Mengonfigurasi gateway NAT keluar

Version 1.15 

• Versi terbaru
• Versi 1.16
• Versi sebelumnya (tidak didukung)

Dengan GKE di VMware, Anda dapat mengonfigurasi terjemahan alamat jaringan sumber (SNAT) sehingga traffic keluar tertentu dari cluster pengguna Anda akan diberi alamat IP sumber yang dapat diprediksi.

Dokumen ini menunjukkan cara mengonfigurasi gateway NAT keluar untuk cluster pengguna.

Perhatian: Anda tidak dapat mengupgrade cluster versi 1.8.x atau 1.9.x yang mengaktifkan Anthos Network Gateway ke versi yang lebih baru. Misalnya, Anda tidak dapat mengupgrade cluster versi 1.9.0 yang mengaktifkan Anthos Network Gateway ke versi 1.9.x, dan Anda juga tidak dapat mengupgradenya ke versi 1.10. Anda hanya dapat mengupgrade cluster yang mengaktifkan Anthos Network Gateway jika cluster tersebut dibuat dalam versi 1.10 atau yang lebih baru. Anda dapat menghapus cluster versi 1.8.x atau versi 1.9.x, lalu membuatnya kembali dengan mengikuti petunjuk dalam dokumen ini.

Pengantar

Terkadang, Anda memiliki Pod yang berjalan di cluster pengguna dan perlu mengirim paket ke komponen yang berjalan di organisasi Anda, tetapi di luar cluster. Anda mungkin perlu mendesain komponen eksternal tersebut agar memfilter traffic jaringan masuk sesuai dengan sekumpulan alamat IP sumber yang sudah dikenal.

Berikut ini beberapa skenarionya:

• Anda memiliki firewall di depan database yang hanya mengizinkan akses berdasarkan alamat IP. Dan tim yang mengelola firewall {i>database<i} berbeda dengan tim yang mengelola cluster pengguna.

• Beban kerja di cluster pengguna Anda harus mengakses API pihak ketiga melalui internet. Untuk alasan keamanan, penyedia API mengautentikasi dan memberikan otorisasi traffic menggunakan alamat IP sebagai identitas.

Dengan gateway NAT keluar, Anda dapat memiliki kontrol terperinci atas alamat IP sumber yang digunakan untuk traffic jaringan yang keluar dari cluster.

Harga

Penggunaan fitur ini selama pratinjau tidak dikenai biaya.

Cara kerja gateway NAT keluar

Biasanya, saat Pod mengirim paket keluar dari cluster, paket tersebut diterjemahkan SNAT dengan alamat IP node tempat Pod berjalan.

Ketika gateway NAT keluar diterapkan, Anda dapat menentukan bahwa paket keluar tertentu harus dikirim terlebih dahulu ke node gateway khusus. Antarmuka jaringan pada node gateway dikonfigurasi dengan dua alamat IP: alamat IP utama dan alamat IP sumber traffic keluar.

Ketika sebuah paket telah dipilih untuk menggunakan gateway NAT keluar, paket tersebut akan meninggalkan cluster dari node gateway dan diterjemahkan SNAT dengan alamat IP sumber traffic keluar yang dikonfigurasi di antarmuka jaringan.

Diagram berikut mengilustrasikan alur paket:

Diagram sebelumnya, Anda dapat melihat alur paket yang dikirim dari Pod.

1. Pada node dengan alamat IP 192.168.1.1, Pod dengan alamat IP 10.10.10.1 menghasilkan paket keluar.

2. Paket cocok dengan aturan keluar, sehingga paket diteruskan ke node gateway.

3. Node gateway mengubah alamat IP sumber menjadi 192.168.1.100 dan mengirim paket keluar dari cluster.

4. Traffic yang kembali akan kembali ke node gateway dengan tujuan 192.168.1.100.

5. Node gateway menggunakan conntrack untuk mengubah alamat IP tujuan menjadi 10.10.10.1.

6. Paket ini diperlakukan sebagai traffic dalam cluster dan diteruskan ke node asli, lalu dikirimkan kembali ke Pod asli.

Persona

Topik ini mengacu pada dua persona:

• Administrator cluster. Pengguna ini membuat cluster pengguna dan menentukan alamat IP mengambang untuk digunakan oleh Anthos Network Gateway.

• Developer. Pengguna ini menjalankan beban kerja pada cluster pengguna dan membuat kebijakan keluar.

Aktifkan gateway NAT keluar

Bagian ini ditujukan untuk administrator cluster.

Untuk mengonfigurasi gateway NAT keluar, gunakan kolom enableDataplaneV2 dan advancedNetworking di file konfigurasi cluster pengguna, lalu buat satu atau beberapa objek NetworkGatewayGroup.

Di file konfigurasi cluster Anda, tetapkan kolom ini ke true:

enableDataplaneV2: true
...
advancedNetworking: true

Buat cluster pengguna.

Menentukan alamat IP mengambang

Bagian ini ditujukan untuk administrator cluster.

Pilih sekumpulan alamat IP yang ingin Anda gunakan sebagai alamat sumber traffic keluar. Ini disebut alamat IP mengambang, karena Grup Gateway Jaringan menetapkannya, sesuai kebutuhan, ke antarmuka jaringan node yang dipilih sebagai gateway keluar.

Alamat IP mengambang harus berada di subnet yang sama dengan alamat IP node Anda.

Kumpulan alamat IP mengambang Anda tidak boleh tumpang tindih dengan kumpulan alamat IP yang telah Anda tetapkan untuk node.

Misalnya, subnet memiliki rentang alamat 192.168.1.0/24. Dan anggaplah Anda telah memilih untuk menggunakan 192.168.1.1 hingga 192.168.1.99 untuk node. Kemudian, Anda dapat menggunakan 192.168.1.100 hingga 192.168.1.104 sebagai alamat IP mengambang.

Membuat objek NetworkGatewayGroup

Bagian ini ditujukan untuk administrator cluster.

Berikut adalah contoh manifes untuk objek NetworkGatewayGroup:

kind: NetworkGatewayGroup
apiVersion: networking.gke.io/v1
metadata:
  namespace: kube-system
  name: default
spec
  floatingIPs:
  - 192.168.1.100
  - 192.168.1.101
  - 192.168.1.102
  - 192.168.1.103
  - 192.168.1.104

Ganti array floatingIPs dengan alamat IP mengambang, lalu simpan manifes dalam file bernama my-ngg.yaml.

Buat objek NetworkGatewayGroup:

kubectl --kubeconfig USER_CLUSTER_KUBECONFIG apply -f my-ngg.yaml

Contoh kebijakan NAT keluar

Bagian ini ditujukan untuk developer.

Berikut adalah contoh resource kustom TrafficNatPolicy:

kind: EgressNATPolicy
apiVersion: networking.gke.io/v1
metadata:
  name: alice-paul
spec:
  sources:
  - namespaceSelector:
      matchLabels:
        user: alice
    podSelector:
      matchLabels:
        role: frontend
  - namespaceSelector:
      matchLabels:
        user: paul
    podSelector:
      matchLabels:
        role: frontend
  action: SNAT
  destinations:
  - cidr: 8.8.8.0/24
  gatewayRef:
    name: default
    namespace: kube-system

Dalam manifes sebelumnya, kita melihat:

• Pod adalah kandidat untuk NAT keluar jika memenuhi salah satu hal berikut:

  • Pod memiliki label role: frontend, dan Pod berada dalam namespace yang memiliki label user: alice.

  • Pod memiliki label role: frontend, dan Pod berada dalam namespace yang memiliki label user: paul.

• Traffic dari Pod kandidat ke alamat dalam rentang 8.8.8.0/24 dikirim ke gateway NAT keluar.

• Bagian gatewayRef menentukan alamat IP sumber traffic keluar. Resource kustom TrafficNATPolicy menggunakan nilai gatewayRef.name dan gatewayRef.namespace untuk menemukan objek NetworkGatewayGroup. Kebijakan ini menggunakan salah satu alamat IP mengambang NetworkGatewayGroup sebagai alamat IP sumber untuk traffic keluar. Jika ada beberapa alamat IP mengambang di NetworkGatewayGroup yang cocok, kebijakan akan menggunakan alamat IP pertama dalam daftar floatingIPs, dan mengabaikan alamat IP lainnya. Jika ada kolom yang tidak valid di bagian gatewayRef, hal ini akan mengakibatkan kegagalan untuk menerapkan objek OutboundNATPolicy.

Membuat objek TrafficNATPolicy

Membuat manifes TrafficNATPolicy Anda sendiri. Tetapkan metadata.name ke "my-policy". Simpan manifes Anda dalam file bernama my-policy.yaml.

Buat objek TrafficNatPolicy:

kubectl apply --kubeconfig USER_CLUSTER_KUBECONFIG -f my-policy.yaml

Melihat informasi tentang kebijakan NAT keluar Anda

kubectl --kubeconfig USER_CLUSTER_KUBECONFIG get egressnatpolicy my-policy --output yaml

kubectl --kubeconfig USER_CLUSTER_KUBECONFIG get networkgatewaygroup --namespace kube-system --output yaml

kubectl --kubeconfig USER_CLUSTER_KUBECONFIG describe egressnatpolicy my-policy

Urutan operasi

Kebijakan NAT keluar kompatibel dengan API kebijakan jaringan. Kebijakan jaringan dievaluasi sebelum kebijakan NAT keluar. Jika kebijakan jaringan meminta untuk melepaskan paket, paket tersebut akan dihapus terlepas dari kebijakan NAT keluar.

Beberapa kebijakan traffic keluar

Seperti yang dijelaskan sebelumnya, setiap OutboundNATPolicy menggunakan alamat IP pertama dalam daftar floatingIPs dari NetworkGatewayGroup yang cocok dengan gatewayRef.name dan gatewayRef.namespace. Jika Anda membuat beberapa kebijakan dan ingin menggunakan alamat IP yang berbeda, Anda perlu membuat beberapa objek NetworkGatewayGroup, dan merujuk ke masing-masing objek tersebut. Jika Anda membuat beberapa kebijakan, objek gatewayRef untuk setiap kebijakan harus unik.

Setiap resource NetworkGatewayGroup harus berisi alamat IP mengambang yang unik. Untuk mengonfigurasi beberapa objek EgressNATPolicy agar menggunakan alamat IP yang sama, gunakan gatewayRef.name dan gatewayRef.namespace yang sama untuk keduanya.

Catatan: Anthos Network Gateway tidak mengizinkan Anda membuat objek gateway baru yang berisi alamat IP di spec.floatingIPs yang sudah digunakan dalam objek gateway yang sudah ada. Aturan ini diterapkan oleh webhook di GKE pada VMware versi 1.15.0 dan yang lebih baru.

Untuk menyiapkan beberapa kebijakan traffic keluar dan beberapa objek gateway:

1. Buat objek gateway di namespace kube-system untuk mengelola setiap alamat IP mengambang. Biasanya, setiap kebijakan traffic keluar harus memiliki objek gateway yang sesuai untuk memastikan alamat IP yang benar dialokasikan.

   Kemudian verifikasi setiap objek gateway dengan kubectl untuk mendapatkan status alokasi alamat IP mengambang:

   kind: NetworkGatewayGroup
   apiVersion: networking.gke.io/v1
   metadata:
     namespace: kube-system
     name: gateway1
   spec:
     floatingIPs:
     - 192.168.1.100
   status:
     ...
     floatingIPs:
       192.168.1.100: worker1
   ---
   kind: NetworkGatewayGroup
   apiVersion: networking.gke.io/v1
   metadata:
     namespace: kube-system
     name: gateway2
   spec:
     floatingIPs:
     - 192.168.1.101
   status:
     ...
     floatingIPs:
       192.168.1.101: worker2
   ---
   kind: NetworkGatewayGroup
   apiVersion: networking.gke.io/v1
   metadata:
     namespace: kube-system
     name: gateway3
   spec:
     floatingIPs:
     - 192.168.1.102
   status:
     ...
     floatingIPs:
       192.168.1.102: worker1
   

2. Buat beberapa kebijakan yang merujuk ke objek gateway, seperti gateway1 yang dibuat pada langkah sebelumnya:

   kind: EgressNATPolicy
   apiVersion: networking.gke.io/v1
   metadata:
     name: egresspolicy1
   spec:
     ...
     gatewayRef:
       name: gateway1
       namespace: kube-system
   ---
   kind: EgressNATPolicy
   apiVersion: networking.gke.io/v1
   metadata:
     name: egresspolicy2
   spec:
     ...
     gatewayRef:
       name: gateway2
       namespace: kube-system
   ---
   kind: EgressNATPolicy
   apiVersion: networking.gke.io/v1
   metadata:
     name: egresspolicy3
   spec:
     ...
     gatewayRef:
       name: gateway3
       namespace: kube-system