Container Service for Kubernetes：[Perubahan produk] Perubahan alamat IP untuk komunikasi internal dalam mode ENI eksklusif Terway

Pahami perubahan dan dampaknya

Saat Anda memutakhirkan plugin Terway ke versi 1.16.3 atau yang lebih baru, alamat IP sumber untuk komunikasi antara node dalam mode ENI eksklusif dan Pod-nya (yang dibuat setelah pemutakhiran) berubah sebagai berikut:

Referensi mode ENI eksklusif: Konfigurasikan mode jaringan ENI eksklusif untuk kelompok node.

• Untuk versi sebelum 1.16.3: Antarmuka veth node menggunakan alamat link-lokal tetap 169.254.1.1.

• Untuk versi 1.16.3 dan yang lebih baru: Saat sebuah node berkomunikasi dengan Pod, node tersebut tidak lagi menggunakan alamat IP tetap. Sebagai gantinya, node menggunakan IP node, yaitu Alamat IP pribadi node tersebut di dalam Virtual Private Cloud (VPC).

Nilai risiko

Perubahan alamat IP ini dapat memengaruhi beban kerja di kluster Anda sebagai berikut:

• Kegagalan kontrol akses tingkat kontainer: Jika aplikasi atau Pod Anda hanya mengizinkan daftar putih alamat IP sumber 169.254.1.1 (misalnya, dalam logika aplikasi, file konfigurasi, atau aturan iptables tingkat kontainer), permintaan dari node akan ditolak setelah pemutakhiran. Akibatnya, fitur yang bergantung pada komunikasi node-ke-Pod—seperti pemeriksaan kesehatan (pemeriksaan kelangsungan hidup dan pemeriksaan kesiapan) serta pengumpulan metrik pemantauan—akan gagal. Hal ini dapat menyebabkan restart Pod secara berkala atau gangguan layanan.

• Anomali dalam analisis log dan audit: Alamat IP sumber dari node yang tercatat dalam log aplikasi Pod tidak lagi berupa 169.254.1.1. Akibatnya, skrip analisis log, peringatan pemantauan, atau audit apa pun yang dirancang untuk mencocokkan alamat IP spesifik 169.254.1.1 akan gagal.

Lakukan tindakan yang diperlukan

Sebelum memutakhirkan plugin Terway, lakukan pemeriksaan dan pembaruan berikut:

1. Tinjau dan perbarui aturan kontrol akses. Jika kontainer Anda menggunakan daftar putih yang hanya mengizinkan lalu lintas dari 169.254.1.1, perluas daftar putih tersebut agar mencakup Blok CIDR seluruh kelompok node yang menggunakan mode ENI eksklusif. Hal ini diperlukan karena IP node spesifik dapat bervariasi.

2. Uji dan verifikasi perubahan. Pertama, lakukan pemutakhiran Terway di Lingkungan pengujian untuk memverifikasi bahwa konektivitas node-ke-Pod berfungsi sebagaimana mestinya. Misalnya, gunakan perintah ping pada node untuk menjangkau alamat IP Pod. Setelah memvalidasi perubahan tersebut, lanjutkan pemutakhiran di lingkungan produksi Anda.