Понимание безопасности от контейнера к контейнеру для экземпляров приложений в CloudFoundry - PullRequest
Новая
       16

Понимание безопасности от контейнера к контейнеру для экземпляров приложений в CloudFoundry

0 голосов
/ 07 января 2019

Я ссылаюсь на статьи о безопасности контейнеров в https://ict.swisscom.ch/2018/05/container-networking-with-cloud-foundry/ и https://docs.cloudfoundry.org/concepts/understand-cf-networking.html

Это помогает определить прямую связь между приложениями. Я все еще пытаюсь выяснить, как работает связь между приложениями экземпляров , т. Е. При масштабировании приложения до 2 экземпляров, как эти 2 экземпляра видят друг друга через сеть? Я пытался решить этот вопрос в течение длительного времени, поскольку это было бы очень важно для взаимодействий на основе кластера, таких как Hazelcast, с использованием механизмов широковещания для идентификации членов кластера.

Это где-то задокументировано (возможность подключения экземпляра внутри приложения)?

1 Ответ

0 голосов
/ 08 января 2019

Это где-то задокументировано (подключение экземпляра внутри приложения)?

Это то же самое, что связь между приложениями. Все это просто экземпляр, связанный с контейнером в контейнерную сеть. AppA & AppB или экземпляр AppA # 1 и экземпляр AppA # 2. Они все в контейнерах в контейнерную сеть.

Все ячейки Diego в вашем развертывании Cloud Foundry совместно используют эту оверлейную сеть. По умолчанию каждой ячейке выделяется диапазон / 24, который поддерживает 254 контейнера на ячейку, по одному контейнеру для каждого из используемых IP-адресов, от .1 до .254.

От: https://docs.cloudfoundry.org/concepts/understand-cf-networking.html#overlay-network

Просто помните, что по умолчанию весь трафик блокируется, поэтому вам нужно добавить сетевую политику, чтобы разрешить трафик по сети C2C. Для общения между двумя приложениями имеет смысл синтаксис cf add-network-policy. У вас есть приложение источника и назначения. Для контейнеров приложений в одном приложении команда немного сбивает с толку, потому что есть только одно приложение, а не источник и место назначения. Тем не менее, все должно работать нормально, если вы сделаете источник и назначение одинаковыми.

Пример: cf add-network-policy my-cluster-app --destination-app my-cluster-app --protocol tcp --port 9990-10000

Надеюсь, это поможет!

...