La configuración varía según el plugin de red (Terway o Flannel), el tipo de pila de IP y el destino.
Antes de empezar
Si un pod no alcanza su destino, compruebe primero estas tres áreas.
Resolución de DNS
Los pods resuelven los nombres de host de destino mediante el DNS del clúster antes de que las políticas de red surtan efecto. Si la resolución falla, consulte primero troubleshoot DNS errors.
Políticas de red
Compruebe si alguna NetworkPolicy en el namespace del pod bloquea el tráfico saliente. De ser así, actualice la política para permitir el tráfico obligatorio. Consulte Use network policies in ACK clusters.
Security groups
Los security groups se aplican en el nivel de nodo en las instancias de Elastic Compute Service (ECS) que alojan sus pods. Compruebe tanto los security groups del clúster como los de la instancia de ECS:
Una regla de salida permite el tráfico desde el pod hacia la dirección y el puerto de destino.
Ninguna regla de salida bloquea el tráfico hacia la dirección y el puerto de destino.
Acceso a Internet
Clústeres de pila única IPv4
Los pods en un clúster de pila única IPv4 usan direcciones IPv4 privadas y solo pueden alcanzar destinos públicos IPv4. Habilite el acceso saliente al asociar una Elastic IP Address (EIP) con el pod o configurar un NAT gateway.
La configuración difiere según el plugin de red:
|
Método de acceso a Internet |
Terway |
Flannel |
|
NAT gateway |
La regla SNAT debe cubrir la dirección IP del pod. La IP pública del pod es la EIP del NAT gateway. |
La regla SNAT debe cubrir la dirección IP del nodo. La IP pública del pod es la EIP del NAT gateway. |
|
EIP |
Asocie una EIP directamente con el pod. Consulte Associate an exclusive EIP with a pod. |
Asocie una EIP con el nodo de ECS que aloja el pod. La IP pública del pod es la EIP del nodo. Consulte Asociar o desasociar una EIP. |
Para configurar un NAT gateway con cualquiera de los plugins, consulte Enable an existing ACK cluster to access the internet.
Clústeres de doble pila
Los pods de doble pila tienen direcciones IPv4 privadas e IPv6 públicas, pero IPv6 no cuenta con ancho de banda público de forma predeterminada. Para habilitar el acceso a Internet mediante IPv6, consulte Allocate IPv6 internet bandwidth to a pod.
Acceso a recursos en una VPC
Cuando un pod accede a recursos de Virtual Private Cloud (VPC), como instancias de ECS, instancias de Server Load Balancer (SLB), buckets de OSS o bases de datos de ApsaraDB RDS, la IP de origen que percibe el destino depende del plugin de red:
Terway: la IP de origen es la dirección IP del pod.
Flannel: la IP de origen es la dirección IP del nodo de ECS.
Si el destino tiene reglas de control de acceso —como reglas de security group, reglas de Access Control List (ACL) o listas blancas de IP— que bloquean la IP de origen, agregue la dirección IP correspondiente a la lista de permitidos:
Para clústeres Terway: agregue la dirección IP del pod.
Para clústeres Flannel: agregue la dirección IP del nodo de ECS.
Automatice la configuración de listas de permitidos en los servicios de Alibaba Cloud con ack-kubernetes-webhook-injector. Consulte Dynamically configure a pod whitelist for an Alibaba Cloud service.
Acceso a un servicio LoadBalancer dentro del clúster
Cuando un pod accede a una instancia de SLB que está al frente de un servicio LoadBalancer en el mismo clúster, ACK enruta el tráfico directamente al pod de backend y omite la instancia de SLB.
Excepción: los clústeres que ejecutan Terway 1.1.0 o versiones anteriores en modo IPVLAN + eBPF enrutan el tráfico a través de la IP de la instancia de SLB. A partir de Terway 1.2.0, los clústeres nuevos admiten balanceo de carga intraclúster; los clústeres actualizados no lo admiten.
Consulte How do I enable load balancing within a cluster in Terway IPVLAN mode?.