QwakCheol

[Kubernetes Advanced Network Security] AWS EKS : VPC CNI

CloudNet 가시다님이 진행하시는 KANS 스터디 9주차 정리입니다.[ 실습 환경 구성 ]CloudFormation으로 자동 배포 - VPC 1개(퍼블릭 서브넷 3개, 프라이빗 서브넷 3개), EKS 클러스터(Control Plane), 관리형 노드 구룹(EC2 3대), Add-on(kube-proxy, coredns, aws vpc cni)접속 후 기본 확인노드 정보 확인 및 SSH 접속1. AWS VPC CNI 소개k8s CNI : Container Network Interface는 k8s 네트워크 환경을 구성해준다▶ AWS VPC CNI : 파드의 IP를 할당해준다, 파드의 IP 네트워크 대역과 노드(워커)의 IP 대역이 같아서 직접 통신이 가능하다Amazon EKS implements clus..

[Kubernetes Advanced Network Security] Cilium CNI_2

CloudNet 가시다님이 진행하는 KANS 스터디 8주차 정리입니다.4. 서비스 통신 확인▶ Socket-Based LoadBalancing 소개pod1안에서 동작하는 앱이 connect() 시스템콜을 이용하여 소켓을 연결할 때 목적지 주소가 서비스 주소(10.10.8.55)이면 소켓의 목적지 주소를 바로 백엔드 주소(10.0.0.31)로 설정한다. 이후 앱에서 해당 소켓을 통해 보내는 모든 패킷의 목적지 주소는 이미 백엔드 주소(10.0.0.31)로 설정되어 있기 때문에 중간에 DNAT 변환 및 역변환 과정이 필요없어진다.destination NAT translation happens as the syscall level, before the packet is even built by the kern..

[Kubernetes Advanced Network Security] Cilium CNI_1

CloudNet 가시다님이 진행하는 KANS 스터디 8주차 정리입니다.  실습 환경 구성1. Cilium 소개1.1 BPF/eBPF 소개 ▶ Linux Network Stack : 리눅스 네트워크 스택의 단점은 복잡하고, 변경에 시간이 걸리고, 레이어를 건너뛰기 어렵다  ▶ IPtables 단점IPtables updates must be made by recreating and updating all rules in a single transaction.Implements chains of rules as a linked list, so all operations are O(n).The standard practice of implementing access control lists (ACLs) as i..

[Kubernetes Advanced Network Study] Service Mesh : Istio-Mode(Sidecar, Ambient) _2

CloudNet 가시다님이 진행하시는 KANS 스터디 7주차 정리입니다. 5.4 Traffic ManagementTraffic Management : 트래픽 컨트롤은 VirtualService와 DestinationRule 설정을 통해서 동작한다. ▶ 동작 소개 : 클라이언트 PC -> Istio ingressgateway 파드 -> (Gateway, VirtualService + DestinationRule) -> Cluster(Endpoint - 파드)Gateway : 지정한 인그레스 게이트웨이로부터 트래픽이 인입, 프로토콜 및 포트, HOSTS, Proxy 등 설정 가능VirtualService : 인입 처리할 hosts 설정, L7 PATH 별 라우팅, 목적지에 대한 정책 설정 가능 (envoy ..

[Kubernetes Advanced Network Study] Service Mesh : Istio-Mode(Sidecar, Ambient) _1

CloudNet 가시다님이 진행하시는 KANS 스터디 7주차 정리입니다. [ 실습 환경 구성 ]구성 : VPC 1개(퍼블릭 서브넷 2개), EC2 인스턴스 3대(Ubuntu 22.04 LTS, t3.xlarge - vCPU 4, Mem 16), testpc 1대는 t3.small [ 1. Istio 소개 ]▶ 서비스 메시(Service Mesh)등장 배경 : 마이크로서비스 아키텍처 환경의 시스템 전체 모니터링의 어려움, 운영 시 시스템 장애나 문제 발생할 때 원인과 병목 구간 찾기 어려움서비스 메시란?: 애플리케이션의 서비스 간 모든 통신을 처리하는 소프트웨어 계층. 이 계층은 컨테이너화된 마이크로서비스로 구성된다. 애플리케이션이 확장되고 마이크로서비스의 수가 증가함에 따라 서비스의 성능을 몬터링하기가 ..

[Kubernetes Advanced Network Study] Ingress & Gateway API_2

CloudNet 가시다님이 진행하는 Kubernetes Advanced Network Study 6주차 정리입니다. 3.7 카나리 업그레이드▶ 배포 자동화 지원(최소 중단, 무중단) - 롤링 업데이트, 카나리 업데이트, 블루/그린 업데이트1. 롤링 업데이트- 애플리케이션이 실행 중인 인프라를 완전히 교체하여 이전 버전의 애플리케이션을 새로운 버전의 애플리케이션으로 서서히 교체하는 배포 전략- 사용중인 인스턴스들을 하나씩 점진적으로 새로운 버전으로 교체하는 방식- 사용중인 인스턴스 하나를 로드밸런서에 라우팅하지 않도록 한 뒤, 새 버전으로 다시 라우- 가용 자원이 제한적일 경우 사용 2. 카나리 업데이트- 전체 인프라에 새로운 소프트웨어 버전을 릴리즈하여 모든 사용자가 사용할 수 있도록 하기 전에 변경 사..

[Kubernetes Advanced Network Study] Ingress & Gateway API_1

CloudNet 가시다님이 진행하는 스터디 6주차 정리입니다. [ 실습 환경 구성 ]▶ k3s : Lightweight Kubernetes. Easy to install, half the memory, all in a binary of less than 100 MBrancher 회사에서 IoT 및 edge computing 디바이스 위에서도 동작할 수 있도록 만들어진 경량 k8s 입니다장점 : 설치가 쉽다, 가볍다(etcd, cloud manager 등 무거운 컴포넌트 제거), 학습용 및 테스트 시 필요한 기능들은 대부분 탑재What is K3s : K3s is a fully compliant Kubernetes distribution with the following enhancementsDistrib..

[Kubernetes Advanced Network Study] LoadBalancer(MetalLB), IPVS + LoxiLB_2

CloudNet 가시다님이 진행하는 Kubernetes Advanced Network Study 5주차 정리입니다.3. MetalLB-BGP 모드MetalLB에 BGP 모드는 Kubernetes 클러스터에서 서비스(Service)의 External IP를 외부 네트워크에 광고하기 위한 방식 중 하나입니다. 특히, 온프레미스 환경에서 BGP(Border Gateway Protocol) 라우팅 프로토콜을 사용하여 외부 라우터와 통신하며, 서비스의 IP를 더욱 안정적이고 확장성 있게 관리할 수 있도록 해줍니다.안정적인 서비스 IP 관리 : BGP 프로토콜의 특성상 네트워크 토폴로지 변화에 강건하며, 다중 경로를 지원하여 장애 발생 시에도 서비스 가용성을 유지할 수 있습니다확장성 : BGP는 대규모 네트워크 환..

[Kubernetes Advanced Network Study] LoadBalancer(MetalLB), IPVS + LoxiLB_1

CloudNet 가시다님이 진행하는 Kubernetes Advanced Network Study 5주차 정리입니다.[ 실습 환경 구성 ]: CloudFormation 스택 배포 후 EC2 SSH 접속  LoadBalancer 소개Exposes the Service externally using an external load balancer.Kubernetes does not directly offer a load balancing componentyou must provide one, or you can integrate your Kubernetes cluster with a cloud provider.To implement a Service of type:LoadBalancer, Kubernetes t..

[Kubernetes Advanced Network Study] Service : ClusterIP, NodePort_2

CloudNet 가시다님이 진행하는 Kubernetes Advanced Network Study 4주차 정리입니다.  1.6 sessionAffinity : ClientIP: 클라이언트가 접속한 목적지(파드)에 고정적인 접속을 지원: iptables 룰 타고 파드에 고정 접속!▶ 설정 및 파드 접속 확인클라이언트(TestPod) -> 서비스(ClusterIP) 접속 시 : 1개의 목적지(backend) 파드로 고정 접속됨1.7 ClusterIP 통신 시 Hairpin NAT 필요 -> 접속하려는 클라이언트와 목적지(파드)가 동일 대상!▶ Cluster IP에 묶은(엔드포인트) 파드에서 서비스(Cluster IP)로 접속 시, 목적지 파드가 자신(파드)으로 결정되었을 때 어떻게 해야 통신이 될까요?  1...