Управление правилами файрвола для балансировщиков нагрузки

При публикации приложения через балансировщик нагрузки (LoadBalancer) может потребоваться открыть входящий трафик на один или несколько портов балансировщика с помощью правил файрвола.

С помощью этого руководства вы создадите несколько типов балансировщиков для тестового приложения, а также изучите автоматически созданные правила файрвола.

Чтобы узнать, как работают правила:

1. Подготовьте окружение для работы с кластером Managed Kubernetes.

2. Разверните тестовое приложение.

3. Создайте балансировщик нагрузки.

4. Убедитесь, что правила успешно созданы.

5. (опционально) Узнайте, как еще можно работать с правилами файрвола:

   1. Измените настройки правил для уже развернутого балансировщика.
   2. Создайте правила файрвола вручную.

1. Создайте кластер Managed Kubernetes с публичным эндпоинтом и группу узлов для него.

2. Создайте NAT-шлюз для подсети, в которой будет развернут кластер Managed Kubernetes.

3. Для прохождения руководства вам понадобится устройство, поддерживающее работу с командной строкой. Используйте личный компьютер или создайте промежуточную ВМ в той же сети, где расположен кластер Managed Kubernetes.

1. Подключитесь к терминалу на вашем компьютере или к промежуточной ВМ.

2. Установите и настройте утилиту MWS CLI:

   1. Установите утилиту.
   2. Инициализируйте профиль.

3. Установите утилиту командной строки kubectl.

4. Получите kubeconfig:

   1
   mws mk8s get-kubeconfig <имя кластера>

5. Убедитесь, что кластер доступен:

   1
   kubectl cluster-info

   Если конфигурация настроена правильно, вы получите такой ответ:

   1
   Kubernetes control plane is running at https://<IP-адрес кластера>
   2
   KubeDNS is running at https://<IP-адрес кластера>/api/v1/namespaces/kube-system/services/kube-dns:dns/proxy

1. Создайте файл nginx-deployment.yaml, содержащий манифест для развертывания тестового приложения:

   Содержимое файла

   1
   apiVersion: apps/v1
   2
   kind: Deployment
   3
   metadata:
   4
     name: nginx-deployment
   5
     labels:
   6
       app: nginx
   7
   spec:
   8
     replicas: 1
   9
     selector:
   10
       matchLabels:
   11
         app: nginx
   12
     template:
   13
       metadata:
   14
         labels:
   15
           app: nginx
   16
       spec:
   17
         containers:
   18
           - name: nginx
   19
             image: nginx:latest
   20
             ports:
   21
               - containerPort: 80
   22
             resources:
   23
               requests:
   24
                 memory: "64Mi"
   25
                 cpu: "250m"
   26
               limits:
   27
                 memory: "128Mi"
   28
                 cpu: "500m"
   29
   ---
   30
   apiVersion: v1
   31
   kind: Service
   32
   metadata:
   33
     name: nginx-service
   34
   spec:
   35
     selector:
   36
       app: nginx
   37
     ports:
   38
       - protocol: TCP
   39
         port: 80
   40
         targetPort: 80
   41
     type: ClusterIP

2. Примените манифест:

   1
   kubectl apply -f nginx-deployment.yaml

3. Убедитесь, что под приложения запущен и работает:

   1
   kubectl get pods -l app=nginx

   Ожидаемый результат:

   1
   NAME                               READY   STATUS    RESTARTS   AGE
   2
   nginx-deployment-dc7b9b9d6-ddd7v   1/1     Running   0          28m

Подготовьте манифест для балансировщика нагрузки. Выберите нужный вам вариант в зависимости от типа доступа: из внутренней сети или из интернета.

1. В веб-консоли выберите нужный проект.
2. В списке сервисов выберите VPC → Сети.
3. Выберите сеть, в которой расположен кластер Managed Kubernetes и перейдите на вкладку Правила firewall.

В открывшемся списке вы увидите новые правила для балансировщика, созданного на предыдущем шаге:

• правила, разрешающие доступ согласно настройкам балансировщика;
• правило HealthCheck.

Вы можете изменить набор правил для балансировщика с помощью утилиты kubectl, например добавить новый диапазон IP-адресов. После внесения изменений правила файрвола будут обновлены автоматически.

• Чтобы изменить список разрешенных IP-адресов для внешнего балансировщика:

  1
  kubectl patch svc lb-external \
  2
    -n default \
  3
    --type merge \
  4
    -p '{"spec":{"loadBalancerSourceRanges":["8.8.8.8/32","178.248.238.27/32"]}}'

• Чтобы разрешить доступ со всех IP-адресов:

  1
  kubectl patch svc lb-external \
  2
    -n default \
  3
    --type merge \
  4
    -p '{"spec":{"loadBalancerSourceRanges":["0.0.0.0/0"]}}'

• Чтобы отредактировать манифест балансировщика и изменить список правил вручную:

  1
  kubectl edit svc lb-external -n default

При необходимости вы можете создать правила файрвола вручную. Такие правила не будут актуализироваться автоматически при обновлении кластера или сервиса.

1. В веб-консоли выберите нужный проект.

2. В списке сервисов выберите VPC → Сети.

3. Выберите сеть, в которой расположен кластер Managed Kubernetes.

4. Перейдите на вкладку Правила firewall и нажмите кнопку Создать правило.

5. Укажите параметры правила:

   • Направление трафика, для которого будет применяться правило, — Ingress.
   • Действие в рамках правила — Allow.
   • Приоритет правила — 1000.
   • Источник трафика — IP-адреса или подсети, трафик из которых будет разрешать правило. Чтобы разрешить доступ с любых адресов в интернете, укажите 0.0.0.0/0.
   • Назначение трафика — один или несколько внутренних IP-адресов узлов кластера Managed Kubernetes в формате <внутренний IP-адрес узла>/32. Узнать внутренние IP-адреса узлов можно с помощью команды kubectl get node -o wide, поле INTERNAL-IP.
   • Протокол и порт — TCP:80.

6. Включите опцию Активировать правило после сохранения.

7. Нажмите кнопку Создать.

Ресурсы, созданные в руководстве, тарифицируются. Если вы больше не планируете использовать их:

1. Удалите кластер Managed Kubernetes.
2. Если вы создавали виртуальную машину, удалите ее.
3. Удалите NAT-шлюз.