호스트 엔드포인트

이 문서는 컨테이너나 VM 워크로드가 아니라 호스트 자체의 네트워크 인터페이스를 Calico 정책으로 보호하는 "호스트 엔드포인트" 개념을 설명해요. 워크로드 엔드포인트와 동일한 보안 정책 모델을 호스트 엔드포인트에도 적용할 수 있다는 점이 핵심이에요.

출처: 문서

본문

이 가이드는 컨테이너나 VM 워크로드가 아니라 호스트 자체의 네트워크 인터페이스를 Calico로 보호하는 방법을 설명해요. 컨테이너나 VM 같은 "워크로드 엔드포인트"와 구별하기 위해 이런 인터페이스를 "호스트 엔드포인트"라고 불러요.

Calico는 워크로드 엔드포인트에 지원하는 것과 동일한 풍부한 보안 정책 모델(호스트 엔드포인트 정책)을 호스트 엔드포인트에도 지원해요. 호스트 엔드포인트도 레이블을 가질 수 있고, 그 레이블은 워크로드 엔드포인트의 레이블과 같은 "네임스페이스"에 속해요. 덕분에 어느 쪽 엔드포인트의 보안 규칙이든 레이블과 셀렉터로 다른 쪽(또는 둘의 혼합)을 참조할 수 있어요.

Calico는 호스트 인터페이스의 IP 설정이나 MAC 주소 검사를 지원하지 않아요. 대신 인터페이스는 하위 네트워크 패브릭이 구성한다고 가정해요.

Calico는 설정 가능한 접두사로 워크로드 엔드포인트와 호스트 엔드포인트를 구분해요. 기본 접두사(cali)와 이름이 겹치는 호스트 인터페이스가 없다면 바꿀 필요가 없어요. 만약 겹친다면 Felix 구성의 InterfacePrefix 설정 값을 참고해 주세요. InterfacePrefix에 나열된 값으로 시작하는 인터페이스는 워크로드 인터페이스로 간주하고, 나머지는 호스트 인터페이스로 취급해요.

Calico는 기본적으로 워크로드 인터페이스의 모든 트래픽을 막고, 인터페이스를 알고 정책이 준비된 경우에만 트래픽을 허용해요. 반면 호스트 엔드포인트에는 좀 더 관대해서, Calico에 명시적으로 알려준 인터페이스의 트래픽만 검사해요. 다른 인터페이스와 주고받는 트래픽은 그대로 둬요.

호스트 엔드포인트 정책으로 NAT 게이트웨이나 라우터를 보호할 수 있어요. Calico는 게이트웨이나 라우터에서 동작할 때 셀렉터 기반 정책을 지원해서, 호스트 엔드포인트에 붙은 레이블을 기반으로 풍부하고 동적인 보안 정책을 만들 수 있어요.

호스트 엔드포인트 정책은 세 가지 트래픽 유형에 적용할 수 있어요:

• 로컬에서 종료되는 트래픽
• 호스트 엔드포인트 사이에서 전달되는 트래픽
• 같은 호스트의 호스트 엔드포인트와 워크로드 엔드포인트 사이에서 전달되는 트래픽

전달되는 트래픽에 정책을 적용하려면 applyOnForward 플래그를 true로 설정해요. 자세한 내용은 GlobalNetworkPolicy spec을 참고해 주세요.

SECONDARY: 호스트 엔드포인트 사이에서 전달되는 트래픽과, 같은 호스트의 호스트 엔드포인트와 워크로드 엔드포인트 사이에서 전달되는 트래픽은 모두 forwarded traffic으로 취급해요.

더 알아보기 (Learn more)

호스트 엔드포인트를 실제로 구성하는 절차는 Calico의 호스트 엔드포인트 설정 가이드에서 확인할 수 있어요. InterfacePrefix 같은 Felix 설정은 Felix 구성 레퍼런스를 참고해 주세요.