Design the network of ACS clusters - Container Compute Service

Ağ mimarisine genel bakış

Bir ACS kümesi ağı üç katmandan oluşur:

VPC — en dıştaki ağ sınırı. Tüm vSwitch'leri içerir ve genel IP adres alanını tanımlar.
vSwitch'ler — VPC içindeki alan düzeyindeki alt bölümler. Pod IP adresleri pod vSwitch'lerinden tahsis edilir.
Hizmet CIDR bloğu — Kubernetes Hizmetleri (ClusterIP türü) için ayrılmış ayrı bir IP aralığı. Yalnızca küme içinde geçerlidir.

Planlamadan önce bilmeniz gerekenler

Aşağıdaki kısıtlamaları göz önünde bulundurun. Bunlardan herhangi birini ihlal etmek, küme oluşturulduktan sonra düzeltilmesi zor yönlendirme hatalarına neden olur.

vSwitch CIDR bloğu, VPC CIDR bloğunun bir alt kümesi olmalıdır.
Hizmet CIDR bloğu, herhangi bir vSwitch CIDR bloğu ile çakışmamalıdır.
Çoklu küme veya hibrit cloud senaryolarında, hiçbir iki küme CIDR bloğu birbirleriyle veya VPC CIDR bloklarıyla çakışmamalıdır.
Küme oluşturulduktan sonra Hizmet CIDR bloğu değiştirilemez.
Bir kümedeki pod IP adresleri, aynı VPC'deki başka bir kümenin Hizmetlerine (ClusterIP) ulaşamaz; yalnızca pod'dan pod'a trafik küme sınırlarını aşar.

CIDR bloğu referansı

Aşağıdaki tabloda her ağ kaynağı için adres aralıkları, boyutlandırma sınırları ve temel kısıtlamalar özetlenmiştir.

Kaynak	İzin verilen aralıklar	Temel kısıtlamalar
VPC	Standart RFC özel bloklar: `10.0.0.0/8`, `172.16.0.0/12`, `192.168.0.0/16` veya bunların alt kümeleri. Özel bloklar da izin verilir, ancak `100.64.0.0/10`, `224.0.0.0/4`, `127.0.0.0/8` ve `169.254.0.0/16` hariçtir. Alt ağ maskesi: /8 ila /28.	Çoklu VPC veya hibrit cloud senaryolarında, birden fazla çakışmayan VPC için yer açmak üzere /16 veya daha kısa alt ağ maskeleri kullanın.
vSwitch	VPC CIDR bloğunun bir alt kümesi olmalıdır.	Hizmet CIDR bloğu ile çakışmamalıdır. Varsayılan limit: VPC başına 150 vSwitch (kotayı artırın).
Hizmet CIDR bloğu	VPC veya vSwitch CIDR bloklarıyla çakışmayan herhangi bir özel aralık.	Küme oluşturulduktan sonra değiştirilemez. Aynı VPC'deki farklı kümelerin Hizmet CIDR blokları çakışabilir.
IPv6	IPv6 etkinleştirildikten sonra VPC tarafından atanır.	Bkz. Pod'lara IPv6 adresleri atama.

Ağ ölçeği planlaması

Bölgeler ve alanlar

Bölgeleri ve alanları aşağıdaki faktörlere göre seçin.

Faktör	Rehberlik
Gecikme süresi	Kaynaklarınızı kullanıcılarınıza yakın konumlandırın. Aynı alandaki örnekler en düşük gecikme süresine sahiptir.
Kullanılabilirlik	Farklı Alibaba Cloud hizmetlerinin bölgesel kullanılabilirliği ve envanteri değişir. İhtiyaç duyduğunuz hizmetlerin hedef bölgenizde mevcut olduğunu doğrulayın.
Maliyet	Kaynak fiyatlandırması bölgeye göre değişir.
Yüksek kullanılabilirlik ve olağanüstü durum kurtarma	Alan düzeyinde yük devretme için bir bölge içinde iki veya daha fazla alana dağıtım yapın. Bölge düzeyinde olağanüstü durum kurtarma için bölgeler arasında dağıtım yapın.
Uyumluluk	Ülkeniz veya bölgeniz için veri ikametgahı ve düzenleyici gereksinimleri karşılayan bir bölge seçin.

Bir VPC bölgeler arasında yayılamaz. Bölgeler arasında dağıtım yapmak için her bölgede ayrı bir VPC oluşturun ve bunları VPC eşlemeli bağlantısı, VPN Gateway veya Cloud Enterprise Network (CEN) kullanarak bağlayın.

Alanları seçerken aşağıdakilere dikkat edin:

Bir alandaki Elastic Compute Service (ECS) envanteri sınırlıysa, birden fazla alana yaymanız gerekebilir. Her alan için yeterli CIDR blokları ayırın ve artan alanlar arası gecikme süresini hesaba katın.
Bazı bölgelerde yalnızca bir alan bulunur, örneğin China (Nanjing - Local Region) Closing Down. Bu bölgeler bölge içi olağanüstü durum kurtarmayı destekleyemez.

Not

ACS'nin kullanılabildiği bölgeler için bkz. Desteklenen bölgeler.

VPC sayısı

Dağıtım deseni	Ne zaman kullanılır
Tek VPC	Tek bölgede küçük hizmet ayak izi ve izolasyon gereksinimi yok. İlk kez VPC dağıtımı. Maliyet duyarlılığı: VPC'ler arası bağlantı ücretlerinden kaçınma.
Birden fazla VPC	Hizmetler birden fazla bölgeyi kapsar. Ortamlar arasında (örn. üretim vs. hazırlama) sıkı izolasyon gerekir. Farklı departmanların bağımsız ağ yönetimine ihtiyacı vardır.

Not

Varsayılan limit bölge başına 10 VPC'dir. Gerekirse kotayı artırın.

vSwitch sayısı

vSwitch'ler alan düzeyindeki kaynaklardır. Bir VPC içindeki tüm vSwitch'ler varsayılan olarak birbirleriyle iletişim kurar.

Farklı alanlarda dağıtılan en az iki vSwitch oluşturun. Bir alan kesinti yaşadığında diğeri devreye girerek alan düzeyinde yük devretme sağlar.
vSwitch'leri iş katmanlarına göre düzenleyin. Örneğin, web katmanı, uygulama katmanı ve veri katmanını ayrı vSwitch'lere dağıtarak standart katmanlı bir mimari tanımlayın ve her sınırda güvenlik ilkelerini uygulayın.

Aynı bölge içindeki alanlar arası gecikme süresi genellikle düşüktür, ancak iş yükünüz için gerçek gecikme süresini doğrulayın. Karmaşık çağrı zincirleri, alanlar arası ağ atlamalarının etkisini artırabilir.

Not

Varsayılan limit VPC başına 150 vSwitch'tir. Gerekirse kotayı artırın.

Pod kapasitesi planlaması

Beklenen pod sayısına ve güvenilirlik gereksinimlerine göre VPC ve alan topolojinizi seçin.

Pod sayısı	Senaryo	VPC topolojisi	Alan topolojisi
< 1.000	Kritik olmayan iş yükleri	Tek VPC	Tek alan (iki veya daha fazlası önerilir)
Sınırsız	Çoklu alan yedekliliği gerektiren standart iş yükleri	Tek VPC	İki veya daha fazla alan
Sınırsız	Çoklu bölge yüksek kullanılabilirliği gerektiren kritik iş yükleri	Birden fazla VPC	VPC başına iki veya daha fazla alan

Çoklu alan yapılandırma örneği

Aşağıdaki örnek, /16 VPC ile iki alanlı bir küme yapılandırmasını göstermektedir.

VPC CIDR bloğu	vSwitch CIDR bloğu	Hizmet CIDR bloğu	Maksimum atanabilir pod IP'si
192.168.0.0/16	Alan I: 192.168.0.0/19	172.21.0.0/20	8.192
192.168.0.0/16	Alan J: 192.168.32.0/19	172.21.0.0/20	8.192

Her /19 vSwitch, pod'lar için 8.192 IP adresi sağlar. İki vSwitch, aynı VPC içinde çakışmayan aralıklar kullanır. Hizmet CIDR bloğu (172.21.0.0/20) VPC aralığının dışındadır ve her iki alanda da paylaşılır.

Ağ iletişimi tasarımı

Tek VPC'de tek küme

Kümeyi oluştururken VPC CIDR bloğu ile çakışmayan bir Hizmet CIDR bloğu belirtin. Bu, küme içi iletişimi etkinleştirir ve VPC'deki diğer kaynaklarla IP çakışmalarını önler.

Tek VPC'de birden fazla küme

Aynı VPC'de birden fazla küme çalıştırırken:

VPC CIDR bloğu paylaşılır. Her kümenin Hizmet CIDR bloğu vSwitch CIDR bloklarıyla çakışmamalıdır, ancak kümeler arası Hizmet CIDR blokları çakışabilir.
Pod vSwitch'leri kümeler arasında yeniden kullanılabilir.
Bir kümedeki pod'lar başka bir kümedeki pod'larla doğrudan iletişim kurabilir. Ancak, Hizmetler (ClusterIP) yalnızca kendi kümeleri içinde erişilebilir. Hizmetleri harici olarak açmak için LoadBalancer Hizmetlerini veya Ingress kullanın.

VPC'ler arasında birden fazla küme

Aşağıdaki senaryolarda birden fazla VPC kullanın.

Bölgeler arası dağıtım

Bir VPC bölgeler arasında yayılamaz. Her bölgede ayrı bir VPC ve küme oluşturun, ardından VPC'leri VPC eşlemeli bağlantısı, VPN Gateway veya Cloud Enterprise Network (CEN) kullanarak bağlayın.

İş sistemi izolasyonu

Üretim ve hazırlama ortamları veya farklı iş sistemleri sıkı ağ izolasyonu gerektiriyorsa, her birini kendi VPC'sine dağıtın. Aynı bölgedeki VPC'leri VPC eşlemeli bağlantısı, VPN Gateway veya Cloud Enterprise Network (CEN) kullanarak bağlayın.

Büyük ölçekli çok departmanlı dağıtımlar

Her iş birimi veya departmanın bağımsız küme ve kaynak yönetimine ihtiyacı olduğunda, her biri için ayrılmış bir VPC atayın.

Önemli

VPC'ler arasında kümeleri bağlarken IP çakışmalarından kaynaklanan yönlendirme hatalarını önlemek için yeni kümeler aşağıdakilerin tümünü karşılamalıdır:

Küme CIDR bloğu, topolojideki herhangi bir VPC CIDR bloğu ile çakışmamalıdır.
Küme CIDR bloğu, diğer kümelerin CIDR blokları ile çakışmamalıdır.
Küme CIDR bloğu, diğer kümelerin Hizmet CIDR blokları ile çakışmamalıdır.

Kümeler ve şirket içi veri merkezleri arasındaki iletişim

Bu senaryo, çoklu VPC kurulumuna benzer. VPC'deki bazı CIDR blokları, Sanal Sınır Yönlendirici (VBR) üzerinden şirket içi veri merkezine yönlendirilir. Kümenin Hizmet CIDR bloğu, bu yönlendirilen CIDR bloklarından hiçbiriyle çakışmamalıdır. Veri merkezinden VPC'deki pod'lara erişmek için VBR üzerinde bir yönlendirme tablosu yapılandırın.

Sonraki adımlar

Kümeniz bir ikincil VPC CIDR bloğu kullanıyorsa veya yeni bir alana genişliyorsa, yeni CIDR bloğu için NAT ağ geçidinde SNAT kuralları yapılandırın ve güvenlik grubu kurallarını güncelleyin.
Pod düzeyinde genel IP erişimi için bkz. Pod'a bağımsız genel EIP bağlama.
Pod'lar için İnternet erişimini etkinleştirmek için (örn. görüntü çekme için) bkz. Küme için İnternet erişimini etkinleştirme.
Hesap mimarisi ve çoklu ekip izolasyonu için bkz. Hesap planlaması ve Güvenlik planlaması.
Olağanüstü durum kurtarma mimarisi için bkz. Olağanüstü durum kurtarma planlaması.