
存储 Kubernetes 数据库
K8S POD控制器:从基础到高级实战技巧
K8S POD控制器:从基础到高级实战技巧
97 1
|
2月前
|
存储 Kubernetes 安全
Kubernetes Pod配置:从基础到高级实战技巧
Kubernetes Pod配置:从基础到高级实战技巧
66 0
|
2月前
|
弹性计算 Kubernetes Perl
Kubernetes Horizontal Pod Autoscaler 和 Vertical Pod Autoscaler 介绍
Kubernetes Horizontal Pod Autoscaler 和 Vertical Pod Autoscaler 介绍
34 0
|
2月前
|
存储 Kubernetes 网络协议
Kubernetes Pod 介绍
Kubernetes Pod 介绍
|
3月前
|
Kubernetes Perl 容器
已解决: k8s 想删除某个pod 找不到文件了
已解决: k8s 想删除某个pod 找不到文件了

相关产品

  • 容器服务Kubernetes版
  • 推荐镜像

    更多