Container Service for Kubernetes:NAT Gateway の DNAT ルールを使用した Pod への直接アクセス

前提条件

• ACK マネージドクラスターまたはACK 専用クラスターが作成されていること。クラスターはネットワークプラグインとして Terway を使用する必要があります。詳細については、「ACK マネージドクラスターの作成」および「ACK 専用クラスターの作成 (新規作成は停止)」をご参照ください。

• VPC 内に NAT Gateway が作成され、natgw コントローラーが使用されていること。NAT Gateway の作成方法の詳細については、「インターネット NAT Gateway」をご参照ください。

• パブリック IP アドレス、パブリックポート、プライベートポート、およびプライベート IP アドレスをマッピングするための DNAT ルールが作成されていること。DNAT の仕組みの詳細については、「インターネット NAT Gateway の DNAT 機能を使用して ECS インスタンスがインターネット経由でサービスを提供できるようにする」をご参照ください。

  • パブリック IP アドレス：インターネット NAT Gateway に設定された EIP。

  • パブリックポート：natgw コントローラーの設定ファイル内の portRangeStart および portRangeEnd パラメーターで指定された範囲内のポート。ポートは natgw コントローラーによって自動的に割り当てられます。ポートが割り当てられると、その情報は poddnats.alibabacloud.com カスタムリソース (CR) に記録されます。CR は Pod と同じ名前を持ちます。

  • プライベートポート：Pod のアノテーションで設定された Pod のリスニングポート。

  • プライベート IP アドレス：Pod の IP アドレス。

制限事項

• この機能は通常の ECS ノードをサポートしますが、ECI インスタンスはサポートしません。

• 設定可能なエントリ数は NAT Gateway によって制限されます。制限の詳細については、「DNAT 機能に関するよくある質問」をご参照ください。

Pod のアノテーション

以下の Pod アノテーションを使用できます。

ack-extend-network-controller で DNAT 機能を有効化

ack-extend-network-controller コンポーネントは、リソースを作成するために Alibaba Cloud OpenAPI にアクセスする必要があります。これを行うには、Resource Access Management (RAM) で必要な権限を設定し、マーケットプレイスから ack-extend-network-controller コンポーネントをインストールする必要があります。その後、アノテーションを使用して、特定の Pod の DNAT ルールを作成し、関連付けることができます。

clusterID: "c11ba338192xxxxxxx"          # 実際の値を入力します。
regionID: "cn-hangzhou"                  # 実際の値を入力します。
vpcID: "vpc-bp1rkq0zxxxxxx"              # 実際の値を入力します。
enableControllers:
  - natgw                                  # DNAT を有効にします。

networkController:
  natGwPool:
    - natgwId: "< nat gateway id. >"                   # インターネット NAT Gateway の ID。
      zoneId: "< nat gateway zone id. cn-hangzhou-j >" # インターネット NAT Gateway のゾーン ID。
      portRangeStart: 512                              # 開始ポート。
      portRangeEnd: 1024                               # 終了ポート。
      eips:
        - "<auto config all nat gateway eips if not config. 0.0.0.0 >"  # インターネット NAT Gateway の EIP。このパラメーターを設定しない場合、ゲートウェイに設定されているすべての EIP が使用されます。

credential:                               # AccessKey ペアを使用します。ACK クラスターの場合、RAM ロールモードを使用して設定します。ステップ 1 でクラスターのワーカー RAM ロールに権限を付与した場合、このセクションを設定する必要はありません。
  accessKey: ""
  accessSecret: ""

カスタムリソース (CR) を使用した設定の追跡

1. Pod を作成すると、コントローラーは Pod と同じ名前の CR を作成します。次の例は、Pod の DNAT ルールを設定して、Pod のポート 80 をパブリックネットワークに公開する方法を示しています。

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: example
     labels:
       app: example
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: example
     template:
       metadata:
         labels:
           app: example
         annotations:
           k8s.aliyun.com/pod-dnat: ""
           k8s.aliyun.com/pod-dnat-expose-port: "80"
       spec:
         containers:
         - name: example
           image: nginx

2. 次のコマンドを実行して poddnats.alibabacloud.com から割り当て情報を読み取り、Pod の外部アドレスとポートを取得します。

   kubectl get poddnats -oyaml 

   想定される出力：

   apiVersion: alibabacloud.com/v1
   kind: PodDNAT
   metadata:
     creationTimestamp: "20**-09-20T03:26:44Z"
     finalizers:
     - natgw-controller
     generation: 2
     name: example-6cd498d7b-9****
     namespace: default
     ownerReferences:
     - apiVersion: v1
       blockOwnerDeletion: true
       kind: Pod
       name: example-6cd498d7b-9****
       uid: 7af54e1c-eeb7-4fd0-b070-ff99ddbd****
     resourceVersion: "357150"
     uid: 2fad9bb7-cc84-46b4-b6eb-5d15f06c****
   spec:
     eni: eni-xxx
     externalIP: 114.55.**.**
     internalIP: 172.16.**.**
     portMapping:
     - externalPort: "512"
       internalPort: "80"
     protocol: tcp
     tableId: ngw-xxx
     vswitch: vsw-xxx
     zoneID: cn-hangzhou-k
   status:
     entries:
     - externalIP: 114.55.**.**
       externalPort: "512"
       forwardEntryId: fwd-xxx
       internalIP: 172.16.**.**
       internalPort: "80"
       ipProtocol: tcp

   Pod の外部アドレスとポートは次のように記述されます。

   • externalIP：NAT Gateway のパブリック IP アドレス。これは外部アクセスのためのアドレスです。この例では、値は 114.55.**.** です。

   • externalPort：パブリックポート。コントローラーは、指定されたポート範囲からこのポートを割り当てます。この例では、値は "512" です。