👨‍❤️‍💋‍👨 🗳️ 🤛🏾 कैलिको के साथ नेटवर्क नीतियों को समझना 💕 🤙🏿 ⏭️

कैलिको नेटवर्क प्लगइन हार्डवेयर, वर्चुअल मशीन और पॉड्स पर होस्ट की सुरक्षा के लिए एकीकृत सिंटैक्स के साथ नेटवर्क नीतियों की एक विस्तृत श्रृंखला प्रदान करता है। इन नीतियों को नामस्थान के भीतर लागू किया जा सकता है या होस्ट एंडपॉइंट पर लागू होने वाली वैश्विक नेटवर्क नीतियां हो सकती हैं (सीधे होस्ट पर चल रहे एप्लिकेशन को बचाने के लिए - सर्वर या वर्चुअल मशीन सीधे होस्ट हो सकती है) या एंडपॉन्ड लोड करने के लिए(कंटेनरों या वर्चुअल मशीन में चलने वाले एप्लिकेशन की सुरक्षा के लिए)। कैलिको नीतियां आपको पैकेज पथ में विभिन्न बिंदुओं के लिए सुरक्षा उपायों को लागू करने की अनुमति देती हैं, जैसे कि पहले से तैयार, अनट्रेक्ड और अप्रोइंटवर्ड जैसे मापदंडों का उपयोग करते हुए। यह समझना कि ये विकल्प कैसे काम करते हैं, एक पूरे के रूप में सिस्टम की सुरक्षा और प्रदर्शन को बेहतर बनाने में मदद कर सकते हैं। यह आलेख इन कैलिको नीति सेटिंग्स (प्रीटीडीएटी, अनरैक्ड, और लागूऑनफोर्वर्ड) का सार बताता है कि पैकेट प्रोसेसिंग पथ (आईपीटैबल्स चेन) में क्या होता है, इस पर जोर देने के साथ, एंडपॉइंट्स को लागू किया जाता है।

यह आलेख मानता है कि आपके पास कुबरनेट और कैलिको नेटवर्क नीतियों के काम करने की समझ है। यदि नहीं, तो हम अनुशंसा करते हैं कि आप इस लेख को पढ़ने से पहले कैलिको का उपयोग करके बुनियादी नेटवर्क नीति ट्यूटोरियल और होस्ट प्रोटेक्शन ट्यूटोरियल की कोशिश करें। हम यह भी उम्मीद करते हैं कि आपको लिनक्स पर iptables की बुनियादी समझ होगी ।

कैलिको वैश्विक नेटवर्क नीतिआपको लेबल एक्सेस नियमों का एक सेट लागू करने की अनुमति देता है (समूहों और वर्कलोड / पॉड्स को होस्ट करने के लिए)। यह बहुत उपयोगी है यदि आप एक साथ विषम प्रणालियों का उपयोग करते हैं - आभासी मशीनें, एक सिस्टम सीधे हार्डवेयर पर, या कुबेरनेज़री अवसंरचना। इसके अलावा, आप घोषित नीतियों के एक सेट का उपयोग करके अपने क्लस्टर (नोड्स) की सुरक्षा कर सकते हैं और आने वाली ट्रैफ़िक के लिए नेटवर्क नीतियां लागू कर सकते हैं (उदाहरण के लिए, NodePorts सेवा या बाहरी IP के माध्यम से)।

एक मौलिक स्तर पर, जब कैलिको एक पॉड को एक नेटवर्क से जोड़ता है (नीचे आरेख देखें), यह एक वर्चुअल ईथरनेट (वीथ) इंटरफ़ेस का उपयोग करके इसे होस्ट से जोड़ता है। पॉड द्वारा भेजा गया ट्रैफ़िक इस वर्चुअल इंटरफ़ेस से होस्ट पर आता है और इसे संसाधित किया जाता है जैसे कि यह किसी भौतिक नेटवर्क इंटरफ़ेस से आया हो। डिफ़ॉल्ट रूप से, कैलिको इन इंटरफेस को कॉलिएक्सएक्सएक्सएक्स कहता है। चूंकि ट्रैफ़िक वर्चुअल इंटरफ़ेस के माध्यम से आता है, यह iptables के माध्यम से जाता है, जैसे कि पॉड एक हॉप की दूरी पर था। इसलिए, जब पॉड से ट्रैफ़िक आता है / आता है, तो इसे होस्ट के दृष्टिकोण से अग्रेषित किया जाता है।

कुबेरनेट्स नोड पर जहां कैलिको चल रहा है, आप वर्चुअल इंटरफ़ेस (वेथ) को निम्नानुसार कार्यभार के लिए मैप कर सकते हैं। नीचे दिए गए उदाहरण में, आप देख सकते हैं कि veth # 10 (calic1cbf1ca0f8) कैलीक्स-मॉनिटरिंग नेमस्पेस में cnx-manager- * से जुड़ा है।

[centos@ip-172-31-31-46 K8S]$ sudo ip a
...
10: calic1cbf1ca0f8@if4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1440 qdisc noqueue state UP group default
    link/ether ee:ee:ee:ee:ee:ee brd ff:ff:ff:ff:ff:ff link-netnsid 5
    inet6 fe80::ecee:eeff:feee:eeee/64 scope link
       valid_lft forever preferred_lft forever
...

[centos@ip-172-31-31-46 K8S]$ calicoctl get wep --all-namespaces
...
calico-monitoring cnx-manager-8f778bd66-lz45m                            ip-172-31-31-46.ec2.internal 192.168.103.134/32
calic1cbf1ca0f8
...

यह देखते हुए कि कैलिको प्रत्येक कार्यभार के लिए एक वीथ इंटरफ़ेस बनाता है, यह नीतियों को कैसे लागू करता है? ऐसा करने के लिए, कैलिको iptables का उपयोग करके पैकेज प्रोसेसिंग पथ की विभिन्न श्रृंखलाओं में हुक बनाता है।

नीचे दिए गए आरेख में iptables (या नेटफिल्टर सबसिस्टम) में प्रसंस्करण पैकेट में शामिल जंजीरों को दिखाया गया है। जब एक पैकेट एक नेटवर्क इंटरफेस के माध्यम से आता है, तो यह पहले PREROUTING श्रृंखला के माध्यम से जाता है। फिर एक रूटिंग निर्णय किया जाता है, और इसके आधार पर, पैकेट INPUT (मेजबान प्रक्रियाओं के लिए निर्देशित) या FORWARD (नेटवर्क पर पॉड या किसी अन्य नोड के लिए निर्देशित) से गुजरता है। स्थानीय प्रक्रिया से, पैकेट OUTPUT श्रृंखला से गुजरता है और फिर केबल पर भेजने से पहले POSTROUTING होता है।

ध्यान दें कि फली भी एक बाहरी वस्तु (वीथ से जुड़ा) है, जो कि iptables से निपटने के मामले में है। संक्षेप में:

अग्रेषित ट्रैफ़िक (नेट, पॉड से / से रूट किया गया) PREROUTING - FORWARD - POSTROUTING चेन से होकर गुजरता है।
स्थानीय होस्ट प्रक्रिया में आवागमन PREROUTING - INPUT श्रृंखला से होकर जाता है।
स्थानीय होस्ट प्रक्रिया से आवागमन OUTPUT - पोस्टिंग श्रृंखला से होकर जाता है।

कैलिको सभी श्रृंखलाओं के लिए नीतियों को लागू करने के लिए नीति विकल्प प्रदान करता है। इसे ध्यान में रखते हुए, आइए कैलिको में उपलब्ध विभिन्न पॉलिसी सेटिंग्स को देखें। नीचे दिए गए विकल्प सूची में संख्याएं ऊपर दिए गए आरेख में संख्याओं के अनुरूप हैं।

कार्यभार समापन बिंदु (पॉड) नीति
होस्ट एंडपॉइंट पॉलिसी
ApplyOnForward विकल्प
प्रेडनेट नीति
अनट्रैक पॉलिसी

आइए यह देखने के लिए शुरू करें कि कार्यबल एंडपॉइंट्स (कुबेरनेट्स या ओपनस्टैक वीएम पॉड्स) पर नीतियां कैसे लागू होती हैं, और फिर होस्ट एंडपॉइंट्स के लिए नीति विकल्प देखें।

कार्यभार समापन बिंदु

कार्यभार समापन बिंदु नीति (1)

यह आपकी कुबेरनेट्स फली की रक्षा करने का एक विकल्प है। केलिको कुबरनेट्स नेटवर्कपॉलिश के साथ काम करने का समर्थन करता है, लेकिन यह अतिरिक्त नीतियां भी प्रदान करता है - केलिको नेटवर्कपॉलिसि और ग्लोबलन नेटवर्क्सपॉली। केलिको प्रत्येक पॉड (वर्कलोड) के लिए एक चेन बनाता है और INPUT और OUTPUT चेन्स को वर्कलोड चेन के फिल्टर टेबल को वर्कलोड के लिए हुक करता है।

मेजबान समापन बिंदु

होस्ट एंडपॉइंट पॉलिसी (2)

CNI (कंटेनर नेटवर्क इंटरफ़ेस) के अलावा, कैलिको नीतियां मेजबान को सीधे सुरक्षा प्रदान करने की क्षमता प्रदान करती हैं। कैलिको में, आप होस्ट इंटरफ़ेस के संयोजन को निर्दिष्ट करके एक मेजबान समापन बिंदु बना सकते हैं और यदि आवश्यक हो, तो पोर्ट नंबर। इस इकाई के लिए नीतियों का अनुप्रयोग INPUT और OUTPUT श्रृंखला में फ़िल्टर तालिका का उपयोग करके प्राप्त किया जाता है। जैसा कि आरेख से देखा जा सकता है, (2) वे नोड / होस्ट पर स्थानीय प्रक्रियाओं पर लागू होते हैं। यही है, यदि आपने एक पॉलिसी बनाई है जो होस्ट एंडपॉइंट पर लागू होती है, तो यह आपके पॉड्स से / के लिए जाने वाले ट्रैफ़िक को प्रभावित नहीं करेगी। लेकिन यह कैलिको नीतियों का उपयोग करते हुए अपने मेजबान और पॉड्स के लिए यातायात को अवरुद्ध करने के लिए एक एकल इंटरफ़ेस / सिंटैक्स प्रदान करता है। यह एक विषम नेटवर्क के लिए नीतियों के प्रबंधन की प्रक्रिया को सरल करता है। क्लस्टर सुरक्षा बढ़ाने के लिए होस्ट एंडपॉइंट नीतियों को कॉन्फ़िगर करना एक अन्य महत्वपूर्ण उपयोग मामला है।

लागू नीति (3)

ApplyOnForward विकल्प, कैलिको वैश्विक नेटवर्क नीति में उपलब्ध है जो होस्ट एंडपॉइंट के माध्यम से गुजरने वाले सभी ट्रैफ़िक को लागू करने के लिए नीतियों को सक्षम करने के लिए है, जिसमें ट्रैफ़िक होस्ट द्वारा अग्रेषित किया जाएगा। इस ट्रैफ़िक में एक स्थानीय पॉड या कहीं और नेटवर्क पर भेजा जाना शामिल है। केलिको को यह सेटिंग उन नीतियों के लिए सक्षम करने की आवश्यकता है जो PreDNAT और अनट्रैक का उपयोग करते हैं, निम्न अनुभाग देखें। इसके अलावा, वर्चुअल राउटर या सॉफ्टवेयर NAT का उपयोग करते समय ApplyOnForward होस्ट ट्रैफ़िक को ट्रैक करने के लिए उपयोग किया जा सकता है।

ध्यान दें कि यदि आपको होस्ट प्रक्रियाओं और पॉड दोनों के लिए समान नेटवर्क नीति लागू करने की आवश्यकता है, तो आपको ApplyOnFreward विकल्प का उपयोग करने की आवश्यकता नहीं है। आपको बस वांछित hostendpoint और कार्यभार समापन बिंदु (पॉड) के लिए एक लेबल बनाने की आवश्यकता है। लेबल-आधारित नीतियों को लागू करने के लिए केलिको काफी स्मार्ट है, भले ही एंडपॉइंट (होस्टेंडपॉइंट या वर्कलोड) के प्रकार की परवाह किए बिना।

पूर्ववर्ती नीति (4)

कुबेरनेट्स में, क्लस्टर एंट्री या बाहरी आईपी विकल्पों के माध्यम से घोषित करके, NodePorts विकल्प या वैकल्पिक रूप से (कैलिको का उपयोग करते समय) का उपयोग करके सेवा इकाई के बंदरगाहों को आगे की ओर बढ़ाया जा सकता है। क्यूब-प्रॉक्सी डीएनएटी का उपयोग करके संबंधित सेवा के पॉड्स में सेवा के लिए आने वाले यातायात को संतुलित करता है। इसे देखते हुए, आप NodePorts के माध्यम से आने वाली ट्रैफ़िक पर नीतियों को कैसे लागू करते हैं? DNAT द्वारा संसाधित किए जाने से पहले इन नीतियों को लागू करने के लिए (जो मेजबान: पोर्ट और संबंधित सेवा के बीच एक मैपिंग है), कैलिको ग्लोबलनेटवर्कपॉलीसिटी के लिए एक पैरामीटर प्रदान करता है जिसे "प्रीडेनेट: ट्रू" कहा जाता है।

जब प्री-डीएनएटी सक्षम होता है, तो इन नीतियों को (4) आरेख में - PREROUTING श्रृंखला के मैनल तालिका में - DNAT से ठीक पहले लागू किया जाता है। सामान्य आदेश नीति का सम्मान यहां नहीं किया जाता है, क्योंकि इन नीतियों का आवेदन प्रसंस्करण यातायात के मार्ग के साथ बहुत पहले होता है। हालांकि, प्रीएनडीएटी नीतियां अपने बीच आवेदन के आदेश का सम्मान करती हैं।

प्री-डीएनएटी के साथ नीतियां बनाते समय, उस ट्रैफ़िक के बारे में ध्यान रखना ज़रूरी है जिसे आप संसाधित करना चाहते हैं और सबसे अस्वीकार करने की अनुमति देते हैं। प्री-डीएनएटी पॉलिसी में 'अनुमति' के रूप में चिह्नित ट्रैफिक को अब होस्टेंडपॉइंट पॉलिसी द्वारा चेक नहीं किया जाएगा, जबकि ट्रैफिक जब प्री-डीएनएटी पॉलिसी फेल हो जाएगी तो बाकी चैनल्स से होकर गुजरती रहेगी।
केलिको ने प्रीएनडिएट का उपयोग करते समय applyOnForward विकल्प को सक्षम करना अनिवार्य कर दिया, क्योंकि परिभाषा के अनुसार यातायात का गंतव्य अभी तक चयनित नहीं हुआ है। ट्रैफ़िक को होस्ट प्रक्रिया के लिए निर्देशित किया जा सकता है, या इसे पॉड या किसी अन्य नोड पर पुनर्निर्देशित किया जा सकता है।

अनट्रैक पॉलिसी (5)

नेटवर्क और एप्लिकेशन के व्यवहार में बड़े अंतर हो सकते हैं। कुछ चरम मामलों में, आवेदन कई अल्पकालिक कनेक्शन उत्पन्न कर सकते हैं। इससे कॉनट्रैक (लिनक्स नेटवर्क स्टैक का मुख्य घटक) के लिए मेमोरी की कमी हो सकती है। परंपरागत रूप से, लिनक्स पर इस प्रकार के एप्लिकेशन को चलाने के लिए, आपको मैन्युअल रूप से कंवर्ट को कॉन्फ़िगर या डिसेबल करना होगा, या कॉनट्रैप को बाईपास करने के लिए iptables नियम लिखना होगा। यदि आप संभव के रूप में जल्दी से कनेक्शन प्रक्रिया करना चाहते हैं, तो कैलिको में अनट्रैक पॉलिसी एक सरल और अधिक कुशल विकल्प है। उदाहरण के लिए, यदि आप डीडीओएस के खिलाफ सुरक्षा के एक अतिरिक्त उपाय के रूप में या बड़े पैमाने पर मेमकेच का उपयोग करते हैं । इस ब्लॉग पोस्ट (या हमारे अनुवाद) को पढ़ें

) अनधिकृत नीति का उपयोग करते हुए प्रदर्शन परीक्षण सहित अधिक जानकारी के लिए।

जब आप Calico GlobalNetworkPolicy के लिए "doNotTrack: true" विकल्प सेट करते हैं, तो यह ** अनट्रैक ** पॉलिसी बन जाती है और इसे लिनक्स पैकेज प्रोसेसिंग पाइपलाइन के बहुत शुरुआती चरण में लागू किया जाता है। यदि आप ऊपर दिए गए आरेख को देखते हैं, तो कनेक्शन ट्रैकिंग (कॉनट्रैक) शुरू होने से पहले कच्ची तालिका में PREROUTING और OUTPUT चेन में अनट्रैक पॉलिसी लागू की जाती हैं। जब एक पैकेज को अनट्रैक पॉलिसी द्वारा अनुमति दी जाती है, तो इस पैकेज के लिए कनेक्शन ट्रैकिंग को अक्षम करने के लिए इसे ध्वजांकित किया जाता है। इसका मतलब:

प्रत्येक पैकेज के लिए एक अनट्रैक पॉलिसी लागू की जाती है। कनेक्शन (या स्ट्रीम) की कोई अवधारणा नहीं है। कनेक्शन का अभाव कई महत्वपूर्ण परिणाम देता है:
, , , ( Calico conntrack, ).
untracked workload Kubernetes (pod’), pod’.
NAT ( NAT conntrack).
« » untracked- . , , untracked- ( ).
पैकेट प्रसंस्करण पाइपलाइन की शुरुआत में ही अनट्रैक पॉलिसी लागू की जाती हैं। कैलिको नीतियां बनाते समय यह समझना बहुत महत्वपूर्ण है। आपके पास ऑर्डर के साथ पॉड के लिए पॉलिसी हो सकती है: 1 और ऑर्डर के साथ अनट्रैक पॉलिसी: 1000। इससे कोई फर्क नहीं पड़ेगा। पॉड के लिए पॉलिसी से पहले अनट्रैक पॉलिसी लागू की जाएगी। अनियंत्रित नीतियां केवल आपस में निष्पादन के आदेश का सम्मान करती हैं।

क्योंकि doNotTrack पॉलिसी का एक लक्ष्य लिनक्स पैकेज प्रोसेसिंग पाइपलाइन के बहुत प्रारंभिक चरण में पॉलिसी को लागू करना है, Calico doNotTrack का उपयोग करते समय applyOnForward विकल्प को निर्दिष्ट करना अनिवार्य बनाता है। पैकेट प्रसंस्करण आरेख का उल्लेख करते हुए, ध्यान दें कि किसी भी रूटिंग निर्णयों से पहले अनट्रैकड (5) नीति लागू की जाती है। ट्रैफ़िक को होस्ट प्रक्रिया के लिए निर्देशित किया जा सकता है, या इसे पॉड या किसी अन्य नोड पर पुनर्निर्देशित किया जा सकता है।

सारांश

हमने कैलिको में विभिन्न नीति विकल्पों (होस्ट एंडपॉइंट, अप्लाईऑनवर्ड, प्रीएनडिएट, और अनट्रैकड) को देखा और कैसे वे पैकेट प्रोसेसिंग पर लागू होते हैं। उनके काम के सार को समझने से प्रभावी और सुरक्षित नीतियों को विकसित करने में मदद मिलती है। कैलिको के साथ, आप वैश्विक नेटवर्क नीति का उपयोग कर सकते हैं, जो लेबल (नोड्स और पॉड्स का एक समूह) पर लागू होता है और विभिन्न मापदंडों पर नीतियां लागू करता है। यह सुरक्षा और नेटवर्क डिजाइन विशेषज्ञों को कैलिको नीतियों के साथ समान नीति भाषा का उपयोग करके तुरंत "सब कुछ" (समापन बिंदु प्रकार) की रक्षा करने की अनुमति देता है।

आभार: मैं शॉन क्रैम्पटन और एलेक्स पोलिट को उनकी समीक्षा और बहुमूल्य जानकारी के लिए धन्यवाद देना चाहूंगा ।

कैलिको के साथ नेटवर्क नीतियों को समझना