开发者社区> 了哥-duff> 正文

玩转kubernetes中Pod挂载公网IP

简介: 本文主要描述如何给kubernetes中的Pod挂载公网IP
+关注继续查看

起因

在很多业务场景里,是需要kubernetes里的Pod去调用某些公网上服务的(无论这些公网服务是自建的还是其它服务提供商的)。但是通常Pod都是通过主机上SNAT的方式做出口,这样容易被误认为是某种信息抓取程序或者是类似DDoS攻击,从而容易被封闭对应的主机IP。

另外有些服务只是对某种服务提供接入,需要设置白名单,但是kuberentes集群里又跑了多种服务,这些服务都是通过主机的SNAT出去,从而比较难限定对应的服务的白名单。如果将对应的服务固定在某几个worker节点上虽然也是一个办法,但是其灵活度以及容器弹性将收到一定的限制。

是否可以提供一个方式,让对应的服务的Pod根据需要来挂载自己独立的公网IP,从而避免上述问题呢?答案是可以的,这个就是我们kubernetes容器服务中特有的网络插件Terway的一个很好的特性。

提前条件

  • 通过阿里云kubernetes容器服务来构建集群,并且在高级选项中选择对应的网络插件为Terway
    image
  • 构建集群时,worker的规格选择非共享型的ECS(这里需要注意的是,不同规格的ECS能支持的弹性网卡的个数是有限,具体限制可以咨询阿里云服务)

设置主机弹性网卡

创建弹性网卡

要使用Terway的方式,必须先给对应的ECS挂载对应的弹性网卡。可以在ECS->网络与安全->弹性网卡的页面中创建新的弹性网卡
image

这里必须选择和kubernetes集群相同的vpc, vswtich, 安全组。
这里其实还可以达到一个目的,就是给这个弹性网卡固定一个内网IP。

绑定弹性网卡ENI

创建成功后,可以在界面上绑定该网卡到对应的kuberentes的worker节点上。现在给ECS绑定弹性网卡已经可以动态加载了,无需重启机器。

重复上述两个步骤来给对应的worker节点挂载多个弹性网卡

给弹性网卡挂载公网IP

ECS->>网络与安全->弹性公网IP,创建EIP,然后挂载到对应的弹性网卡上。注意这里必须选择“普通模式”

Snip20180917_402

创建Pod并使用对应的弹性网卡

参考
https://help.aliyun.com/document_detail/97511.html?spm=a2c4g.11174283.6.660.15372ceeh3F1y5
如何判定这个Pod是通过弹性网卡还是通过主机的SNAT出去的呢?我们可以进入容器去访问外网,看看对应的IP是谁的IP就知道了。

#curl ifconfig.me

通过访问这个url,得到的返回信息就是出口的IP地址。从中可以知道我们是通过弹性网卡的EIP出去的

Pod是否可以直接对外提供服务呢?

Pod已经具备了公网IP,那么其是否可以直接提供对外服务呢?答案也是可以的。方法也很简单,具体如下。不过从安全以及维护性的考虑不建议这样做。以下只是一种验证网络互通性:

方案非常简单:给弹性网卡对应的安全组开放对应的端口,例如开放8000端口

image

然后我们进入容器,以python最简单的方式起个http服务来验证

python -m SimpleHTTPServer 8000

然后直接通过这个Pod挂载的弹性网卡的EIP来访问它就可

小结

从上述配置过程,可以提供了kubernetes集群的Pod挂载公网IP的可行的方式,从而拓展了kubernetes的应用场景。

后续我们将继续增强对于弹性网卡的控制,例如可以在Pod指定使用那块弹性网卡等,如果您对于这个还有任何需求以及好的建议,可以通过工单的形式反馈给我们容器团队

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
Kubernetes挂载常用资源
介绍下用k8s挂载一些常用的资源
2445 0
阿里云ECS云服务器初始化设置教程方法
阿里云ECS云服务器初始化是指将云服务器系统恢复到最初状态的过程,阿里云的服务器初始化是通过更换系统盘来实现的,是免费的,阿里云百科网分享服务器初始化教程: 服务器初始化教程方法 本文的服务器初始化是指将ECS云服务器系统恢复到最初状态,服务器中的数据也会被清空,所以初始化之前一定要先备份好。
14205 0
如何设置阿里云服务器安全组?阿里云安全组规则详细解说
阿里云安全组设置详细图文教程(收藏起来) 阿里云服务器安全组设置规则分享,阿里云服务器安全组如何放行端口设置教程。阿里云会要求客户设置安全组,如果不设置,阿里云会指定默认的安全组。那么,这个安全组是什么呢?顾名思义,就是为了服务器安全设置的。安全组其实就是一个虚拟的防火墙,可以让用户从端口、IP的维度来筛选对应服务器的访问者,从而形成一个云上的安全域。
18580 0
实现 Kubernetes 动态LocalVolume挂载本地磁盘
在 Kubernetes 体系中,存在大量的存储插件用于实现基于网络的存储系统挂载,比如NFS、GFS、Ceph和云厂商的云盘设备。但在某些用户的环境中,可能无法或没有必要搭建复杂的网络存储系统,需要一个更简单的存储方案。另外网络存储系统避免不了性能的损耗,然而对于一些分布式数据库,其在应用层已经实现了数据同步和冗余,在存储层只需要一个高性能的存储方案。 在这些情况下如何实现Kubernetes 应用的数据持久化呢?
417 0
阿里云服务器如何登录?阿里云服务器的三种登录方法
购买阿里云ECS云服务器后如何登录?场景不同,阿里云优惠总结大概有三种登录方式: 登录到ECS云服务器控制台 在ECS云服务器控制台用户可以更改密码、更换系.
27723 0
使用Logtail采集Kubernetes上挂载的NAS日志
采集k8s挂载Nas后的日志 该文档主要介绍使用logtail以两种不同的方式进行k8s挂载Nas后的日志采集。两种采集方式的实现原理是一样的,都是通过将Logtail和业务容器挂载到相同的NAS上,使Logtail和业务容器的日志数据共享,以此实现日志采集。
3637 0
阿里云服务器安全组设置内网互通的方法
虽然0.0.0.0/0使用非常方便,但是发现很多同学使用它来做内网互通,这是有安全风险的,实例有可能会在经典网络被内网IP访问到。下面介绍一下四种安全的内网互联设置方法。 购买前请先:领取阿里云幸运券,有很多优惠,可到下文中领取。
21933 0
阿里云服务器端口号设置
阿里云服务器初级使用者可能面临的问题之一. 使用tomcat或者其他服务器软件设置端口号后,比如 一些不是默认的, mysql的 3306, mssql的1433,有时候打不开网页, 原因是没有在ecs安全组去设置这个端口号. 解决: 点击ecs下网络和安全下的安全组 在弹出的安全组中,如果没有就新建安全组,然后点击配置规则 最后如上图点击添加...或快速创建.   have fun!  将编程看作是一门艺术,而不单单是个技术。
19980 0
+关注
了哥-duff
游走于产品与架构间,关注容器、Kubernetes,微服务,ServiceMesh
18
文章
0
问答
来源圈子
更多
容器服务 Kubernetes 版(简称 ACK)提供高性能可伸缩的容器应用管理能力,支持企业级 Kubernetes 容器化应用的全生命周期管理。容器服务 Kubernetes 版简化集群的搭建和扩容等工作,整合阿里云虚拟化、存储、网络和安全能力,打造云端最佳的 Kubernetes 容器化应用运行环境。
+ 订阅
相关文档: 容器镜像服务 ACR 容器服务 ACK 服务网格 ASM
文章排行榜
最热
最新
相关电子书
更多
JS零基础入门教程(上册)
立即下载
性能优化方法论
立即下载
手把手学习日志服务SLS,云启实验室实战指南
立即下载