Egress Gateway

Обзор #

Страница Egress Gateway содержит список Cilium Egress Gateway Policies, созданных в кластере. Ресурс Cilium Egress Gateway Policy определяет способ маршрутизации и доступа во внешнюю сеть из подов с предсказуемым IP-адресом или интерфейсом. Поскольку у подов постоянно меняются IP-адреса, Cilium Egress Gateway Policy может быть полезен в случаях, когда для трафика требуется известный исходный IP-адрес или интерфейс.

На странице Egress Gateway можно создать, отредактировать, удалить или просмотреть ранее созданные Egress Gateway.

Создание Egress Gateway #

Для добавления нового ресурса нажмите + Добавить Egress Gateway.

На открывшейся странице заполните сведения:

• Имя Egress Gateway.
• IP-адрес — используется для SNAT (преобразования сетевых адресов) трафика. Нельзя одновременно указать IP-адрес и сетевой интерфейс.
• Интерфейс — вместо IP-адреса можно указать сетевой интерфейс, который будет использоваться для исходящего трафика, например eth1.
• Список целевых CIDRs (destinationCIDRs) — пункты назначения, куда из подов будет направлен трафик. По умолчанию установлено 0.0.0.0/0.
• Список исключаемых CIDR (excludedCIDRs) — можно задать один или несколько исключаемых CIDRs.
• Неймспейс — выберите неймспейс, чтобы определить поды для исходящего трафика. После выбора неймспейса в таблице Список подов отобразится перечень потенциальных подов. При необходимости нажмите + Добавить неймспейс для подов из разных неймспейсов. Это может потребоваться, когда приложение развёрнуто в нескольких экземплярах в нескольких неймспейсах одного кластера и для них требуется назначить единый IP-адрес исходящего трафика.
• Селектор подов — при необходимости задайте совпадающие лейблы для определения потенциальных подов выбранного неймспейса.

Обратите внимание! селектор лейблов работает по принципу объединения. У выбираемого объекта должны быть все указанные лейблы.

Чтобы определить Worker-узел кластера в качестве узла шлюза (gateway), задайте в разделе Селектор узлов одно или несколько условий:

• Лейблы — нажмите + и укажите ключ лейбла, при необходимости значение.
• Совпадающие выражения — нажмите +, выберите ключ и оператор:
  • In — будут выбраны узлы с совпадающим ключом и заданным значением;
  • NotIn — не выбираются узлы с совпадающим ключом и заданным значением;
  • Exists — будут выбраны узлы с совпадающим ключом, значение указывать не требуется;
  • DoesNotExist — не выбираются узлы с совпадающим ключом, значение указывать не требуется.

Если заданному набору условий соответствует несколько Worker-узлов, будет использован первый узел в лексическом порядке. Нажмите Сохранить, чтобы завершить создание Egress Gateway.

Созданный ресурс будет отображаться в списке на странице Egress Gateway.

Особенности настройки Egress Gateway #

• При указании IP-адреса исходящий трафик будет выходить через указанный IP-адрес с Worker-узла.
• При указании сетевого интерфейса трафик проходит через этот интерфейс одного из выбранных в селекторе узлов. Если на выбранном узле указанный интерфейс недоступен, исходящий трафик будет запрещён.
• Если в селекторе узлов не нашлось ни одного Worker-узла, исходящий трафик будет запрещён.
• Если в селекторе узлов выбран только 1 Worker-узел и он недоступен, исходящий трафик будет запрещён.
• Если не указывать напрямую сетевой интерфейс или IP-адрес, на одном из Worker-узлов кластера будет использован первый IPv4, назначенный интерфейсу с маршрутом по умолчанию.

Просмотр и изменение Egress Gateway #

Для просмотра нажмите на строку Egress Gateway в списке.

Страница просмотра содержит вкладки Egress Gateway и Манифест.

При необходимости изменения Egress Gateway можно обновить:

• IP-адрес;
• сетевой интерфейс;
• список целевых CIDRs (destinationCIDRs);
• список исключаемых CIDR (excludedCIDRs);
• перечень неймспейсов, трафик подов которых будет выходить в соответствии с настройкой Egress Gateway.

По завершении внесения изменений нажмите Сохранить.

Также Egress Gateway можно изменить с помощью YAML-манифеста. Для этого перейдите на вкладку Манифест, измените манифест и выполните проверку. Результат проверки будет доступен в правой части экрана. Раскройте блок результата проверки, чтобы увидеть полный манифест. Если валидация формата манифеста не пройдена, проверка манифеста недоступна.

Сохраните изменения, внесённые в манифест. Несохранённые данные не будут применены.

Чтобы удалить Egress Gateway, нажмите действие удаления в строке объекта на странице Egress Gateway или перейдите на страницу просмотра и нажмите Удалить на вкладке Egress Gateway или Манифест, затем подтвердите действие.