Netwerk en verbindingen

Het basisdienstencluster staat in het routeringsdomein platform, met het aansluitprofiel van een besturingsknooppunt. Ieder VLAN heeft een vast gebruik.

Knooppunten hebben geen adres in VLAN 600 of 640; die VLAN’s zijn alleen via localnet (br-ex) aan virtuele machines gekoppeld. Zo heeft geen knooppunt of container een route naar het apparatuurbeheer of de ingangszone. Deze aansluitingen vallen buiten het netwerkbeleid van het cluster en staan in de dienstbeschrijving.

Adressen komen uit Infoblox en staan in NetBox. Het cluster heet api.c1-bd-01.c1.dc3.internal en *.apps.c1-bd-01.c1.dc3.internal; iedere dienst krijgt een naam onder het domein van de cel, zoals register, git, geheimen en toegang. Het API- en het ingangsadres kondigt het cluster zelf aan, onafhankelijk van de externe verkeersverdeling.

MetalLB geeft eigen adressen aan het geheimenbeheer, aan SSH van het versiebeheer, aan de teamingang en aan een ingangscontroller die alleen toegang.<cel> bedient; de overige diensten gaan via de gedeelde ingang. MetalLB werkt eerst in laag 2-modus en vanaf groeipadstap 3 met BGP.

Alleen de teamingang van de beheerwerkplek en de toegangsvoorziening, zonder beheerconsole, zijn doel van de externe verkeersverdeling. De gedeelde ingang, de beheeringang en de andere basisdiensten zijn dat niet.

Verkeer tussen de naamruimten van het basisdienstencluster is standaard dicht. Netwerkbeleid laat per dienst alleen de ingang, de eigen database, het geheimenbeheer, DNS en vastgelegde afnemers toe. Uitgaand verkeer gaat alleen naar de vastgelegde bestemmingen.

Alleen de naamruimte van het geheimenbeheer mag naar de databaseadressen in applicatieclusters, om tijdelijke databaserollen uit te geven. Het bronadres is dat van de knooppunten in VLAN 610; de databasenaamruimte laat dat adres toe.

De runner van het versiebeheer bereikt alleen het versiebeheer, de containerregistry, de naam- en tijdvoorziening en, alleen lezend en met een eigen token, de datacenterregistratie, voor de zonetoets van de toetspijplijn.

De automatisering stuurt het apparatuurbeheer aan via twee uitvoeringsknooppunten: virtuele machines in VLAN 600, aangestuurd over poort 27199. Zij voeren ook de uitsluiting van knooppunten en de apparaatback-ups uit. Zo is voor het apparatuurbeheer geen bredere zoneregel nodig.

De verbindingen van en naar het basisdienstencluster, met poort en zoneregel.

De stromen uit de herstelzone naar het basisdienstencluster zijn een aanvaard restrisico, begrensd door de leesrobot van de containerregistry, de naamruimte herstel-<cel> in het geheimenbeheer, een eigen deelreeks van adressen en toegangslijsten.