Container Service for Kubernetes:[Alteração de produto] Mudança de endereço IP para comunicação interna no modo ENI exclusiva do Terway

Entenda a alteração e seu impacto

Ao atualizar o plugin Terway para a versão 1.16.3 ou superior, o endereço IP de source na comunicação entre um nó em modo ENI exclusiva e seus pods (criados após a atualização) passa a ter o seguinte comportamento:

Referência sobre o modo ENI exclusiva: Configure exclusive ENI mode for a node pool .

• Versões anteriores à 1.16.3: A interface veth do nó utiliza o endereço link-local fixo 169.254.1.1.

• Versões 1.16.3 e posteriores: Na comunicação entre um nó e um pod, o endereço IP fixo deixa de ser usado. Em seu lugar, adota-se o IP do nó, correspondente ao endereço IP privado da instância dentro da VPC.

Avalie os riscos

Essa modificação no endereço IP pode impactar as cargas de trabalho do seu cluster das seguintes formas:

• Falha no controle de acesso no nível de contêiner: Caso sua aplicação ou pod tenha uma lista de permissões restrita apenas ao IP de source 169.254.1.1 (seja na lógica da aplicação, em arquivos de configuração ou em regras iptables do contêiner), as requisições vindas do nó serão bloqueadas após a atualização. Consequentemente, funcionalidades que dependem da comunicação do nó para o pod, como verificações de integridade (liveness probes e readiness probes) e coleta de métricas de monitoramento, apresentarão falhas. Isso pode resultar em reinicializações frequentes de pods ou interrupções no serviço.

• Anomalias na análise de logs e auditoria: O endereço IP de source do nó registrado nos logs da aplicação dentro do pod deixará de ser 169.254.1.1. Por isso, qualquer processo de análise de logs, alerta de monitoramento ou script de auditoria configurado para identificar especificamente o IP 169.254.1.1 não funcionará conforme o esperado.

Execute as ações necessárias

Antes de atualizar o plugin Terway, realize as seguintes verificações e ajustes:

1. Revise e atualize as regras de controle de acesso. Se seus contêineres utilizam uma lista de permissões que autoriza apenas o tráfego de 169.254.1.1, amplie essa lista para incluir o bloco CIDR de todo o node pool que opera em modo ENI exclusiva. Essa medida é indispensável porque o IP específico de cada nó pode variar.

2. Teste e valide as alterações. Primeiramente, atualize o Terway em um ambiente de testes para confirmar que a conectividade entre o nó e o pod ocorre normalmente. Utilize, por exemplo, o comando ping no nó para alcançar o endereço IP de um pod. Somente após validar o funcionamento, prossiga com a atualização no ambiente de produção.