AKS'de ağ ilkelerini kullanarak podlar arasındaki trafiğin güvenliğini sağlama

Kubernetes'te modern, mikro hizmet tabanlı uygulamalar çalıştırdığınızda, genellikle hangi bileşenlerin birbiriyle iletişim kurabileceğini denetlemek istersiniz. Azure Kubernetes Service (AKS) kümesindeki podlar arasında trafiğin nasıl akabileceğine en az ayrıcalık ilkesi uygulanmalıdır. Arka uç uygulamalarına doğrudan gelen trafiği engellemek istediğinizi varsayalım. Kubernetes'teki ağ ilkesi özelliği, kümedeki podlar arasında giriş ve çıkış trafiği için kurallar tanımlamanıza olanak tanır.

Bu makalede, AKS'de podlar arasındaki trafik akışını denetlemek için ağ ilkesi altyapısının nasıl yükleneceği ve Kubernetes ağ ilkelerinin nasıl oluşturulacağı gösterilmektedir. Ağ ilkeleri AKS'deki Linux tabanlı veya Windows tabanlı düğümler ve podlar için kullanılabilir.

Ağ ilkesine genel bakış

AKS kümesindeki tüm podlar, varsayılan olarak sınırlama olmadan trafik gönderebilir ve alabilir. Güvenliği geliştirmek için trafik akışını denetleen kurallar tanımlayabilirsiniz. Arka uç uygulamaları genellikle yalnızca gerekli ön uç hizmetlerine maruz bırakılır, örneğin. Veya veritabanı bileşenlerine yalnızca bunlara bağlanan uygulama katmanları erişebilir.

Ağ ilkesi, podlar arasındaki iletişim için erişim ilkelerini tanımlayan bir Kubernetes belirtimidir. Ağ ilkelerini kullandığınızda, trafik göndermek ve almak için sıralı bir kural kümesi tanımlarsınız. Kuralları, bir veya daha fazla etiket seçiciyle eşleşen pod koleksiyonuna uygularsınız.

Ağ ilkesi kuralları YAML bildirimleri olarak tanımlanır. Ağ ilkeleri, dağıtım veya hizmet de oluşturan daha geniş bir bildirimin parçası olarak eklenebilir.

AKS'de ağ ilkesi seçenekleri

Azure, ağ ilkelerini zorlamak için üç Ağ İlkesi altyapısı sağlar:

• Cilium tarafından desteklenen Azure CNI kullanan AKS kümeleri için Cilium.
• Azure Ağ İlkesi Yöneticisi.
• Tigera tarafından kurulan açık kaynak ağ ve ağ güvenlik çözümü Calico.

Cilium, önerilen Ağ İlkesi altyapımızdır. Cilium, genellikle "IPTable'lardan" daha verimli olan Linux Berkeley Paket Filtresi'ni (BPF) kullanarak trafikte ağ ilkesi uygular. Cilium tarafından desteklenen Azure CNI belgelerindeki diğer ayrıntılara bakın.
Belirtilen ilkeleri zorunlu kılmak için Linux için Azure Ağ İlkesi Yöneticisi Linux IPTable'ları kullanır. Windows için Azure Ağ İlkesi Yöneticisi, Konak Ağ Hizmeti (HNS) ACLPolicies kullanır. İlkeler izin verilen ve izin verilmeyen IP çiftlerine çevrilir. Bu çiftler daha sonra veya HNS ACLPolicy filtre kuralları olarak IPTable programlanmıştır.

Ağ İlkesi altyapıları arasındaki farklar: Cilium, Azure NPM ve Calico

Özellik	Azure Ağ İlkesi Yöneticisi	Calico	Cilium
Desteklenen platformlar	Linux, Windows Server 2022 (Önizleme).	Linux, Windows Server 2019 ve 2022.	Linux.
Desteklenen ağ seçenekleri	Azure Container Networking Interface (CNI).	Azure CNI (Linux, Windows Server 2019 ve 2022) ve kubenet (Linux).	Azure CNI.
Kubernetes belirtimiyle uyumluluk	Desteklenen tüm ilke türleri	Tüm ilke türleri desteklenir.	Tüm ilke türleri desteklenir.
Diğer özellikler	Yok.	Genel Ağ İlkesi, Genel Ağ Kümesi ve Konak Uç Noktasından oluşan genişletilmiş ilke modeli. Bu genişletilmiş özellikleri yönetmek için CLI kullanma calicoctl hakkında daha fazla bilgi için bkz . calicoctl kullanıcı başvurusu.	Yok.
Destek	Azure Destek ve Mühendislik ekibi tarafından desteklenir.	Azure Destek ve Mühendislik ekibi tarafından desteklenir.	Azure Destek ve Mühendislik ekibi tarafından desteklenir.

Sınırlamalar

Azure Ağ İlkesi Yöneticisi IPv6'yi desteklemez. Aksi takdirde, Azure Ağ İlkesi Yöneticisi Linux'taki ağ ilkesi belirtimlerini tam olarak destekler.

Windows'da Azure Ağ İlkesi Yöneticisi şunları desteklemez:

• Adlandırılmış bağlantı noktaları.
• Akış Denetimi İletim Protokolü (SCTP).
• Negatif eşleşme etiketi veya ad alanı seçicileri (örneğin, dışındaki debug=truetüm etiketler).
• except sınıfsız etki alanları arası yönlendirme (CIDR) blokları (özel durumlarla CIDR).

Not

Desteklenmeyen bir ilke oluşturulursa Azure Ağ İlkesi Yöneticisi pod günlükleri bir hata kaydeder.

Ölçek

Linux için Azure Ağ İlkesi Yöneticisi ile 250 düğüm ve 20.000 poddan fazla ölçeklendirmeye izin vermiyoruz. Bu sınırların ötesine ölçeklendirmeye çalışırsanız "Yetersiz Bellek" (OOM) hatalarıyla karşılaşabilirsiniz. Bellek sınırınızı artırmak için bir destek bileti oluşturun.

Başlamadan önce

Azure CLI sürüm 2.0.61 veya üzerinin yüklü ve yapılandırılmış olması gerekir. Sürümü bulmak için az --version komutunu çalıştırın. Yüklemeniz veya yükseltmeniz gerekirse, bkz. Azure CLI yükleme.

AKS kümesi oluşturma ve ağ ilkesini etkinleştirme

Ağ ilkelerinin nasıl çalıştığını görmek için, ağ ilkesini destekleyen bir AKS kümesi oluşturur ve ilke ekleme üzerinde çalışırsınız.

Azure Ağ İlkesi Yöneticisi'ni kullanmak için Azure CNI eklentisini kullanmanız gerekir. Calico, Azure CNI eklentisiyle veya Kubenet CNI eklentisiyle kullanılabilir.

Aşağıdaki örnek betik, sistem tarafından atanan kimliğe sahip bir AKS kümesi oluşturur ve Azure Ağ İlkesi Yöneticisi'ni kullanarak ağ ilkesini etkinleştirir.

Not

Calico, veya --network-plugin kubenet parametreleriyle --network-plugin azure kullanılabilir.

Sistem tarafından atanan bir kimlik kullanmak yerine, kullanıcı tarafından atanan bir kimlik de kullanabilirsiniz. Daha fazla bilgi için bkz . Yönetilen kimlikleri kullanma.

Azure Ağ İlkesi Yöneticisi'nin etkin olduğu bir AKS kümesi oluşturma - Yalnızca Linux

Bu bölümde, Linux düğüm havuzları ve Azure Ağ İlkesi Yöneticisi'nin etkin olduğu bir küme oluşturacaksınız.

Başlamak için ve $CLUSTER_NAME değişkenleri için $RESOURCE_GROUP_NAME değerleri değiştirirsiniz.

$RESOURCE_GROUP_NAME=myResourceGroup-NP
$CLUSTER_NAME=myAKSCluster
$LOCATION=canadaeast

AKS kümesini oluşturun ve ve network-policyiçin network-plugin belirtinazure.

Küme oluşturmak için aşağıdaki komutu kullanın:

az aks create \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $CLUSTER_NAME \
    --node-count 1 \
    --network-plugin azure \
    --network-policy azure

Azure Ağ İlkesi Yöneticisi'nin etkin olduğu bir AKS kümesi oluşturma - Windows Server 2022 (önizleme)

Bu bölümde, Windows düğüm havuzları ve Azure Ağ İlkesi Yöneticisi'nin etkin olduğu bir küme oluşturacaksınız.

Not

Windows düğümleri olan Azure Ağ İlkesi Yöneticisi yalnızca Windows Server 2022'de kullanılabilir.

aks-preview Azure CLI uzantısını yükleme

Önemli

AKS önizleme özellikleri self servis ve kabul temelinde kullanılabilir. Önizlemeler "olduğu gibi" ve "kullanılabilir" olarak sağlanır ve hizmet düzeyi sözleşmelerinin ve sınırlı garantinin dışında tutulur. AKS önizlemeleri, müşteri desteği tarafından kısmen en iyi çaba temelinde ele alınmaktadır. Bu nedenle, bu özellikler üretim kullanımı için tasarlanmamıştır. Daha fazla bilgi için aşağıdaki destek makalelerine bakın:

• AKS desteği ilkeleri
• Azure desteği SSS

Uzantıyı aks-preview yüklemek için aşağıdaki komutu çalıştırın:

az extension add --name aks-preview

Yayımlanan uzantının en son sürümüne güncelleştirmek için aşağıdaki komutu çalıştırın:

az extension update --name aks-preview

WindowsNetworkPolicyPreview özellik bayrağını kaydetme

WindowsNetworkPolicyPreview Aşağıdaki örnekte gösterildiği gibi az feature register komutunu kullanarak özellik bayrağını kaydedin:

az feature register --namespace "Microsoft.ContainerService" --name "WindowsNetworkPolicyPreview"

Durumun Kayıtlı olarak gösterilmesi birkaç dakika sürer. az feature show komutunu kullanarak kayıt durumunu doğrulayın:

az feature show --namespace "Microsoft.ContainerService" --name "WindowsNetworkPolicyPreview"

Durum Kayıtlı olarak gösterildiğinde az provider register komutunu kullanarak kaynak sağlayıcısının Microsoft.ContainerServicekaydını yenileyin:

az provider register --namespace Microsoft.ContainerService

AKS kümesini oluşturma

Şimdi , $CLUSTER_NAMEve $WINDOWS_USERNAME değişkenleri için $RESOURCE_GROUP_NAMEdeğerleri değiştireceksiniz.

$RESOURCE_GROUP_NAME=myResourceGroup-NP
$CLUSTER_NAME=myAKSCluster
$WINDOWS_USERNAME=myWindowsUserName
$LOCATION=canadaeast

Kümenizdeki Windows Server kapsayıcılarınız için yönetici kimlik bilgileri olarak kullanmak üzere bir kullanıcı adı oluşturun. Aşağıdaki komut sizden bir kullanıcı adı ister. olarak $WINDOWS_USERNAMEayarlayın. Bu makaledeki komutların bash kabuğuna girildiğini unutmayın.

echo "Please enter the username to use as administrator credentials for Windows Server containers on your cluster: " && read WINDOWS_USERNAME

Küme oluşturmak için aşağıdaki komutu kullanın:

az aks create \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $CLUSTER_NAME \
    --node-count 1 \
    --windows-admin-username $WINDOWS_USERNAME \
    --network-plugin azure \
    --network-policy azure

Kümenin oluşturulması birkaç dakika sürer. Varsayılan olarak, kümeniz yalnızca bir Linux düğüm havuzuyla oluşturulur. Windows düğüm havuzlarını kullanmak istiyorsanız, bir tane ekleyebilirsiniz. Bir örnek aşağıda verilmiştir:

az aks nodepool add \
    --resource-group $RESOURCE_GROUP_NAME \
    --cluster-name $CLUSTER_NAME \
    --os-type Windows \
    --name npwin \
    --node-count 1

Calico etkin bir AKS kümesi oluşturma

AKS kümesini oluşturun ve ve --network-policy calicobelirtin--network-plugin azure. Belirtilmesi --network-policy calico , Hem Linux hem de Windows düğüm havuzlarında Calico'ya olanak tanır.

Kümenize Windows düğüm havuzları eklemeyi planlıyorsanız, Windows Server parola gereksinimlerini karşılayan ve windows-admin-password parametrelerini ekleyinwindows-admin-username.

Önemli

Şu anda, Calico 3.17.2 ile Kubernetes sürüm 1.20 veya üzeri kullanılarak Windows düğümleriyle Calico ağ ilkelerinin kullanılması yeni kümelerde kullanılabilir ve Azure CNI ağını kullanmanızı gerektirir. Calico etkin AKS kümelerindeki Windows düğümlerinde de varsayılan olarak Kayan IP etkindir.

Calico'nun önceki sürümlerine sahip Kubernetes 1.20 çalıştıran yalnızca Linux düğüm havuzlarına sahip kümeler için Calico sürümü otomatik olarak 3.17.2 sürümüne yükseltir.

Kümenizdeki Windows Server kapsayıcılarınız için yönetici kimlik bilgileri olarak kullanmak üzere bir kullanıcı adı oluşturun. Aşağıdaki komut sizden bir kullanıcı adı ister. olarak $WINDOWS_USERNAMEayarlayın. Bu makaledeki komutların bash kabuğuna girildiğini unutmayın.

echo "Please enter the username to use as administrator credentials for Windows Server containers on your cluster: " && read WINDOWS_USERNAME

az aks create \
    --resource-group $RESOURCE_GROUP_NAME \
    --name $CLUSTER_NAME \
    --node-count 1 \
    --windows-admin-username $WINDOWS_USERNAME \
    --network-plugin azure \
    --network-policy calico

Kümenin oluşturulması birkaç dakika sürer. Varsayılan olarak, kümeniz yalnızca bir Linux düğüm havuzuyla oluşturulur. Windows düğüm havuzlarını kullanmak istiyorsanız, bir tane ekleyebilirsiniz. Örneğin:

az aks nodepool add \
    --resource-group $RESOURCE_GROUP_NAME \
    --cluster-name $CLUSTER_NAME \
    --os-type Windows \
    --name npwin \
    --node-count 1

Azure Ağ İlkesi Yöneticisi'ni veya Calico'yu mevcut bir kümeye yükleme

Azure Ağ İlkesi Yöneticisi veya Calico'yu mevcut AKS kümelerine yükleme de desteklenir.

Uyarı

Yükseltme işlemi her düğüm havuzunun aynı anda yeniden görüntüsünün alınması için tetikler. Her düğüm havuzunun ayrı olarak yükseltilmesi desteklenmez. Küme ağındaki tüm kesintiler, düğüm havuzundaki her düğümün yeniden görüntülendiği düğüm görüntüsü yükseltmesine veya Kubernetes sürümü yükseltmesine benzer.

Azure Ağ İlkesi Yöneticisi'ni yüklemek için örnek komut:

az aks update
    --resource-group $RESOURCE_GROUP_NAME \
    --name $CLUSTER_NAME \
    --network-policy azure

Calico'u yüklemek için örnek komut:

Uyarı

Bu uyarı, Calico etkinleştirilmiş Kubenet kümelerini Calico özellikli Azure CNI Yer Paylaşımı'na yükseltmek için geçerlidir.

• Calico etkinleştirilmiş Kubenet kümelerinde, Calico hem CNI hem de ağ ilkesi altyapısı olarak kullanılır.
• Azure CNI kümelerinde Calico, CNI olarak değil yalnızca ağ ilkesi zorlaması için kullanılır. Bu, pod başlatması ile Calico'nın poddan giden trafiğe izin vermesi arasında kısa bir gecikmeye neden olabilir.

Bu sorundan kaçınmak için Calico yerine Cilium kullanılması önerilir. Cilium tarafından desteklenen Azure CNI'de Cilium hakkında daha fazla bilgi edinin

az aks update
    --resource-group $RESOURCE_GROUP_NAME \
    --name $CLUSTER_NAME \
    --network-policy calico

Azure NPM veya Calico yüklü olan mevcut bir kümeyi Cilium tarafından desteklenen Azure CNI'ye yükseltme

Ağ İlkesi altyapısı cilium tarafından desteklenen Azure CNI'ye yüklenmiş mevcut bir kümeyi yükseltmek için bkz . Mevcut bir kümeyi Cilium tarafından desteklenen Azure CNI'ye yükseltme

Ağ ilkesi kurulumunu doğrulama

Küme hazır olduğunda az aks get-credentials komutunu kullanarak Kubernetes kümenize bağlanacak şekilde yapılandırınkubectl. Bu komut kimlik bilgilerini indirir ve Kubernetes CLI'yi bunları kullanacak şekilde yapılandırmaktadır:

az aks get-credentials --resource-group $RESOURCE_GROUP_NAME --name $CLUSTER_NAME

Ağ ilkesini doğrulamaya başlamak için örnek bir uygulama oluşturur ve trafik kuralları ayarlarsınız.

İlk olarak, örnek podları çalıştırmak için adlı demo bir ad alanı oluşturun:

kubectl create namespace demo

Şimdi ve serveradlı client kümede iki pod oluşturun.

Not

İstemciyi veya sunucuyu belirli bir düğümde zamanlamak istiyorsanız, pod oluşturma kubectl run komutundaki bağımsız değişkenden önce --command aşağıdaki biti ekleyin:

--overrides='{"spec": { "nodeSelector": {"kubernetes.io/os": "linux|windows"}}}'

Bir server pod oluşturun. Bu pod 80 numaralı TCP bağlantı noktasında hizmet eder:

kubectl run server -n demo --image=k8s.gcr.io/e2e-test-images/agnhost:2.33 --labels="app=server" --port=80 --command -- /agnhost serve-hostname --tcp --http=false --port "80"

Bir client pod oluşturun. Aşağıdaki komut, pod üzerinde Bash çalıştırır client :

kubectl run -it client -n demo --image=k8s.gcr.io/e2e-test-images/agnhost:2.33 --command -- bash

Şimdi ayrı bir pencerede aşağıdaki komutu çalıştırarak sunucu IP'sini alın:

kubectl get pod --output=wide -n demo

Çıkış şöyle görünmelidir:

NAME     READY   STATUS    RESTARTS   AGE   IP            NODE             NOMINATED NODE   READINESS GATES
server   1/1     Running   0          30s   10.224.0.72   akswin22000001   <none>           <none>

Ağ ilkesi olmadan bağlantıyı test etme

İstemcinin kabuğunda aşağıdaki komutu çalıştırarak sunucuyla bağlantıyı doğrulayın. değerini, önceki komutun çalıştırdığı çıktıda bulunan IP'yi kullanarak değiştirin server-ip . Bağlantı başarılı olursa çıkış olmaz.

/agnhost connect <server-ip>:80 --timeout=3s --protocol=tcp

Ağ ilkesiyle bağlantıyı test etme

Ağ ilkeleri eklemek için adlı demo-policy.yaml bir dosya oluşturun ve aşağıdaki YAML bildirimini yapıştırın:

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: demo-policy
  namespace: demo
spec:
  podSelector:
    matchLabels:
      app: server
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: client
    ports:
    - port: 80
      protocol: TCP

YAML bildiriminizin adını belirtin ve kubectl apply kullanarak uygulayın:

kubectl apply –f demo-policy.yaml

Şimdi istemcinin kabuğunda aşağıdaki /agnhost komutu çalıştırarak sunucuyla bağlantıyı doğrulayın:

/agnhost connect <server-ip>:80 --timeout=3s --protocol=tcp

Sunucu ile etiketlendiğinden ancak istemci etiketlenmediğinden trafikle app=serverBağlan üretkenliği engellenir. Yukarıdaki connect komutu şu çıkışı verir:

TIMEOUT

öğesini etiketlemek client ve sunucuyla bağlantıyı doğrulamak için aşağıdaki komutu çalıştırın. Çıkış hiçbir şey döndürmemelidir.

kubectl label pod client -n demo app=client

Azure Ağ İlkesi Yöneticisi'ni veya Calico'u kaldırma (Önizleme)

Gereksinimler:

• aks-preview Azure CLI uzantısı sürüm 0.5.166 veya üzeri. Bkz . aks-preview Azure CLI uzantısını yükleme.
• Azure CLI sürüm 2.54 veya üzeri
• AKS REST API sürüm 2023-08-02-preview veya üzeri

Not

• Kaldırma işlemi, Calico tarafından kullanılan Özel Kaynak Tanımlarını (CRD) ve Özel Kaynakları (CR) kaldırmaz. Bu CRD'lerin ve CR'lerin tümü "projectcalico.org" veya "tigera.io" ile biten adlara sahiptir. Bu CRD'ler ve ilişkili CR'ler, Calico başarıyla kaldırıldıktan sonra el ile silinebilir (Calico kaldırılmadan önce CRD'lerin silinmesi kümeyi bozar).
• Yükseltme, kümedeki hiçbir NetworkPolicy kaynağını kaldırmaz, ancak kaldırma işlemi tamamlandıktan sonra bu ilkeler artık uygulanmaz.

Uyarı

Yükseltme işlemi her düğüm havuzunun aynı anda yeniden görüntüsünün alınması için tetikler. Her düğüm havuzunun ayrı olarak yükseltilmesi desteklenmez. Küme ağındaki tüm kesintiler, düğüm havuzundaki her düğümün yeniden görüntülendiği düğüm görüntüsü yükseltmesine veya Kubernetes sürümü yükseltmesine benzer.

Azure Ağ İlkesi Yöneticisi'ni veya Calico'u bir kümeden kaldırmak için aşağıdaki komutu çalıştırın:

az aks update
    --resource-group $RESOURCE_GROUP_NAME \
    --name $CLUSTER_NAME \
    --network-policy none

Kaynakları temizleme

Bu makalede, bir ad alanı ve iki pod oluşturdunuz ve bir ağ ilkesi uyguladınız. Bu kaynakları temizlemek için kubectl delete komutunu kullanın ve kaynak adını belirtin:

kubectl delete namespace demo

Sonraki adımlar

Ağ kaynakları hakkında daha fazla bilgi için bkz . Azure Kubernetes Service'teki (AKS) uygulamalar için ağ kavramları.

İlkeler hakkında daha fazla bilgi edinmek için bkz . Kubernetes ağ ilkeleri.