Une entreprise héberge une application internet sur Amazon EKS en utilisant le plugin Amazon VPC CNI pour le réseau des pods. Elle doit exposer l'application via un Network Load Balancer (NLB) et s'assurer que les pods voient l'adresse IP source d'origine des paquets reçus par le NLB. Comment le NLB et le service EKS doivent-ils être configurés pour satisfaire cette exigence ?

Pour conserver l'adresse IP source d'origine avec un Network Load Balancer (NLB) et Amazon EKS, deux configurations clés sont nécessaires. Premièrement, le NLB doit utiliser le type de cible ip. Cela permet au NLB d'acheminer le trafic directement vers les adresses IP des pods, qui sont des adresses IP de VPC réelles grâce au plugin Amazon VPC CNI. Deuxièmement, le service Kubernetes doit avoir l'attribut externalTrafficPolicy défini sur Local. Cette politique garantit que le trafic est acheminé uniquement vers les pods sur le nœud où le trafic est reçu, empêchant ainsi le masquage de l'adresse IP source par un saut supplémentaire via kube-proxy vers un pod sur un autre nœud. Les options incorrectes ne répondent pas à ces deux exigences. Utiliser le type de cible instance pour le NLB masque l'adresse IP source car le trafic est acheminé vers l'instance EC2, puis l'instance achemine le trafic vers le pod, masquant ainsi l'IP source. Définir externalTrafficPolicy sur Cluster masque également l'adresse IP source car le trafic peut être acheminé vers n'importe quel pod du cluster, potentiellement sur un autre nœud, via kube-proxy, ce qui entraîne un masquage de l'IP source.