Ag Ilkesi: Gerekeni Ac, Geri Kalani Kapat

Neden onemli

Ele gecirilmis demo pod ad alanini tarar; veritabanina, onbellege ve odeme denemesine ulasir, cunku hicbir sey ulasamazsin dememistir. Duz aglar tek ele gecirilmis konteyneri tum servislerin turuna cevirir. Cozum guvenlik duvari cihazi degil, is yuklerinin yaninda bildirilen durustur: bu ad alani varsayilan kapatir, bu etiketli akislara izin verilir, gerisi duser. Sonraki sızma veritabanina izinli yolu olmayan poda inince patlama yaricapi tasarim geregi tek poddur.

Kavramlar

Ilke podlari secer ve giris, cikis veya ikisini bildirir. PodSecicili bos giris kurali o podlari listelenen kaynaklar disinda tum giristen yalitir; ayni sekil cikisi yonetir. Kurallar pod etiketleri, ad alani etiketleri ve CIDR bloklariyla eslesir, port ayrintisiyla. Varsayilan kapatma herhangi nesne gibi ilke nesnesidir: tum podlari sec, hicbir seye izin verme. Sonra her gereken akis kendi izin kuralini alir: onuctan arka uca uygulama portunda, arka ucttan veritabanina kendi portunda, isim cozumleme sursun diye kume DNSine DNS cikisi. DNS cikisini unutmak klasik kendi kendine kesintidir: isimler cozulmez ve eksik kural disinda her izin kurali suclu gorunur.

Uygulama CNIde yasar, manifestte degil. Bu dersin durust cekirdegidir: varsayilan KinD ve k3d CNIleri Ag Ilkesi nesnelerini yok sayar; ilke var olabilir, dogru gorunebilir ve hicbir seyi uygulamayabilir. L30 uygulayan CNI kurar (yerel kumede Calico belgelenmis yoldur) ve uygulamayi trafikle kanitlar: izinli akislar baglanir, reddedilenler zaman asimina ugrar ve fark varsayilmaz, olculur. Engellenmis baglanti gosteremedigin her ortam, yalitim iddia edemeyecegin ortamdir.

Ilkeleri sikici ve az tut. Ad alani basina bir varsayilan kapatma, gercek akis basina bir izin kurali, zaten var olan etiketler. Pod basina kartanesi ilke yayilmasi guvenlik duvari kural yigilmasi gibi curur; izin listesini gercek trafige karsi takvime bagli gozden gecir.

Uygulamali ornek

Onuc, arka uc ve veritabanli demo ad alani duz baslar: her pod her poda ulasir, baglanti denemeleriyle gosterilir. Varsayilan kapatma iner, hersey bozulur (beklenen), sonra uc izin kurali tam gereken akislari ve DNSi geri getirir. Son matris alti denemedir: ucu izinli baglanir, ucu reddedilen zaman asimina ugrar, hepsi alintilanir. Veritabanina arka ucttan ve baska hicbir yerden ulasilir.

Yaygin yanlis hamle

Uygulamayan CNI uzerinde ilke manifestleri uygulayip sistemi bolumlenmis ilan etmek. Manifestler dogrudur ve yalitim hayalidir. Engellenmis trafikle kanitla ya da iddia etme. Var olmayan CNI ozelligi calisiyormus gibi yapma.