Настройка параметров Cilium CNI

Для мониторинга среды выполнения с использованием профилей среды выполнения контейнеров одновременно с применением Cilium CNI (поды агента node-agent развернуты на одних с агентом cilium-agent узлах), вам нужно настроить параметры хост-серверов для обеспечения совместимости с eBPF-режимом.

Значения этих параметров применяются только для обеспечения совместимости eBPF-режима с Cilium CNI, если на узле с установленным Cilium CNI действует стандартный режим eBPF (для агента node-agent в объекте DaemonSet указано CILIUM_MODE=false).

Чтобы настроить параметры хост-серверов с Cilium CNI:

1. Измените объект кластера ConfigMap cilium-config следующим образом:
   1. Укажите значение параметра data.bpf-filter-priority больше 1.

      Мы рекомендуем указывать 5 в значении параметра data.bpf-filter-priority.

   2. Укажите значение false для следующих переменных:
      • kube-proxy-replacement (заменяет стандартный объект Kubernetes kube-proxy на инструмент на основе eBPF).
      • enable-bpf-masquerade (включает преобразование исходного IP-адреса пода в IP-адрес узла для исходящего трафика из подов).
      • enable-tcx (включает использование технологии TCX (англ. Transparent Connection Offload) для присоединения eBPF-программ к сетевым интерфейсам подов).
2. Перезапустите поды агента cilium-agent, чтобы применить изменения.

Если вы применяете Cilium CNI, при установке агентов node-agent требуется учитывать следующее:

• При использовании Cilium CNI необходимо учитывать, что Kaspersky Container Security автоматически не определяет используемую платформу оркестрации (например, OpenShift). Используемую платформу требуется явно указать в конфигурационном файле с помощью переменной окружения PLATFORM_TYPE. Для этой переменной могут быть указаны следующие значения:
  • k8s (для Kubernetes, значение по умолчанию).
  • openshift (для OpenShift).
  • shturval (для Штурвала).
  • deckhouse (для Deckhouse).

  В зависимости от значения этого параметра Kaspersky Container Security добавляет в Cilium стандартные правила для DNS-серверов для указанной платформы.

  Вы также можете указать платформу оркестрации в веб-интерфейсе Kaspersky Container Security при создании группы агентов или изменении ее параметров.

• При использовании OpenShift или Deckhouse и Cilium CNI требуется изменить внутренний DNS-порт. Для этого вместо стандартного значения порта 53 в переменной DNS_PORT необходимо указать значение 5353 или другой порт, который используется в пользовательской конфигурации Kubernetes.
• Для осуществления действий по мониторингу и анализу состояния сети при использовании Cilium CNI требуется включение модуля cilium-hubble. Для этого выполните следующие команды:

  cilium hubble enable <включение модуля cilium-hubble>

  cilium status <проверка правильного включения модуля cilium-hubble>

  Для правильного включения модуля cilium-hubble необходимо открыть TCP-порт 4244 на всех узлах, на которых используется Cilium CNI.

  Более подробно информация о включении модуля cilium-hubble представлена в документации Cilium CNI.

Правила и исключения Cilium CNI применяются, если на узлах активирован режим работы с Cilium CNI (для объекта DaemonSet агента node-agent указано значение CILIUM_MODE=auto или CILIUM_MODE=true).

Блокирование сетевых соединений в контейнерах

Если вы применяете Cilium CNI, при определении варианта блокирования сетевых соединений в контейнерах кроме CIDR и FQDN необходимо указывать правила Cilium CNI.

Правила для CIDR и FQDN для Cilium CNI применяются только для указания внешних по отношению к Kubernetes ресурсов. Для указания внутренних ресурсов Kubernetes вместо CIDR и FQDN необходимо использовать метки ресурсов.

Правила указываются вместе со значениями CIDR и FQDN через запятую следующим образом:

entity:<ENTITY_NAME> -OR- endpoint:<NAMESPACE> -OR- service:<NAMESPACE>{|<LABEL_1_KEY>=<LABEL_2_VALUE>{,<LABEL_N_KEY>=LABEL_N_VALUE}}

где:

• <ENTITY_NAME> – название объектов, которые имеют доступ к выбранным конечным точкам сети (англ. Endpoints) и доступны для них. Варианты значений, которые могут указываться в качестве названий объектов, представлены в документации Cilium.
• <NAMESPACE> – действительное название пространства имен.
• <LABEL_1_KEY>=<LABEL1_VALUE> – пара "ключ-значение" метки пространства имен (например, env=staging). Этот параметр не является обязательным и указывается при необходимости.

  Параметр =<LABEL1_VALUE> также не является обязательным, поскольку метка может состоять только из ключа (значение ключа не приводится). В таком случае параметр указывается следующим образом: <LABEL_1_KEY>.

• <LABEL_N_KEY>=LABEL_N_VALUE – список меток пространства имен, в котором метки перечисляются через запятую (например, app=test,component=api-v2,k8s-app=kube-dns). Этот параметр также не является обязательным и указывается при необходимости.

  Примеры правил: entity:all endpoint:default endpoint:default|app=nginx endpoint:default|app.nginx=web-prod endpoint:default|app=nginx,env=prod service:default|app=backend service:kube-system|k8s-app=kube-dns endpoint:devns1|app=test,component=api-v2 endpoint:dev-ns1|app=test,component=api.v2 endpoint:|app=test

Такой формат определения правил и исключений используется только для Cilium CNI. Если вы используете его для других CNI, решение проигнорирует неверно указанные параметры.

Применение сетевых политик, содержащих DNS-имена

Для определения политик доступа к конечным точкам сети, на которых не применяется Cilium CNI, могут использоваться сетевые политики, содержащие DNS-имена. В них указываются доменные имена, поддерживающие запросы по DNS. Используя DNS-прокси, Cilium CNI может определить связь таких доменных имен с IP-адресами на основе получаемых от конечных точек сети DNS-ответов. Информация об IP-адресе получается с помощью правил matchName или matchPattern из всех DNS-ответов, доступных на узле.

Применение содержащих DNS-имена сетевых политик возможно только при наличии флага --enable-l7-proxy=true в конфигурации Cilium CNI. Если этот параметр не указан, решение не сможет применять политики, содержащие DNS-имена, а в данных о действиях по мониторингу и анализу сетевой активности будет отображаться ошибка подключения.

При использовании Cilium CNI также необходимо учитывать правила определения значений переменных при развертывании агентов node-agent.

Применение правил, основанных на CIDR

В профиле среды выполнения в исключениях для входящих и исходящих сетевых соединений в Kaspersky Container Security указывается IP-адрес или диапазон IP-адресов источников соединений в нотациях CIDR4 и CIDR6. Cilium CNI рассматривает CIDR как адрес источника соединения, который находится вне кластера. Если соединение осуществляется между подами в кластере, такие соединения так же считаются внешними по отношению к кластеру.

Для определения адресов объектов внутри кластера в Cilium CNI необходимо использовать метки подов (например, fromCIDR и toCIDR).

Объединение потоков трафика

Если под в кластере отправляет запрос внешнему для кластера ресурсу и получает от этого ресурса ответ, Cilium CNI считает исходящие и входящие потоки трафика одним соединением (TrafficDirection = Egress). Все пакеты данных, которыми будут обмениваться стороны соединения, будут классифицироваться как исходящие.

Если в применимом профиле среды выполнения разрешены исходящие соединения и запрещены входящие соединения, Cilium CNI разрешает входящий трафик в ответ на отправленный запрос.

Агрегация сетевых событий

Если за короткий период в Cilium CNI происходит несколько одинаковых событий, Cilium применяет правило агрегации и объединяет эти события в одно.

По умолчанию период агрегации одинаковых событий составляет пять секунд. Вы можете изменить период агрегации в конфигурации Cilium CNI, указав нужное значение для параметра monitor-aggregation-interval.