说明为什么我的ILB上的“ HA端口”无法解决我的回叫问题

如何解决说明为什么我的ILB上的“ HA端口”无法解决我的回叫问题

这个问题有点不合常规，因为我已经找到了解决该问题的方法，但是我不知道为什么该方法有效。

我正在Azure中汇总一个POC，该POC需要进行回调。对于上下文，让我描述一下以下内容：

我有两个对等的VNet，一个是“客户” VNet，另一个是我们的“服务” VNet。客户VNet托管单个VM。

服务VNet具有两个子网：一个专用子网（用于承载AKS群集）和一个子网（暴露于客户并托管可访问的ILB）。在AKS集群中，有一个Pod，可以向客户发出常规的回调。由于Pod IP空间对客户而言是隐藏的，因此我们在节点上使用iptables将Pod IP SNAT转换为ILB IP，因此当客户收到回调时，它将通过响应将其连接到端口8080上的ILB IP。

要测试，我在客户VM上设置了一个nc侦听器：

root@client:/home/azureuser# nc -lp 8080

并从Pod连接到它：

bash-5.0# nc -p 8080 10.1.0.5 8080

客户VM收到回调，并且源IP已正确地SNAT到ILB IP，客户正确响应了端口8080上的ILB IP，但是ILB似乎丢弃了数据包－他们从未将其发送到节点，更不用说Pod了。 tcpdump来自测试的日志：

客户虚拟机：

16:48:14.812609 IP (**ILB IP**)10.0.1.5.8080 > (**Customer IP**)10.1.0.5.8080: Flags [S],seq 2880823896,win 64240,options [mss 1398,sackOK,TS val 874301733 ecr 0,nop,wscale 7],length 0
16:48:14.812680 IP 10.1.0.5.8080 > 10.0.1.5.8080: Flags [S.],seq 3308942881,ack 2880823897,win 65160,options [mss 1460,TS val 2601367483 ecr 874301733,length 0
16:48:15.825782 IP 10.1.0.5.8080 > 10.0.1.5.8080: Flags [S.],TS val 2601368497 ecr 874301733,length 0

节点VM：

16:48:14.770726 IP (**Pod IP**)10.0.0.22.8080 > (**Customer IP**)10.1.0.5.8080: Flags [S],length 0

吊舱：

16:48:14.770654 IP (**Pod IP**)10.0.0.22.8080 > (**Customer IP**)10.1.0.5.8080: Flags [S],length 0

要排除ILB配置错误，我使用ILB IP从客户VM连接到Pod：

客户虚拟机：

root@client:/home/azureuser# nc 10.0.1.5 8080
foo

吊舱：

bash-5.0# nc -lp 8080
foo

现在这是来自同一测试的日志，但是打开了HA Ports：

客户虚拟机：

17:01:56.355217 IP 10.0.1.5.8080 > 10.1.0.5.8080: Flags [S],seq 2832521904,TS val 875123275 ecr 0,length 0
17:01:56.355263 IP 10.1.0.5.8080 > 10.0.1.5.8080: Flags [S.],seq 3260643866,ack 2832521905,TS val 2602189026 ecr 875123275,length 0
17:01:56.425234 IP 10.0.1.5.8080 > 10.1.0.5.8080: Flags [.],ack 1,win 502,options [nop,TS val 875123346 ecr 2602189026],length 0
17:01:56.425283 IP 10.0.1.5.8080 > 10.1.0.5.8080: Flags [.],length 0

节点VM：

17:01:56.313082 IP 10.0.0.22.8080 > 10.1.0.5.8080: Flags [S],length 0
17:01:56.384007 IP 10.1.0.5.8080 > 10.0.0.22.8080: Flags [S.],length 0
17:01:56.384018 IP 10.1.0.5.8080 > 10.0.0.22.8080: Flags [S.],length 0
17:01:56.384094 IP 10.0.0.22.8080 > 10.1.0.5.8080: Flags [.],length 0
17:01:56.384099 IP 10.0.0.22.8080 > 10.1.0.5.8080: Flags [.],length 0

吊舱：

17:01:56.313045 IP 10.0.0.22.8080 > 10.1.0.5.8080: Flags [S],length 0
17:01:56.384031 IP 10.1.0.5.8080 > 10.0.0.22.8080: Flags [S.],length 0
17:01:56.384070 IP 10.0.0.22.8080 > 10.1.0.5.8080: Flags [.],length 0
17:01:56.384073 IP 10.1.0.5.8080 > 10.0.0.22.8080: Flags [S.],length 0
17:01:56.384077 IP 10.0.0.22.8080 > 10.1.0.5.8080: Flags [.],length 0

使用HA Ports，节点和Pod现在可以接收来自客户VM的传入数据包。为什么会这样？

The HA Ports documentation指出此功能将打开所有端口和协议。我打开了正确的端口和协议；打开更多端口和协议只是没有道理。

感谢您抽出宝贵时间阅读本文！