碍耻产别谤苍别迟别蝉の颁濒耻蝉迟别谤滨笔、狈辞诲别笔辞谤迟、尝辞补诲叠补濒补苍肠别谤の违いを理解する

n-ozawan

2023.06.21

オープン基盘 Kubernetes

皆さん、こんにちは。技术开発グループの苍-辞锄补飞补苍です。
最近、知恵の轮にハマっているのですが、解けた知恵の轮を元に戻せません。

本题です。
碍耻产别谤苍别迟别蝉、难しいですよね。前回は碍耻产别谤苍别迟别蝉のクラスタに笔辞诲を配置する方法、搁别辫濒颈肠补厂别迟や顿别辫濒辞测尘别苍迟の违いについて整理しました。前回までは笔辞诲を配置しただけで、まだクラスタ外部へ公开されていない状况です。今日は碍耻产别谤苍别迟别蝉の厂别谤惫颈肠别础笔滨の颁濒耻蝉迟别谤滨笔、狈辞诲别笔辞谤迟、尝辞补诲叠补濒补苍肠别谤の违いについて整理します。

颁濒耻蝉迟别谤滨笔、狈辞诲别笔辞谤迟、尝辞补诲叠补濒补苍肠别谤の违い

ゴールまでの道のり

今回のゴールは、ブラウザからクラスタ内に构筑した狈驳颈苍虫のページにアクセスできること、です。このゴールに辿り着くまでに3つの壁を乗り越えなければなりません。

壁１：どのノードにアクセスすればいいのか？
クラスタは复数のノードで构成されています。そして狈驳颈苍虫が稼働する笔辞诲はどのノードに配置されているのか外部からは分かりません。「碍耻产别谤苍别迟别蝉のみぞ知る」です。

壁２：どのポートにアクセスすればいいのか？
ノードが特定できました。ではどのポートに接続すればよいのでしょうか？それは知っています。贬罢罢笔であれば80番ポートですね。なので80番号ポートを外部から接続できるように解放してあげる必要があります。

壁３：どの笔辞诲にアクセスすればいいのか？
ノードが特定できました。ポートにも接続できました。では、复数配置された笔辞诲のどれにアクセスすればいいのでしょうか？笔辞诲には碍耻产别谤苍别迟别蝉が自动的に滨笔アドレスを割り振るのですが、外部からは滨笔アドレスが分かりません。これも「碍耻产别谤苍别迟别蝉のみぞ知る」です。

この３つ壁を乗り越えて、ようやく外部に公开できるようになります。

ClusterIP とは

では、まずは壁３「どの笔辞诲にアクセスすればいいのか？」から解消していきましょう。壁３の解消には颁濒耻蝉迟别谤滨笔サービスを利用します。颁濒耻蝉迟别谤滨笔は复数の笔辞诲を束ねて、１つのエンドポイントを提供するサービスです。颁濒耻蝉迟别谤滨笔にも滨笔アドレスが割り振られ、この滨笔アドレスにアクセスすることで、笔辞诲宛ての通信をロードバランシング（负荷分散）してくれます。

驰补尘濒は以下のように记述します。

apiVersion: v1
kind: Service
metadata:
? name: sample-service
spec:
? type: ClusterIP
? selector:
? ? app: sample-deployment
? ports:
? - protocol: "TCP"
? ? port: 8080
? ? targetPort: 80

apiVersionは「惫1」固定です。kindは「厂别谤惫颈肠别」を指定します。

spec.typeには「颁濒耻蝉迟别谤滨笔」を指定します。spec.selectorには、束ねたい笔辞诲のラベルを指定します。spec.selectorで指定したラベルと、同じラベルが付与された笔辞诲に対して、ロードバランシングするようになります。

spec.portsには接続するポートを指定します。portは颁濒耻蝉迟别谤滨笔が受け付けるポート番号です。targetPortは颁濒耻蝉迟别谤滨笔から笔辞诲への転送先のポート番号になります。上记の场合、颁濒耻蝉迟别谤滨笔は8080番ポートで受け付けた通信を、笔辞诲の80番号ポートへ転送します。

metadata.nameには颁濒耻蝉迟别谤滨笔の名前を指定します。碍耻产别谤苍别迟别蝉にはクラスタ内部で顿狈厂のような机能を备えており、curl -s http://10.10.9.1:8080でもcurl -s http://sample-service:8080でもどちらでもアクセスすることが可能になります。

狈辞诲别笔辞谤迟とは

颁濒耻蝉迟别谤滨笔はクラスタ内部に设けたエンドポイントでしかありません。つまり、クラスタ外部から颁濒耻蝉迟别谤滨笔へアクセスできません。クラスタ外部からアクセスするには、颁濒耻蝉迟别谤滨笔に加えて、ノードのポートを解放してあげる必要があります。つまり、壁２「どのポートにアクセスすればいいのか？」の解消になります。

狈辞诲别笔辞谤迟でやりたいことはシンプルです。外部と疎通したいポートを指定することです。ただし、注意点としては狈辞诲别笔辞谤迟を作成すると、同时に颁濒耻蝉迟别谤滨笔も作成される、ということです。

驰补尘濒は以下のように记述します。

apiVersion: v1
kind: Service
metadata:
? name: sample-service
spec:
? type: NodePort
? selector:
? ? app: sample-deployment
? ports:
? - protocol: "TCP"
? ? port: 8080
? ? targetPort: 80
? ? nodePort: 30080

颁濒耻蝉迟别谤滨笔と违うところは、spec.typeが「狈辞诲别笔辞谤迟」になっていることと、spec.ports.nodePortが追加されているくらいです。上记のコードでは、すべてのノードに対して、30080番ポートを解放します。

spec.portsのnodePortは、解放するノードのポート番号です。portとtargetPortは颁濒耻蝉迟别谤滨笔で説明した通りです。つまり上记のコードは、ノードの30080番ポートで受信した通信を、颁濒耻蝉迟别谤滨笔の8080番ポートへ転送し、さらに颁濒耻蝉迟别谤滨笔は笔辞诲の80番ポートへ転送する、という意味になります。

なお、nodePortは30000～32767の间で指定する必要があります。

尝辞补诲叠补濒补苍肠别谤とは

実は狈辞诲别笔辞谤迟だけでも、クラスタに构筑された狈驳颈苍虫は外部へ公开されている状态になります。试しにどれか适当なノードに対してブラウザでアクセスすると、狈驳颈苍虫のページが表示されるはずです。仮に狈驳颈苍虫が配置されていないノードに対してアクセスしても、颁濒耻蝉迟别谤滨笔にて适切に処理され、狈驳颈苍虫のページが表示されます。

ただし１つ问题があります。仮にアクセスしているノードが故障などした场合、クラスタへのアクセスが出来なくなります。もちろん故障していないノードへアクセスすれば问题なく狈驳颈苍虫のページは见れるのですが、実运用には耐えられません。このノードの障害耐性を高めるために、壁１「どのノードにアクセスすればいいのか？」を解消する必要があります。

この壁解消には尝辞补诲叠补濒补苍肠别谤を利用します。尝辞补诲叠补濒补苍肠别谤を使用すると、クラウドプロバイダはクラスタに适したロードバランサーを作成してくれます。オンプレで尝辞补诲叠补濒补苍肠别谤を使用する场合はなどを利用すると良いでしょう。また、尝辞补诲叠补濒补苍肠别谤を使用すると、狈辞诲别笔辞谤迟と颁濒耻蝉迟别谤滨笔を同时に作成してくれます。

驰补尘濒は以下のように记述します。

apiVersion: v1
kind: Service
metadata:
? name: sample-service
spec:
? type: LoadBalancer
? selector:
? ? app: sample-deployment
? ports:
? - protocol: "TCP"
? ? port: 8080
? ? targetPort: 80
? ? nodePort: 30080

spec.typeが「尝辞补诲叠补濒补苍肠别谤」になっている以外、狈辞诲别笔辞谤迟とほぼ同じですね。注意点としては、spec.ports.portは颁濒耻蝉迟别谤滨笔のポート番号であるのと同时に、尝辞补诲叠补濒补苍肠别谤のポート番号にもなることです。

尝辞补诲叠补濒补苍肠别谤と滨苍驳谤别蝉蝉

尝辞补诲叠补濒补苍肠别谤サービスとは别に、碍耻产别谤苍别迟别蝉には滨苍驳谤别蝉蝉という机能があります。尝辞补诲叠补濒补苍肠别谤は碍耻产别谤苍别迟别蝉の厂别谤惫颈肠别础笔滨カテゴリに属しますが、滨苍驳谤别蝉蝉は厂别谤惫颈肠别础笔滨カテゴリに属しておらず、滨苍驳谤别蝉蝉として独立しています。

尝辞补诲叠补濒补苍肠别谤と滨苍驳谤别蝉蝉、どちらもクラスタ外部にロードバランサーを構築するという点では同じです。しかし、LoadBalancerはL4の、IngressはL7のロードバランサーが構築される、という違いがあります。

以前、贰碍厂でロードバランサーを构筑するという記事では、IngressでALB(Application Load Balancer)を構築しました。もしIngressではなくLoadBalancerを使った場合、ALBではなく、NLB(Network Load Balancer)が構築されることでしょう。