Azure AKS Network Analytics - откуда эти запросы поступают в Kubernetes Cluster?

Question

Я немного озадачен сетевой аналитикой Azure!Может ли кто-нибудь помочь разрешить эту загадку?

Мой кластер Kubernetes в Azure является частным.Он подключен к vNET, и нигде нет открытых IP-адресов.Сервис настроен с внутренним балансировщиком нагрузки.Шлюз приложений вызывает внутренний балансировщик нагрузки.NSG блокирует весь входящий трафик из Интернета в шлюз приложений.В NSG разрешены только доверенные NAT-ips.

Вопрос в том, что я вижу много интернет-трафика, поступающего в aks в vNET.Им отказано конечно!У меня нет ни одного публичного IP 40.117.133.149 нигде в подписке.Итак, как эти запросы поступают в aks?

Вы можете попробовать вызвать шлюз приложения из Интернета, и вы не получите никакого ответа!http://23.100.30.223/api/customer/FindAllCountryProvinceCities?country=United%20States&state=Washington

Вы получите успешный ответ, если вызовете функцию Azure- https://afa -aspnet4you.azurewebsites.net / api / aks / api / customer / FindAllCountryProvinceCities? Country = United% 20States & state =Вашингтон

Это возможно благодаря соблюдению правил NSG!

Спасибо, что нашли время ответить на мой запрос.

В ответ на @CharlesXu, я немного больше делюсь информацией о работе сети aks.Сеть Aks состоит из нескольких адресных пространств -

Кроме того, ни один из двух узлов кластера не назначен общедоступному IP-адресу.Только частный ip назначен узлу vm.Вот пример узла 0-

Я не понимаю, почему я вижу входящие запросы к 40.117.133.149 в моем кластере!

Answer 1

После поиска всех настроек и журналов активности я наконец-то нашел ответ на загадочный IP!Балансировщик нагрузки с внешним ip был автоматически создан как часть службы входа nginx, когда я перезапустил виртуальные машины.NSG был обновлен автоматически, чтобы разрешить интернет-трафик на порт 80/443.Я вручную удалил публичный балансировщик нагрузки вместе с IP-адресом, но злоумышленники все еще вызывали IP-адрес с другими портами, которые по умолчанию запрещены входящим правилом nsg.

Для воспроизведения я снова удалил публичный балансировщик нагрузки вместе спубличный ip.Azure aks воссоздан, как только я перезапустил виртуальные машины в кластере!Это как игра в кошки-мышки!

Я думаю, мы можем обновить аннотацию входного сервиса, указав service.beta.kubernetes.io/azure-load-balancer-internal: "правда".Не знаю, почему Microsoft решила автоматически предоставить публичный балансировщик нагрузки в кластере.Это риск, и Microsoft должна исправить поведение, создав внутренний балансировщик нагрузки.