Регистрация Войти
Рейтинг:0
Jethro avatar Server

Сетевой интерфейс ECS Fargate с отключенной проверкой src/dest

флаг it
Jethro

При создании сервиса AWS ECS Fargate существует способ установить созданный сетевой интерфейс Проверка источника/получателя поле для ЛОЖЬ?

Услуга настраивается в соответствии с Руководство по началу работы с ECS Fargate. Служба использует прокси-сервер squid, который, я считаю, должен иметь возможность принимать трафик, предназначенный для других IP-адресов, подобно NAT.

Изменение поля проверки src/dest после создания приводит к ошибкам отказа в разрешениях, несмотря на наличие полных прав администратора:

Не удалось обновить проверку источника/назначения для eni-12345abcde: у вас нет разрешения на доступ к указанному ресурсу.

Я думаю, что сообщение вводит в заблуждение, и сетевые интерфейсы не могут быть изменены (или удалены), пока они подключены, как я видел подобное при попытке удалить интерфейсы, несмотря на наличие разрешений на это.

Есть ли способ настроить или изменить сетевой интерфейс службы ECS Fargate, чтобы пропустить проверку src/dest?

150
0 + 0
Рейтинг:1
roee klinger avatar Server
флаг bd
roee klinger 
• Задача ENI полностью управляется Amazon ECS. Amazon ECS создает ENI и подключает его к хост-инстансу Amazon EC2 с указанной группой безопасности. 
     Задача отправляет и получает сетевой трафик через ENI так же, как инстансы Amazon EC2 делают это со своими основными сетевыми интерфейсами. Каждой задаче ENI по умолчанию назначается частный IPv4-адрес. 
     Если ваш VPC включен для режима двойного стека и вы используете подсеть с блоком IPv6 CIDR, задача ENI также получит IPv6-адрес. Каждая задача может иметь только один ENI.

    Эти ENI отображаются в консоли Amazon EC2 для вашей учетной записи, но их нельзя отсоединить вручную или изменить с помощью вашей учетной записи. 
    Это необходимо для предотвращения случайного удаления ENI, связанного с запущенной задачей. 
    Вы можете просмотреть информацию о вложениях ENI для задач в консоли Amazon ECS или с помощью операции API DescribeTasks. При остановке задачи или уменьшении масштаба службы задача ENI отсоединяется и удаляется.

Мы не можем изменить какой-либо атрибут задачи ECS ENI, так как он управляется самой ECS.

Согласно документу [1], эти ENI полностью управляются ECS, и мы не можем изменять какие-либо атрибуты ENI задачи.

Таким образом, проверка источника/получателя не может быть отключена для контейнеров ENI, управляемых ECS.

Использованная литература: [1]: https://docs.aws.amazon.com/AmazonECS/latest/developerguide/task-networking-awsvpc.html

Это применимо только к awspvc сетевой режим, который использует Fargate.

Насколько я могу судить, есть 2 возможных обходных пути:

  1. Отключите проверку источника/назначения на экземпляре ENI, а затем настройте маршрут от основного экземпляра ENI к контейнеру Docker.
  2. Вместо этого используйте ECS EC2 и выберите другой режим сети.
0 + 0
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.