Cloud Network Well-architected Design Guidelines：Desain jaringan pengiriman aplikasi untuk ACK

Ringkasan

Topik ini menjelaskan cara merancang ingress jaringan untuk kluster Kubernetes, terutama dalam hal merancang komponen Service dan Ingress. Dalam konfigurasi jaringan, efisiensi dan keamanan akses antara layanan di dalam kluster serta akses eksternal sangat penting. Pemahaman dan implementasi yang tepat dari prinsip desain komponen Service dan Ingress tidak hanya meningkatkan ketersediaan aplikasi tetapi juga memperbaiki performa dan stabilitas sistem secara keseluruhan.

Istilah

Kubernetes: Kubernetes adalah mesin orkestrasi kontainer sumber terbuka yang mengotomatiskan penyebaran, penskalaan, dan manajemen aplikasi berbasis kontainer. Proyek ini dikelola oleh Cloud Native Computing Foundation (CNCF).

Container Service for Kubernetes (ACK): ACK adalah salah satu layanan pertama yang berpartisipasi dalam Program Sertifikasi Konformitas Kubernetes di dunia. ACK menyediakan layanan manajemen aplikasi berbasis kontainer berperforma tinggi untuk membantu perusahaan mengelola siklus hidup aplikasi berbasis kontainer dan menyebar aplikasi secara efisien di cloud.

Service: Di dalam Kubernetes, Service adalah abstraksi yang membantu Anda mengekspos pod atau sekelompok pod melalui jaringan. Service mengidentifikasi kelompok pod berdasarkan pemilih label dan mengelola distribusi lalu lintas di antara pod berdasarkan tipe Service seperti ClusterIP, NodePort, LoadBalancer, atau ExternalName. Service menggunakan protokol TCP secara default, namun mendukung protokol lain yang didukung. Service utamanya digunakan untuk memproses lalu lintas timur-barat.

Ingress: Ingress membuat layanan HTTP atau HTTPS tersedia dengan mekanisme konfigurasi yang memahami konsep web seperti URI, nama host, jalur, dan lainnya. Ingress memetakan lalu lintas ke backend berbeda berdasarkan aturan yang ditentukan menggunakan API Kubernetes. Fitur Ingress mencakup penyeimbangan beban, terminasi SSL, dan hosting virtual berbasis nama. Sebuah kontroler Ingress bertanggung jawab untuk memenuhi Ingress, biasanya dengan load balancer, meskipun kontroler Ingress juga dapat mengonfigurasi edge router atau frontend tambahan untuk menangani lalu lintas. Ingress utamanya digunakan untuk memproses lalu lintas utara-selatan.

Plugin Container Network Interface (CNI): Plugin CNI bertanggung jawab atas implementasi jaringan kontainer. Plugin CNI yang digunakan menentukan bagaimana alamat IP dialokasikan ke pod, apakah menggunakan overlay network, bagaimana meneruskan lalu lintas dalam kluster, dan bagaimana mengelola akses ke pod. Plugin CNI open source populer termasuk Calico, Flannel, dan Cilium. ACK menyediakan plugin CNI berikut: Terway dan Flannel. Bagian berikut menjelaskan fitur yang disediakan oleh Terway dan Flannel. Untuk informasi lebih lanjut tentang cara memilih antara Terway dan Flannel saat membuat kluster ACK, lihat topik Perbandingan antara Terway dan Flannel.

Terway: Terway adalah plugin CNI yang dikembangkan oleh Alibaba Cloud. Instance Elastic Compute Service (ECS) dalam kluster ACK menggunakan elastic network interfaces (ENI) untuk mengaktifkan komunikasi jaringan. Terway menetapkan ENI pada node ke pod untuk membangun koneksi jaringan antar pod. Pod dalam kluster yang menggunakan plugin Terway terhubung ke virtual private cloud (VPC) tempat kluster tersebut berada. Mode Terway meningkatkan efisiensi komunikasi karena tidak memerlukan teknologi tunneling seperti Virtual Extensible Local Area Network (VXLAN). Terway cocok untuk kluster besar dengan persyaratan tinggi pada performa jaringan dan kontrol akses.

Flannel: Flannel adalah plugin CNI open source. Flannel menggunakan teknologi virtualisasi jaringan seperti VXLAN untuk membangun overlay network untuk pod. Flannel mudah dikonfigurasi dan digunakan. Dibandingkan dengan Terway, Flannel memiliki kemampuan performa jaringan dan kontrol akses yang lebih lemah karena tidak memerlukan NAT gateway. Selain itu, Flannel tidak mendukung kluster besar. Flannel cocok untuk kluster dengan tidak lebih dari 1.000 node. Jika Anda memiliki persyaratan rendah pada performa jaringan dan kontrol akses, atau ingin dengan cepat membuat dan menggunakan kluster, kami sarankan menggunakan plugin Flannel.

Network Load Balancer (NLB): NLB adalah layanan penyeimbangan beban Lapisan 4 yang dirancang untuk era Internet of Everything (IoE). NLB menawarkan performa ultra-tinggi dan dapat secara otomatis menskalakan sesuai permintaan. Sebuah instance NLB mendukung hingga 100 juta koneksi bersamaan, ideal untuk layanan yang memerlukan konkurensi tinggi.

Application Load Balancer (ALB): ALB adalah layanan Alibaba Cloud yang beroperasi pada lapisan aplikasi dan dioptimalkan untuk menyeimbangkan lalu lintas melalui HTTP, HTTPS, dan Quick UDP Internet Connections (QUIC). ALB sangat elastis dan dapat memproses volume besar lalu lintas Lapisan 7 sesuai permintaan. ALB mendukung routing kompleks, terintegrasi dengan layanan cloud-native lainnya, dan dirancang sebagai gateway Ingress cloud-native dari Alibaba Cloud.

Elastic IP Address (EIP): EIP adalah alamat IP publik yang dapat dibeli dan dimiliki sebagai sumber daya independen. Anda dapat mengaitkan EIP dengan instance ECS dalam virtual private cloud (VPC), ENI sekunder, instance Server Load Balancer (SLB), gateway NAT, dan alamat IP virtual dengan ketersediaan tinggi (HAVIP).

Keandalan tinggi.

• Penyebaran Multi-Region/Multi-Zona:

  • Service: Sebarkan Service di beberapa zona untuk memastikan bahwa kegagalan satu zona tidak mempengaruhi ketersediaan keseluruhan.

  • Ingress: Konfigurasikan kontroler Ingress untuk mendukung penyebaran multi-region atau multi-zona. Kelangsungan layanan dan ketersediaan tinggi dapat dipertahankan bahkan jika salah satu zona gagal.

• Pemeriksaan Kesehatan dan Failover:

  • Service: Gunakan fitur pemeriksaan kesehatan bawaan Kubernetes untuk memantau status pod dan secara otomatis menghapus pod yang tidak sehat.

  • Ingress: Gunakan fitur pemeriksaan kesehatan kontroler Ingress untuk secara berkala memeriksa status kesehatan layanan backend dan secara otomatis mengalihkan lalu lintas dari node yang tidak sehat ke node yang sehat.

Skalabilitas

• Penskalaan Horizontal Detail Halus:

  • Service: Service mendukung penskalaan horizontal detail halus berdasarkan zona.

  • Ingress: Konfigurasikan kebijakan routing kompleks untuk Ingress untuk mendistribusikan lalu lintas berdasarkan persyaratan bisnis, seperti jalur dan nama host.

Performa dan elastisitas

• Manajemen Lalu Lintas Dinamis dan Penskalaan Otomatis:

  • Service dan Ingress: Integrasikan Service dan Ingress dengan kebijakan manajemen lalu lintas cerdas, seperti manajemen sesi dan round-robin berbobot, untuk mengoptimalkan performa sistem dan meningkatkan pengalaman pengguna. Selain itu, konfigurasikan kebijakan penskalaan otomatis untuk kontroler Ingress dan layanan untuk secara efisien menghadapi fluktuasi lalu lintas dalam rentang waktu yang berbeda.

• Performa Selama Jam Puncak:

  • Service dan Ingress: Integrasikan Service dan Ingress dengan fitur penskalaan otomatis untuk menyesuaikan kapasitas secara dinamis berdasarkan volume lalu lintas waktu nyata. Ini memastikan performa layanan selama jam puncak dan mengurangi biaya selama jam non-puncak.

Observabilitas

• Pengumpulan dan Tampilan Metrik:

  • Service dan Ingress: Kumpulkan dan tampilkan metrik performa, yang menunjukkan status layanan secara komprehensif.

• Deteksi Anomali dan Peringatan:

  • Service dan Ingress: Sistem deteksi anomali dan peringatan otomatis dapat dengan cepat merespons potensi masalah dan meminimalkan waktu henti layanan.

Kemampuan layanan mandiri

• Kompatibilitas Asli dan Penyebaran Otomatis:

  • Service dan Ingress: Kompatibel dengan definisi YAML Kubernetes, layanan manajemen, dan Ingress. Anda dapat menggunakan alat infrastruktur sebagai kode (IaC) seperti Terraform dan Resource Orchestration Service (ROS) untuk mengotomatiskan penyebaran dan meningkatkan efisiensi O&M.

Keamanan

• Kontrol Akses dan Enkripsi:

  • Service dan Ingress: Anda dapat menggunakan grup keamanan untuk Secara default, terminasi TLS diaktifkan untuk melindungi transmisi data dan mencegah serangan man-in-the-middle (MITM).

Keandalan tinggi

• Penyebaran Multi-Region/Multi-Zona:

  • Service: NLB mendukung pemulihan bencana di berbagai level. Lalu lintas jaringan didistribusikan di seluruh grup server backend untuk memungkinkan pemulihan bencana. NLB juga mendukung persistensi sesi dan penyebaran multi-zona untuk memastikan ketersediaan layanan.

  • Ingress: Sebuah instance ALB dapat ditempatkan di setidaknya dua zona. Isolasi kegagalan dapat diaktifkan di antara zona. Jika satu zona down, zona lain di wilayah tersebut tidak terpengaruh.

• Pemeriksaan Kesehatan dan Failover:

  • Service: NLB menggunakan pemeriksaan kesehatan untuk menguji ketersediaan server backend. Setelah Anda mengaktifkan pemeriksaan kesehatan, jika server backend gagal pemeriksaan kesehatan, NLB secara otomatis meneruskan permintaan yang ditujukan ke server backend ke server backend lain yang sehat. Saat server backend dinyatakan sehat kembali, NLB secara otomatis meneruskan permintaan ke server backend. Pemeriksaan kesehatan adalah langkah kunci untuk memastikan ketersediaan layanan tinggi. Pemeriksaan kesehatan meningkatkan ketersediaan keseluruhan bisnis dan menghilangkan titik kegagalan tunggal (SPOF) yang disebabkan oleh server yang tidak sehat.

  • Ingress: Untuk memantau ketersediaan server backend ALB, Anda dapat mengonfigurasi pemeriksaan kesehatan untuk grup server ALB. Pemeriksaan kesehatan memastikan ketersediaan layanan dengan mendeteksi server backend yang tidak sehat pada kesempatan pertama. Saat pemeriksaan kesehatan diaktifkan, ALB secara otomatis mengarahkan permintaan ke server backend yang sehat dan memeriksa ketersediaan semua server backend pada interval tertentu. Server backend harus lulus pemeriksaan kesehatan sejumlah kali tertentu (N kali) sebelum server backend dinyatakan sehat. Anda dapat menentukan N berdasarkan persyaratan bisnis Anda. Ini mencegah kesalahan pemeriksaan kesehatan yang disebabkan oleh fluktuasi jaringan.

Skalabilitas

• Penskalaan Horizontal Detail Halus:

  • Service dan Ingress: NLB dan ALB dapat diskalakan secara manual. Anda dapat mengaktifkan NLB dan ALB untuk mendistribusikan lalu lintas ke zona yang berbeda untuk meningkatkan reliabilitas dan performa sistem.

Performa dan elastisitas

• Manajemen Lalu Lintas Dinamis dan Penskalaan Otomatis:

  • Service dan Ingress: NLB dan ALB menggunakan nama domain dan alamat IP virtual (VIP) untuk mendistribusikan lalu lintas ke beberapa lapisan server. ALB dan NLB mendistribusikan lalu lintas jaringan di seluruh grup server untuk meningkatkan ketersediaan aplikasi dan mencegah gangguan layanan yang disebabkan oleh titik kegagalan tunggal (SPOF). ALB dan NLB juga mendukung penyebaran multi-zona kustom dan penskalaan elastis lintas zona untuk menghilangkan hambatan sumber daya di zona individu.

Observabilitas

• Pengumpulan dan Tampilan Metrik:

  • Service dan Ingress: Anda dapat menggunakan CloudMonitor untuk memantau dan melihat status serta metrik ALB dan NLB, yang membantu Anda dengan cepat mengidentifikasi kesalahan. Informasi pemantauan tentang sumber daya ALB dan NLB dapat dilihat menggunakan konsol, API, atau SDK. Baik ALB maupun NLB mendukung Pemantauan Prometheus.

• Deteksi Anomali dan Peringatan:

  • Service dan Ingress: Setelah Anda mengaktifkan CloudMonitor, Anda dapat mengonfigurasi aturan peringatan untuk instance ALB dan NLB menggunakan konsol CloudMonitor, memanggil operasi API, atau menggunakan SDK.

Kemampuan layanan mandiri

• Kompatibilitas Asli dan Penyebaran Otomatis:

  • Service: Anda dapat menggunakan alat IaC seperti Terraform dan ROS untuk mengotomatiskan penyebaran NLB. Anda juga dapat menggunakan anotasi untuk mengonfigurasi NLB sebagai Service.

    apiVersion: v1
    kind: Service
    metadata:
      annotations:
        service.beta.kubernetes.io/alibaba-cloud-loadbalancer-zone-maps: "${zone-A}:${vsw-A},${zone-B}:${vsw-B}" # Contoh: cn-hangzhou-k:vsw-i123456,cn-hangzhou-j:vsw-j654321.
      name: nginx
      namespace: default
    spec:
      externalTrafficPolicy: Local
      ports:
      - name: tcp
        port: 80
        protocol: TCP
        targetPort: 80
      - name: https
        port: 443
        protocol: TCP
        targetPort: 443
      selector:
        app: nginx
      loadBalancerClass: "alibabacloud.com/nlb"
      type: LoadBalancer

  • Ingress: Anda dapat menggunakan alat IaC seperti Terraform dan ROS untuk mengotomatiskan penyebaran ALB. Anda dapat menyebarkan ALB Ingress di kluster Kubernetes untuk memantau perubahan dalam AlbConfigs, Ingress, dan Services pada server API dan kemudian memperbarui AlbConfigs yang ada secara dinamis. Kluster Kubernetes kompatibel dengan NGINX Ingress.

Keamanan

• Kontrol Akses dan Enkripsi:

  • Service dan Ingress: Secara default, ALB dan NLB dapat ditambahkan ke grup keamanan dan mendukung kontrol akses berdasarkan protokol, port, dan alamat IP.

  • Ingress: ALB mendukung berbagai protokol, termasuk HTTP, HTTPS,WebSocket, dan TLS.

Desain Service

Skenario

Gunakan pod dalam kluster ACK sebagai server web: Sebarkan aplikasi di pod kluster ACK dan ekspos Service menggunakan alamat IP dan port.

Pilih jenis Service

Service LoadBalancer mirip dengan Service NodePort yang dikonfigurasi dengan load balancer. Jenis Service ini dapat mendistribusikan lalu lintas secara merata ke beberapa pod. Service LoadBalancer secara otomatis menyediakan alamat IP publik untuk mengekspos pod backend ke akses eksternal. Service LoadBalancer dapat memproses permintaan TCP dan UDP di Lapisan 4 dan mengelola permintaan HTTP dan HTTPS di Lapisan 7.

Buat atau asosiasikan dengan NLB

• Anda dapat memilih instance NLB yang ada atau membuat instance NLB, dan menggunakan instance NLB sebagai Service LoadBalancer.

• Anda dapat membuat atau mengasosiasikan dengan instance NLB menggunakan konsol ACK atau kubectl (skrip YAML), dan mengonfigurasi asosiasi layanan (mirip dengan menambahkan grup server ke NLB) dan pemetaan port (mirip dengan menambahkan pendengar ke NLB).

• Anda dapat menambahkan anotasi ke file YAML Service untuk mengonfigurasi NLB.

Kuota NLB

Untuk informasi lebih lanjut, lihat Batasan.

Desain Ingress

Perbandingan antara Ingress ALB dan Ingress NGINX