Expose den ICAP-Dienst mit AWS NLB

Ansichten:

Wenn Sie Ihren ICAP-Dienst außerhalb des EKS-Clusters für externe Clients bereitstellen müssen, können Sie AWS NLB verwenden.

Der ICAP (Internet Content Adaptation Protocol) Server benötigt einen Netzwerk-Lastenausgleich, weil:

ICAP läuft auf Port 1344 und verwendet sein eigenes Layer-7-Protokoll
ALB unterstützt nur HTTP-basierte Protokolle
NLB arbeitet auf Schicht 4 (TCP) und kann ICAP-Datenverkehr ordnungsgemäß verarbeiten

Voraussetzungen:

EKS-Cluster läuft
kubectl und helm mit ordnungsgemäßem Zugriff konfiguriert
AWS CLI installiert und konfiguriert
IAM-Berechtigungen zum Erstellen von Load-Balancer-Ressourcen

Prozedur

Installieren Sie einen AWS Load Balancer Controller (falls noch nicht installiert):

# Create IAM policy
curl -o iam-policy.json https://raw.githubusercontent.com/kubernetes-sigs/aws-load-balancer-controller/main/docs/install/iam_policy.json

aws iam create-policy \
  --policy-name AWSLoadBalancerControllerIAMPolicy \
  --policy-document file://iam-policy.json

# Create IAM role and service account
eksctl create iamserviceaccount \
  --cluster <your-cluster-name> \
  --namespace kube-system \
  --name aws-load-balancer-controller \
  --attach-policy-arn arn:aws:iam::<your-account-id>:policy/AWSLoadBalancerControllerIAMPolicy \
  --approve

# Install controller
helm repo add eks https://aws.github.io/eks-charts
helm repo update

helm install aws-load-balancer-controller eks/aws-load-balancer-controller \
  -n kube-system \
  --set clusterName=<your-cluster-name> \
  --set serviceAccount.create=false \
  --set serviceAccount.name=aws-load-balancer-controller

Markieren Sie die Subnetze für NLB:
1. Navigieren Sie zu AWS VPC Console → Subnets.
2. Fügen Sie diese Tags zu jedem Subnetz hinzu, das NLB verwenden soll:
```
kubernetes.io/cluster/<your-cluster-name> = shared
kubernetes.io/role/elb = 1 (for public) 
or kubernetes.io/role/internal-elb = 1 (for private)
```
  Hinweis
  
  Stellen Sie sicher, dass die Subnetze genügend verfügbare IPs haben.

Aktualisieren Sie values.yaml für externen Zugriff

scanner:
  # Other scanner settings remain unchanged

  # Enable external NLB service for ICAP
  externalService:
    enabled: true
    annotations:
      service.beta.kubernetes.io/aws-load-balancer-type: "external"
      service.beta.kubernetes.io/aws-load-balancer-nlb-target-type: "ip"
      service.beta.kubernetes.io/aws-load-balancer-scheme: "internet-facing"
    icapPort: 1344

Aktualisieren Sie die Bereitstellung mit einer NLB-Konfiguration:

helm upgrade my-release visionone-filesecurity/visionone-filesecurity \
  -n visionone-filesecurity \
  -f my-values.yaml

Überprüfen Sie die NLB-Verteilung:

# Check the service status
kubectl get service -n visionone-filesecurity | grep scanner-lb

# Get the NLB DNS name
NLB_DNS=$(kubectl get service -n visionone-filesecurity my-release-visionone-filesecurity-scanner-lb -o jsonpath='{.status.loadBalancer.ingress[0].hostname}')
echo "Your NLB DNS name is: $NLB_DNS"

DNS (Route53) konfigurieren
1. Navigieren Sie zu Route53 Console → Hosted Zones.
2. Erstellen Sie einen A-Eintrag:
  - Name: icap.example.com
  - Typ: A (Alias)
  - Datenverkehr weiterleiten an: Network Load Balancer
  - Wählen Sie Ihr NLB

Installieren und verwenden Sie den c-icap-client, um Ihre Verbindung zu testen:

# Install c-icap-client
sudo apt-get install c-icap

# Test with file scanning
c-icap-client -i icap.example.com -s scan -p 1344 -f sample.txt -x "X-scan-file-name: sample.txt"

Wenn Sie TLS für Ihren ICAP-Dienst aktivieren möchten, aktualisieren Sie Ihre NLB-Konfiguration in my-values.yaml:

scanner:
  externalService:
    enabled: true
    type: LoadBalancer
    annotations:
      service.beta.kubernetes.io/aws-load-balancer-type: "external"
      service.beta.kubernetes.io/aws-load-balancer-nlb-target-type: "ip"
      service.beta.kubernetes.io/aws-load-balancer-scheme: "internet-facing"
      # TLS configuration
      service.beta.kubernetes.io/aws-load-balancer-ssl-cert: "arn:aws:acm:region:account-id:certificate/certificate-id"
    icapPort: 1344
Apply this configuration:
helm upgrade my-release visionone-filesecurity/visionone-filesecurity \
  -n visionone-filesecurity \
  -f my-values.yaml

Prozedur

Hinweis