A configuração varia conforme o plugin de rede (Terway ou Flannel), o tipo de pilha de IP e o destino.
Antes de começar
Se um pod não conseguir alcançar o destino, verifique primeiramente estas três áreas.
Resolução de DNS
Os pods resolvem os nomes de host de destino por meio do DNS do cluster antes que as políticas de rede entrem em vigor. Se a resolução falhar, consulte primeiro troubleshoot DNS errors.
Políticas de rede
Verifique se alguma NetworkPolicy no namespace do pod bloqueia o tráfego de saída. Em caso afirmativo, atualize a política para permitir o tráfego necessário. Consulte Use network policies in ACK clusters.
Grupos de segurança
Os grupos de segurança aplicam-se no nível do nó às instâncias do Elastic Compute Service (ECS) que hospedam seus pods. Verifique os grupos de segurança do cluster e da instância ECS:
Uma regra de saída permite o tráfego do pod para o endereço e a porta de destino.
Nenhuma regra de saída bloqueia o tráfego para o endereço e a porta de destino.
Acessar a internet
Clusters com pilha única IPv4
Pods em um cluster com pilha única IPv4 usam endereços IPv4 privados e alcançam apenas destinos IPv4 públicos. Para ative o acesso de saída, associe um Elastic IP Address (EIP) ao pod ou configure um NAT gateway.
A configuração difere conforme o plugin de rede:
|
Método de acesso à internet |
Terway |
Flannel |
|
NAT gateway |
A regra SNAT deve abranger o endereço IP do pod. O IP público do pod corresponde ao EIP do NAT gateway. |
A regra SNAT deve abranger o endereço IP do nó. O IP público do pod corresponde ao EIP do NAT gateway. |
|
EIP |
Associe um EIP diretamente ao pod. Consulte Associate an exclusive EIP with a pod. |
Associe um EIP ao nó ECS que hospeda o pod. O IP público do pod será o EIP do nó. Consulte Associar ou desassociar um EIP. |
Para configure um NAT gateway em qualquer um dos plugins, consulte Enable an existing ACK cluster to access the internet.
Clusters com pilha dupla
Pods com pilha dupla possuem endereços IPv4 privados e IPv6 públicos, mas o IPv6 não tem largura de banda pública por padrão. Para ative o acesso à internet via IPv6, consulte Allocate IPv6 internet bandwidth to a pod.
Acessar recursos em uma VPC
Quando um pod acessa recursos da Virtual Private Cloud (VPC), como instâncias ECS, instâncias do Server Load Balancer (SLB), buckets do OSS ou bancos de dados do ApsaraDB RDS, o IP de source identificado pelo destino depende do plugin de rede:
Terway: o IP de source é o endereço IP do pod.
Flannel: o IP de source é o endereço IP do nó ECS.
Se o destino tiver regras de controle de acesso — como regras de grupo de segurança, regras de Access Control List (ACL) ou listas de permissões de IP — que bloqueiem o IP de source, adicione o endereço IP apropriado à lista de permissões:
Clusters Terway: adicione o endereço IP do pod.
Clusters Flannel: adicione o endereço IP do nó ECS.
Automatize a configuração de listas de permissões nos service da Alibaba Cloud com o ack-kubernetes-webhook-injector. Consulte Dynamically configure a pod whitelist for an Alibaba Cloud service.
Acessar um Service LoadBalancer dentro do cluster
Quando um pod acessa uma instância SLB que atua como frontend para um Service LoadBalancer no mesmo cluster, o ACK roteia o tráfego diretamente para o pod de backend, ignorando a instância SLB.
Exceção: clusters que executam o Terway 1.1.0 ou anterior no modo IPVLAN + eBPF roteiam o tráfego pelo IP da instância SLB. A partir do Terway 1.2.0, clusters recém-criados suportam balanceamento de carga intracluster; clusters atualizados não têm esse suporte.
Consulte How do I enable load balancing within a cluster in Terway IPVLAN mode?.