服务加入Istio后,如何获取客户端真实源IP? 问题现象 服务启用Istio后,访问日志中无法获取到客户端源IP。 解决方案 本文以绑定ELB类型Service的nginx应用为例,详细步骤如下: ELB侧开启获取客户端IP 独享型ELB默认开启源地址透传功能,无需手动开启。
限制(如VPC路由条目数、弹性网卡数、创建速度限制)。 支持网络隔离,具体请参见配置网络策略(NetworkPolicy)限制Pod访问的对象。 支持带宽限制。 支持大规模组网,最大可支持2000节点规模。 缺点 由于隧道封装,网络问题排查难度较大,整体性能较低。 Pod无法直接利用EIP、安全组等能力。
云原生网络2.0模型 云原生网络2.0模型说明 为CCE Turbo集群配置默认容器子网 使用注解为Pod绑定安全组 使用安全组策略为工作负载绑定安全组 使用容器网络配置为命名空间/工作负载绑定子网及安全组 为Pod配置固定IP 为Pod配置EIP 为Pod配置固定EIP 为IPv6双栈网卡的Pod配置共享带宽
如果在整个集群中启用了DNS,则所有Pods应该能够自动对Services进行名称解析。 除非绝对必要,否则不要为Pod指定hostPort。 将Pod绑定到hostPort时,它会限制Pod可以调度的位置数,因为每个<hostIP, hostPort, protocol>组合必须是唯一的。
默认情况下,NodePort类型Service可以通过任意节点IP:节点端口访问。 在集群同VPC下或集群容器内都可以访问,如果给节点绑定公网IP,也可以使用公网IP访问。如下所示,在集群上创建一个容器,从容器中使用节点IP:节点端口访问。 # kubectl get node -owide
在服务页签先找到myblog-wordpress,在IP地址一列找到负载均衡公网IP。 在浏览器地址栏中输入<负载均衡公网IP>:80访问WordPress。 在浏览器地址栏中输入<负载均衡公网IP>:80/login 访问WordPress后台,用户为user,执行如下命令获取user用户的密码。
Service ELB 高危操作 导致后果 误操作后解决方案 禁止通过ELB的控制台删除已绑定CCE集群的ELB实例 导致Service/Ingress访问不通。 不建议删除。 通过ELB的控制台停用已绑定CCE集群的ELB实例 导致Service/Ingress访问不通。 不建议停用,请自行恢复。
负载均衡(LoadBalancer) 创建负载均衡类型的服务 使用Annotation配置负载均衡类型的服务 为负载均衡类型的Service配置HTTP/HTTPS协议 为负载均衡类型的Service配置服务器名称指示(SNI) 为负载均衡类型的Service配置跨集群的后端 为
工作负载 工作负载概述 创建工作负载 配置工作负载 调度工作负载 登录容器实例 管理工作负载 管理自定义资源 Pod安全配置 工作负载最佳实践
产环境、测试环境)等 集群公网IP 集群管理节点弹性公网IP 参数名 取值范围 默认值 是否允许修改 作用范围 clusterExternalIP 租户下已存在的公网IP 无 允许 CCE Standard/CCE Turbo 为集群管理面绑定公网IP,以支持从公网调用集群接口 配置建议:
卡池: 当已绑定容器网卡数量(Pod使用的容器网卡数+预绑定的容器网卡数)< 预绑定低水位容器网卡数时,会绑定网卡直到节点上已绑定容器网卡数量(Pod使用的容器网卡数+预绑定的容器网卡数)=预绑定低水位容器网卡数。 当已绑定容器网卡数量(Pod使用的容器网卡数+预绑定的容器网卡数)>
扩展集群VPC网段 操作场景 在创建集群时会选择集群位于某个VPC内,如果VPC规划太小出现没有足够可用IP时,您可以采用VPC扩展网段满足业务扩容需求。本文介绍如何使用VPC扩展网段扩充集群网段。 约束与限制 仅支持v1.21及以上版本的CCE Standard集群和CCE Turbo集群。
(192.168.0.0/16网段)。 节点规格:4核 | 16GiB 操作系统:Huawei Cloud EulerOS 2.0 弹性公网IP:为节点自动创建EIP,可访问公网拉取镜像。 CCE集群 本示例中共有2个CCE集群,包括测试集群和生产集群。 关键配置如下,非关键配置可根据需求自行设置或设为默认值。
B界面。 确认ELB实例是否包含IPv4私网IP。 为无IPv4私网IP地址的ELB绑定一个私网IP。 登录CCE控制台,单击目标ELB名称。 在基本信息页面,单击“IPv4私有IP”旁的“绑定”。 设置子网及IPv4地址,并单击“确定”。 父主题: 升级前检查异常问题排查
购买集群 集群类型对比 购买Standard/Turbo集群 在CCE Turbo集群中使用分布式云资源 使用KMS进行Secret落盘加密 iptables与IPVS如何选择 父主题: 集群
在企业原有的IDC,该企业同时购买了华为云图像识别服务。CCE所在的VPC和原有的IDC之间通过专线进行连接。部署架构如图1所示。 当用户访问该企业的APP时,不同微服务之间涉及到如下交互: CCE集群访问华为云图像识别服务时,默认使用华为云域名解析服务器。 CCE集群访问IDC
集群删除 集群删除失败:安全组中存在残留资源 冻结或不可用的集群删除后如何清除残留资源 父主题: 集群
详情请参见使用容器网络配置为命名空间/工作负载绑定子网及安全组。 指定容器网络配置名:只支持选择关联资源类型为工作负载类型的自定义容器网络配置。 IPv6共享带宽:仅支持该功能的集群显示该选项,开启后可为Pod的IPv6双栈网卡绑定共享带宽,详情请参见为IPv6双栈网卡的Pod配置共享带宽。
命名空间 命名空间因APIService对象访问失败无法删除 如何删除Terminating状态的命名空间?
资源与成本规划 本文提供的成本预估费用仅供参考,资源的实际费用与用户所在区域相关,请以华为云管理控制台显示为准。 完成本实践所需的资源如下: 表1 资源和成本规划 资源 资源说明 数量 费用(元) 弹性云服务器ECS 建议选择按需计费。 虚拟机类型:通用计算增强型 节点规格:4核