Rancher - балансировка нагрузки (L7) с доступом между узлами в нескольких центрах обработки данных - PullRequest
Новая
       58

Rancher - балансировка нагрузки (L7) с доступом между узлами в нескольких центрах обработки данных

0 голосов
/ 31 октября 2018

Простой вопрос, на который я не могу найти ответ.

Если есть настройка Rancher с 2 узлами, например, в 2 отдельных центрах обработки данных. И у нас есть приложение, работающее на обоих, с балансировкой нагрузки при входе на уровне L7 (SSL удаляется при входе)

Как данные передаются от входа к модулю и насколько они безопасны между несколькими центрами обработки данных?

На ум приходят три решения:

  1. Вход на один узел и отправка данных через HTTP на другой (небезопасный)
  2. Вход на один узел, но данные туннелируются на другой (безопасный / медленный)
  3. На каждом узле есть входной экземпляр, и данные не покидают узел (Secure)
  4. Что-то еще?

Может кто-нибудь подтвердить, как реализован ранчер в этом аспекте.

1 Ответ

0 голосов
/ 05 ноября 2018

Основано на этой теме на форуме Rancher

Входной контроллер может находиться на одном узле, а модули могут быть на другом. При использовании балансировки нагрузки L7 при входе SSL отбрасывается, а трафик направляется на модуль без шифрования SSL.

Связь между входом и модулями может быть или не быть туннелированной в зависимости от конфигурации вашего Rancher для провайдеров CNI ( Документация )

Если ранчер настроен с помощью Canal , то связь между входом и модулями будет туннелирована, и, следовательно, защищена от внешних атакующих.

Однако, если ранчер настроен с Calico , он не будет туннелироваться.

Таким образом, в зависимости от ваших настроек вы можете использовать Canal, если к вашим узлам открыт доступ, и кто-то может прослушивать ваш трафик. Или вы можете использовать Calico, если у вас есть все настройки в частной сети.

Примечание

Существует потенциальная угроза безопасности, которая здесь не упоминается.

Ни Calico, ни Canal не могут защитить вас от вредоносных модулей. Так что если ваша конфигурация требует уровня безопасности, где может быть модуль нюхая трафик, вам нужно будет использовать другие потребности для обеспечения безопасности вашего инфраструктура.

...