客座撰稿人：Karen Bruner，StackRox技术专员。原文可以在这里找到。
原文：http://mp.weixin.qq.com/s/dHaiX3H421jBhnzgCCsktg 当我们使用k8s集群部署好应用的Service时，默认的Service类型是ClusterIP，这种类型只有 Cluster 内的节点和 Pod 可以访问。如何将应用的Service暴露给Cluster外部访问呢，Kubernetes 提供了多种类型的 Service，如下： ClusterIP ---- ClusterIP服务是Kuberntets的默认服务。它在集群内部生成一个服务，供集群内的其他应用
最近，有人问我 NodePort，LoadBalancer 和 Ingress 之间的区别是什么。 它们是将外部流量引入群集的不同方式，并且实现方式不一样。 我们来看看它们是如何工作的，以及什么时候该用哪种。
毛艳清，富士康工业互联网科技服务事业群运维中心主管，现负责公有云和私有云的运维工作，聚焦在云计算和云原生领域，主要关注企业迁云的策略与业务价值、云计算解决方案、云计算实施与运维管理，以及云原生技术的布道和落地实践。
Service 是由 kube-proxy 组件，加上 iptables 来共同实现的。
最近，很多人问我 NodePorts，LoadBalancer和 Ingress 之间的区别是什么？它们是将外部流量引入集群的不同方式，而且它们的运行形式各不相同。接下来，请你跟我一起，来看看他们是如何工作的，以及它们各自的适用情况。
ADCSKiller是一款功能强大的活动目录证书服务（ADCS）漏洞自动化检测和利用工具，该工具基于Certipy和Coercer实现了其部分功能，以简化针对ADCS基础设施的渗透测试任务执行流程。需要注意的是，当前版本的ADCSKiller仍处于积极开发阶段，因此后续还会经常更新以增加更多的功能。
从 Linkerd 2.9 版开始，有两种方式可以让 Linkerd 代理 与您的 Ingress Controller 一起运行。
由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，雷神众测以及文章作者不为此承担任何责任。 雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经雷神众测允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。
域是Windows网络操作系统的应用模型。域(Domain)是Windows网络中独立运行的单位，域之间相互访问则需要建立信任关系(即TrustRelation)。信任关系是连接在域与域之间的桥梁。当一个域与其他域建立了信任关系后，2个域之间不但可以按需要相互进行管理，还可以跨网分配文件和打印机等设备资源，使不同的域之间实现网络资源的共享与管理。
在 Kubernetes 集群边缘对外提供网络服务的时候，通常需要借助 Ingress 对象，这个对象提供了暴露 Service 所必须的核心要素，例如基于主机名的路由、对 URL 路径的适配以及 TLS 配置等。但是在实际开放服务的时候，往往会有更多的具体需求，这时 Ingress 对象所提供的核心功能就有些力不从心了，各种 Ingress 控制器往往会使用 metadata.annotations 中的特定注解，来完成对 Ingress 特定行为的控制，完成各自的个性化功能，例如认证、路径变更、黑白名单等，这就让 Ingress 对象变成了一个奇怪的东西：结构化的核心结构，和非结构化的标注结合起来形成各种 Ingress 方言，并且后期还出现了 Traefik Middleware 这样的 CRD 配置，这给 Ingress 功能的集中管理造成了一个较大的困扰；另外 Ingress 中可以随意定制主机名、路径以及后端服务，也给共享集群的用户造成了一定的安全隐患。包括 Cotour、Traefik 在内的 Ingress 控制器后期都提供了各自的基于 CRD 的功能表达，客观上也让 Ingress 世界更为分裂。 例如要移除路径前缀，Nginx Ingress 控制器需要使用 nginx.ingress.kubernetes.io/rewrite-target 注解，而 Traefik 1.7 中则需要使用 traefik.ingress.kubernetes.io/rule-type: PathPrefixStrip 注解。
Aced是一款针对活动目录的安全检测与分析工具，该工具可以帮助广大研究人员解析单个目标活动目录的DACL。Aced可以针对目标帐户识别可疑的入站访问权限，解析入站权限的SID，并将该数据呈现给研究人员。除此之外，Aced还整合了pyldapsearch工具的日志记录功能，可以在本地记录目标主体的LDAP属性，而pyldapsearch的配套工具BOFHound可以对这些属性进行解析，随后我们可以将收集到的数据导入到BloodHound中进行后续操作。
容器的SDN 很多人都说2017将是容器年，大卫也这么认为。但在很长一点时间里，容器与虚拟化都是相互依存，相互补充的问题。 之前笔者发表过一篇文章，放开眼界，看看开源界的新动向。里面清晰描述了未来两年内，整个开源界将会被主流目标客户采用的几项技术： High-Performance Message Infrastructure、Interoperable Storage Encryption Private IaaS、Container Networking、Open-Source Virtualizati
在我们之前的文章多集群Kubernetes的架构设计，我们概述了构建一个简单但有弹性的Kubernetes多集群方法的三个要求：支持分层网络、保持集群状态的独立性、不引入共享控制平面。
DNS(Domain Name System–域名系统),是因特网的一项服务。它作为将域名和IP地址相互映射的一个分布式数据库，能够使人更方便地访问互联网。是一个应用层的协议DNS使用TCP和UDP端口53。
Ingress是一种Kubernetes资源，用于将外部流量路由到Kubernetes集群内的服务。与NodePort相比，它提供了更高级别的路由功能和负载平衡，可以根据HTTP请求的路径、主机名、HTTP方法等来路由流量。
在DNS域名解析服务中，正向解析是指根据域名（主机名）查找到对应的IP地址。也就是说，当用户输入了一个域名后，bind服务程序会自动进行查找，并将匹配到的IP地址返给用户。这也是最常用的DNS工作模式。
当新手刚学习k8s时候，会被各种的IP 和port 搞晕，其实它们都与k8s service的访问有密切关系，梳理它们之间的差异可以更好了解k8s的服务访问机制。
在未部署统一身份管理系统时，管理员需要分别在每一台主机上为对应的系统管理员创建、维护账号和密码，无法进行统一的管理。当主机数量增加到一定程度后，也将难以进行有效的安全管理，对账号密码泄露等问题难以进行控制。统一身份认证系统可以帮助我们解决这一问题。Windows环境下可以使用域账号进行身份管理，而在Linux环境下，Freeipa可以快速、便捷的将linux系统接入，进行统一的身份认证和权限管理。
渐进式交付是持续交付的下一步， 它将新版本部署到用户的一个子集，并在将其滚动到全部用户之前对其正确性和性能进行评估， 如果不匹配某些关键指标，则进行回滚。
管理服务器配置和基础架构的一个重要部分包括通过设置适当的域名系统（DNS），维护一种通过名称查找网络接口和IP地址的简便方法。使用完全限定的域名（FQDN）而不是IP地址来指定网络地址可以简化服务和应用程序的配置，并提高配置文件的可维护性。为您的专用网络设置自己的DNS是改善服务器管理的好方法。
Linux 系统的hosts文件存储在/etc/hosts下，它在IP地址、主机名、域名和机器别名之间创建静态关联。然后，您的Linode会为这些关联提供比必须由DNS解析的主机名或域名更高的优先级。
由于篇幅和时间有限，本文还会有第二篇。 一、Openshift支持的各种SDN CNI Openshift Container Platform（简称OCP），在V3.6之前，SDN是由OVS实现的，当时也只支持OVS。 OCP从V3.6开始，正式支持多种容器网络接口，Container Network Interface 简称CNI。CNI可以作为第三方插件，部署到OCP上。当然，OCP默认还是使用OVS，除非在安装OCP时进行容器网络接口的选择。 目前OCP支持的CNI有： Cisco Contiv (
今天跟大家简单介绍一下如何在Windows Server 2016 上搭建DNS（域名解析）服务。 DNS服务器要为客户端提供域名解析服务，必须要具备以下条件： 1.有固定的IP地址； 2.安装并启动DNS服务； 3.有区域文件，配置转发器或配置根提示。 满足条件后，下面开始安装DNS服务 1.首先确认本机的IP地址
TL;DR: 在创建Kubernetes集群时，您可能首先要问的一个问题是：“我应该使用哪种类型的工作节点，以及应该有多少个？”
在一次问题排查过程中，发现偶现调用"InetAddress.getByName()"无法通过域名解析到IP（实际在容器中都能正确解析到），因此怀疑和容器的DNS解析有问题。但在与容器的开发兄弟沟通过程中，被反问了一句，确定该方法一定触发调用了DNS的域名解析吗？
关于FindUncommonShares FindUncommonShares是一款功能强大的活动目录域共享扫描工具，该工具基于Python开发，本质上是一个与Invoke-ShareFinder.ps1功能类似的脚本，可以帮助广大研究人员在一个庞大的Windows活动目录域中搜索不常见的共享存储/驱动。 功能介绍 当前版本的FindUncommonShares提供了以下功能： 1、只需要使用低权限域用户账号； 2、自动从域控制器的LDAP中获取包含所有计算机的列表； 3、可以使用--ignor
一、什么是DNS DNS全称为Domain Name System，即域名系统，其作用就是将我们经常使用的“网址”解析为IP地址。 在互联网上通信需要借助于IP地址，但人类对于数字的记忆能力远不如文字，那么将IP地址转换成容易记忆的文字是个好办法，可是计算机只能识别0、1代码，这时就需要一种机制来解决IP地址与主机名的转换问题。 早期由于网络上的主机数量有限，主机名和IP的解析借助于hosts文件即可完成，Linux中此文件一般存放路径为/etc/hosts，在此文件中手 动记录
OpenShift的OVS网络组件有三种模式：ovs-subnet、ovs-multitenant、ovs-networkpolicy。
linux的DNS服务器查找顺序： 首选服务器的DNS缓存→首选服务器自己所负责的域→向外迭代查询信息。
基于不同的业务场景中，我们该如何在 Kubernetes 生态集群中规划我们应用程序接口的访问策略呢？
Behave!是一款针对浏览器页面活动的监控插件，广大研究人员可以利用Behave!来对Web页面的各种活动和行为进行监控，目前该项目仍处于开发阶段。
无状态应用在 Kubernetes 中的使用非常方便，但是对于一些有状态应用部署还是相对较麻烦，虽然也有单独的 StatefulSets 资源对象来处理有状态应用，但是毕竟不具有通用性，有状态应用的编排和具体的应用息息相关，比如 MongoDB、ElasticSearch、Redis、Zookeeper 等应用。我们这里不再对 StatefulSets 的具体使用展开介绍了，将通过部署一个可扩展的 MongoDB 集群为例进行说明。
在Linux 系统上，当一个应用通过域名连接远端主机时，DNS 解析会通过系统调用来进行，比如 getaddrinfo()。和任何Linux 操作系统一样，Pod 的 DNS 定义在 resolv.conf 文件中，其示例如下：
DNS 是计算机域名系统 (Domain Name System 或Domain Name Service) 的缩写，域名服务器是进行域名(domain name)和与之相对应的IP地址 (IP address)转换的服务器。DNS中保存了一张域名(domain name)和与之相对应的IP地址 (IP address)的表，以解析消息的域名。 域名是Internet上某一台计算机或计算机组的名称，用于在数据传输时标识计算机的电子方位（有时也指地理位置）。域名是由一串用点分隔的名字组成的，通常包含组织名，而且始终包括两到三个字母的后缀，以指明组织的类型或该域所在的国家或地 基本工作流程
在互联网上通信需要借助于IP地址，但人类对于数字的记忆能力远不如文字，那么将IP地址转换成容易记忆的文字是个好办法，可是计算机只能识别0、1代码，这时就需要一种机制来解决IP地址与主机名的转换问题，DNS全称为Domain Name System，即域名系统，其作用就是将我们经常使用的“网址”解析为IP地址 联机分布式数据库系统，DNS大多数名字在本地解析，仅少量需要在网上通讯，所以效率高
DNS(Domain Name System–域名系统),是因特网的一项服务。它作为将域名和IP地址相互映射的一个分布式数据库，能够使人更方便地访问互联网。是一个应用层的协议DNS使用TCP和UDP端口53。 DNS是一个分布式数据库,命名系统采用层次的逻辑结构,如同一颗倒置的树,这个逻辑的树形结构称为域名空间,由于DNS划分了域名空间,所以各机构可以使用自己的域名空间创建DNS信息. DNS(Domain Name Service) 域名解析服务，就是将域名和 ip 之间做相应的转换，利用 TCP 和 UDP 的53号端口。DNS默认端口是53的TCP和UPD,UDP是供用户查询的，主从复制用TCP和UDP的53端口都用。
该命令虽然在man文档中被说明已废弃，但大众显然无法忘记它。ifconfig命令是一个接口配置命令，但更多的被用来显示已激活的网络接口信息。
虚拟主机1：主机IP地址为172.16.30.20，端口号为80（默认端口），DocumentRoot是/var/www/vhost1，在DocumentRoot目录下创建虚拟主机站点主页文件。
https://medium.com/yld-engineering-blog/kubernetes-core-concepts-324ea7028c29
域名系统（英文：Domain Name System，缩写：DNS）是因特网的一项服务。它作为将域名和IP地址相互映射的一个分布式数据库，能够使人更方便的访问互联网。DNS 使用TCP和UDP端口53。当前，对于每一级域名长度的限制是63个字符，域名总长度则不能超过253个字符。
k8s网络模型设计基础原则:每个Pod都拥有一个独立的 IP地址，而且 假定所有 Pod 都在一个可以直接连通的、扁平的网络空间中 。 所以不管它们是否运行在同 一 个 Node (宿主机)中，都要求它们可以直接通过对方的 IP 进行访问。设计这个原则的原因 是，用户不需要额外考虑如何建立 Pod 之间的连接，也不需要考虑将容器端口映射到主机端口等问题。
本章将会讲解Windows server 配置DNS服务。前期回顾：Windows server——部署DNS服务
Kubernetes一直是当今业界的流行语，也是最好的编排工具。它吸引了许多想要提升自己职业生涯的经验丰富的专业人士。HuaWei，Pokemon，Box，eBay，Ing，Yahoo Japan，SAP，纽约时报，Open AI，Sound Cloud等跨国公司也使用Kubernetes。我相信你已经知道这些事实，这也是促使你打开这个Kubernetes面试问题文章原因。
NodePort Service存在太多缺陷，不适合生产环境。LoadBlancer Service则不太灵活，比如针对微服务架构，那么不同服务是否需要多个负载均衡服务呢？那么，我们还有其他选择么？那就是Ingress。
在之前的文章中我们介绍了从传统部署方式到虚拟化再到容器部署方式的演变，随着容器数量规模的不断增大，我们急需一个大规模容器编排系统。Kubernetes是一个全新的基于容器技术的分布式架构解决方案，并且是一个一站式的完备的可弹性运行的分布式系统开发和支撑平台。
DNS是用来名字解析的，名字解析成IP地址，IP地址解析成名字，正反操作，有服务器端和客户端即 S/C
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
