Freeradius in Kubernetes Cluster

Diameter Gast #7154374
Lesenswert?
• ▲
▼ 
Ich habe ein Kubernetes Cluster mit einem externen Loadbalancer. Nun 
möchte ich im Cluster einen Freeradius Server für den Betrieb einer 
802.1x Infrastruktur betreiben. Mein Problem ist, dass ein Service zum 
NAT führt und das whitelisting deshalb nicht funktioniert. Ähnlich 
verhalt es sich beim Loadbalancer. Ich nutze dort gerne Proxy Protocol 
aber das scheint freeradius nicht zu unterstützen. Wie würdet ihr das 
Problem lösen?
Antwort Zitieren Bearbeiten Thread verschieben Thread sperren Anmeldepflicht aktivieren Anpinnen Thread löschen Thread mit anderem zusammenführen Beitrag melden
ozo Gast #7154385
Lesenswert?
• ▲
▼ 
Nabend,

schau dir mal CNI-Implementierungen an, die IPVS mit DSR können und 
kube-proxy ersetzen können.
Alternativ (ist imho aber suboptimal) kannst 
duServiceInternalTrafficPolicy auf local setzen - kommt aber mit einem 
Preis.

Grüße,
ozo
Antwort Zitieren Bearbeiten Löschen Beitrag melden
Diameter Gast #7156429
Lesenswert?
• ▲
▼ 
ozo schrieb:
> Nabend,
> schau dir mal CNI-Implementierungen an, die IPVS mit DSR können und
> kube-proxy ersetzen können.
> Alternativ (ist imho aber suboptimal) kannst
> duServiceInternalTrafficPolicy auf local setzen - kommt aber mit einem
> Preis.
> Grüße,
> ozo

Das hört sich interessant an. Verstehe ich es richtig, dass wenn ich 
Calico nutze die Umstellung machen könnte? Meine aktuelle Murkslösung 
sieht jetzt erstmal vor dem Pod eine statische IP zuzuweisen aber das 
ist natürlich auch sehr hässlich.
Antwort Zitieren Bearbeiten Löschen Beitrag melden
ozo Gast #7156625
Lesenswert?
• ▲
▼ 
Naja,

das ist leider alles recht komplex und hängt von vielen Randbedingungen 
ab.
Lese dir mal die Doku zu ServiceInternalTrafficPolicy durch - 
Grundproblem ist meines Verständnisses nach, dass ein Service in 
Kubernetes SNAT macht und damit die Client-IP im Pod maskiert ist.

Abhängig von Loadbalancer und CNI gibt es ein paar Wege außenrum. Eine 
Möglichkeit bestünde beispielsweise darin, ServiceInternalTrafficPolicy 
auf local zu stellen und dafür zu sorgen (beispielsweise DaemonSet), 
dass auf allen Workern ein Pod von Freeradius läuft.

Wenn es Loadbalancer und CNI unterstützen, gibt es offenbar auch weitere 
Möglichkeiten. Diese scheinen nach meinem aktuellen Verständnis 
kube-proxy (also das Ding was SNAT macht) zu ersetzen. Das ist aber auch 
noch Neuland für mich - an deiner Stelle würde ich die erste Variante 
probieren.

Grüße
ozo
Antwort Zitieren Bearbeiten Löschen Beitrag melden
Thread beobachten

Antwort schreiben

Hinweis: der ursprüngliche Beitrag ist mehr als 6 Monate alt. Bitte hier nur auf die ursprüngliche Frage antworten, für neue Fragen einen neuen Beitrag erstellen.

Formatierung
  • [c]C-Code[/c]
  • [code]Code in anderen Sprachen, ASCII-Zeichnungen[/code]
  • [math]Formel in LaTeX-Syntax[/math]
  • [[Titel]] – Link zu einem Artikel
  • Verweis auf einen anderen Beitrag: Rechtsklick auf dessen Beitrags-ID (#8078628), „Adresse kopieren“, in den Text einfügen

Mehr zur Formatierung

Längeren Sourcecode als Anhang, nicht in den Text. JPG nur für Fotos und Scans; Zeichnungen und Screenshots als PNG oder GIF. Siehe Bildformate.

Dein Name und deine E-Mail-Adresse

Schon registriert? Anmelden

Wird nicht angezeigt. Wir schicken dir einen Link; sobald du damit bestätigst, erscheint dein Beitrag.

Mit dem Abschicken legst du einen kostenlosen Account an und erkennst die Nutzungsbedingungen und die Datenschutzerklärung an.