Best Practice, um Service in Kubernetes mit Calico anzuzeigen

Question

Nachdem ich einen kubernetes-Cluster mit Calico für die One-IP-pro-pod-Vernetzung eingerichtet habe, frage ich mich, wie es am besten ist, Dienste der Außenwelt zugänglich zu machen.

IMHO Ich habe zwei Optionen hier, BGP'ing die internen pod IP's (172 ...) zu einem Edge Router/Firewall (Vyos in meinem Fall) und tun ein SNAT auf der Firewall/Router. Aber dann müsste ich eine öffentliche IP pro Pod zur Verfügung stellen.

Pro: weniger öffentliche IP-Adressen müssen verwendet werden Con: Pod-Änderungen müssen aktualisierte Firewall-Regeln ?!

Oder 2nd: Nehmen Sie das zur Verfügung gestellte öffentliche Netzwerk und übergeben Sie es an Calico als IP-Pool für die Pods verwendet werden. Con: viele öffentliche IPs verschwendet für interne Dienste, die nicht mit dem Internet ausgesetzt werden

Hoffe jemand könnte mich aufklären oder mich in die richtige Richtung zeigen.

Danke!

Answer 1

Calico bietet keine spezielle Möglichkeit, Dienste in Kubernetes verfügbar zu machen. Sie sollten Standard-Kubernetes-Dienste, Knotenports und Ähnliches verwenden, um Ihre Dienste verfügbar zu machen. In der Zukunft wird Calico möglicherweise einige der Funktionen anbieten, die Kube-Proxy derzeit für Kubernetes bietet (z. B. das Aufdecken von Service-IPs), aber im Moment passt Calico nur auf die Low-Level-Netzwerk-API-Ebene. Calicos echte Stärke in der Kubernetes-Integration ist die Möglichkeit, Netzwerksicherheitsrichtlinien mithilfe der neuen Netzwerk-API von Kubernetes zu definieren.

Quelle: Ich bin einer der wichtigsten Entwickler von Calico.