摘要：
IP探针是一种在网页上部署的技术,用于收集和分析访客的IP地址信息。这种技术通过在网页上嵌入JavaScript或其他代码,获取访客的IP地址、地理位置、设备信息等数据,并将这些数... IP探针是一种在网页上部署的技术,用于收集和分析访客的IP地址信息。这种技术通过在网页上嵌入JavaScript或其他代码,获取访客的IP地址、地理位置、设备信息等数据,并将这些数据传送到后台服务器进行分析。
IP探针生成链接的工作原理如下:
IP探针技术广泛应用于网站分析、广告投放优化、流量监测等领域,可以帮助网站管理员更好地了解和服务于自己的访客。但同时也要注意到,这种技术涉及到用户隐私,需要遵守相关的法律法规,保护好用户的个人信息。
第6章 深入理解Service（与外界连通）
•在多个Pod情况下，service 如何实现负载均衡的？ 答：通过node节点kube-proxy组件完成请求转发 • Pod重启后IP变化，service是如何感知容器重启后的IP？ 答：Kubernetes提供了一个简单的Endpoints API，service通过selector标签选择器不断的对Pod进行筛选，并将结果POST到同名的Endpoints对象。 • 如何通过域名访问后端应用？ 答：通过集群内部coredns解析到service 的cluser-IP, 然后通过kube-proxy转发请求，同一命名空间的直接请求service-name即可，不同命名空间，则-name
• 防止Pod失联 • 定义一组Pod的访问策略 • 支持ClusterIP，NodePort以及LoadBalancer三种类型 • Service的底层实现主要有Iptables和IPVS二种网络模式
service要动态感知后端IP的变化，得介入一个endpoints控制器，也就是每个service都有对应一个endpoints控制器，endpoints帮它关联后端的pod，service 通过selector标签选择器关联pod, 具体实现动态IP变化由endpoints来实现。kubectl get endpoints 或 kubectl get ep
• 通过label-selector 相关联 • 通过Service实现Pod的负载均衡(TCP/UDP 4层)
• ClusterIP： 默认，分配一个集群内部可以访问的虚拟IP（VIP） • NodePort： 在每个Node上分配一个端口作为外部访问入口 • LoadBalancer： 工作在特定的Cloud Provider上，例如Google Cloud，AWS，OpenStack
Service 默认类型，分配一个集群内部可以访问的虚拟IP(VIP)，同一个集群内部应用之间相互访问
ClusterIP yaml配置文件：
在每个Node上分配一个端口作为外部访问入口, 让外部用户访问到集群内部pod应用
NodePort yaml资源配置文件：
用浏览器打开nodeIP即可访问到pod应用。 在node节点上使用ipvsadm -ln 可以看到很多做端口轮询转发的规则。 如果要提供给外用户访问，在前面再加个负载均衡器，比如nginx，haproxy,或公有云的LB，转发到指定的某几台node，域名解析到负载均衡器即可。
工作在特定的Cloud Provider上，例如Google Cloud，AWS，OpenStack, 不是我们自建的kubernetes集群里，是公有云提供商提供，公有云LB可以自动将我们node 上的service 的IP和端口加入LB中。
NodePort请求应用流： 用户--->域名 ----> 负载均衡器(后端服务器) ---> NodeIP:Port ---> PodIP:Port
LoadBalancer请求应用流： 用户--->域名 ----> 负载均衡器(LB) ---> NodeIP:Port ---> PodIP:Port LoadBalancer 提供特定云提供商底层LB接口，例如AWS，Google，Openstack
NodePort类型service IP和端口的限制是在master 节点的kube-apiserver配置文件中的两个参数指定 --service-cluster-ip-range 和 --service-node-port-range
在 Kubernetes 集群中，每个 Node 运行一个 kube-proxy 进程。 kube-proxy 组件负责为 Service 实现了一种 VIP（虚拟 IP）的形式，完成流量转发规则的生成。 kube-proxy网络底层流量代理转发与负载均衡实现有两种方式： • Iptables • IPVS 可以通过kube-proxy配置文件指定 --proxy-mode ：
代理模式之Iptables工作原理：
kube-proxy 会监视 Kubernetes master 对Service 对象和 Endpoints 对象的添加和移除。 对每个 Service，它会生成 iptables 规则，从而捕获到该 Service 的 clusterIP（虚拟 IP）和端口的请求，进而将请求重定向到 Service 的一组 backend pod中的某个上面。 对于每个 Endpoints 对象，它也会生成 iptables 规则，这个规则会选择一个 backend Pod。 默认的策略是，随机选择一个 backend pod。 实现基于客户端 IP 的会话亲和性，可以将的值设置为ClientIP（默认值为None ）。 和 userspace 代理类似，网络返回的结果是，任何到达Service的 IP:Port 的请求，都会被代理到一个合适的 backend pod，不需要客户端知道关于 Kubernetes、 Service 、或Pod的任何信息。 这应该比 userspace 代理更快、更可靠。 然而，不像 userspace 代理，如果初始选择的Pod没有响应，iptables 代理不能够自动地重试另一个Pod ，所以它需要依赖readiness probes(Pod检查检查策略，也就是探针)
代理模式之IPVS工作原理： iptables方式service过多时的弊端： • 创建很多iptables规则（更新，非增量式） • iptables规则从上到下逐条匹配（延时大） • iptables工作在用户态
救世主：IPVS IPVS工作在内核态，iptables工作在用户态； LVS 基于IPVS内核调度模块实现的负载均衡； 阿里云SLB,基于LVS实现四层负载均衡。
kube-proxy 使用的IPVS模式，启动之后会在node生成一个kube-ipvs0网卡，此网卡的ip就是对应service 的CLUSTER-IP
这里的real server正是我们启动的pod。ipvs 转发后端IP正好是pod IP
Iptables： • 灵活，功能强大（可以在数据包不同阶段对包进行操作） • 规则遍历匹配和更新，呈线性时延
IPVS： • 工作在内核态，有更好的性能 • 调度算法丰富：rr，wrr，lc，wlc，ip hash...
在企业中尽可能使用IPVS模式，调度算法可以在kube-proxy配置文件中配置参数重启即可： --ipvs-scheduler=wrr
service CLUSTER-IP 也不是固定不变的，在应用程序也不可能写CLUSTER-IP，这里建议写域名(service名称)，kubernetes集群DNS 将service 名称解析为CLUSTER-IP，DNS服务实时监视Kubernetes API，为每一个Service创建DNS记录用于域名解析。
通过yaml配置文件部署
这里主要修改几个参数：DNS域、DNS地址(IP)，coredns pod内存限制和镜像地址
ClusterIPA记录格式： <service-name>.<namespace-name> 示例
跨命名空间做域名解析： pod 请求同一个命名空间service时，只写service名称即可；请求不在同一个命名空间service时，得在service名称加上“.命名空间”，比如
ipx3探针是什么
检测仪器。 ipx3探针是一款检测仪器，产品在各垂直面在60度范围内淋水，无有害影响，用摆管或淋水喷头淋水，摆管试验10分钟，喷头淋水1min/m2，至少5分钟。
数据库审计系统是什么，有什么作用？
数据库审计是对数据库访问行为进行监管的系统，一般采用旁路部署的方式，通过镜像或探针的方式采集所有数据库的访问流量，并基于SQL语法、语义的解析技术，记录下数据库的所有访问和操作行为，例如访问数据的用户（IP、账号、时间），操作（增、删、改、查）、对象（表、字段）等。 数据库审计系统的主要价值有两点，一是：在发生数据库安全事件（例如数据篡改、泄露）后为事件的追责定责提供依据；二是，针对数据库操作的风险行为进行时时告警。 二、数据库审计怎么审？1、数据库访问流量采集流量采集是数据库审计系统的基础，只有做到数据库访问流量的全采集，才能保证数据库审计的可用性和价值，目前主要的流量采集方式主要有两种：镜像方式：采用旁路部署通过镜像方式获取数据库的所有访问流量。 一般适用于传统IT架构，通过镜像方式将所有访问数据库的流量转发到数据库审计系统，来实现数据库访问流量的获取。 探针方式：为了适应“云环境”“虚拟化”及“一体机”数据库审计需求，基于“探针”方式捕获数据库访问流量。 适用于复杂的网络环境，在应用端或数据库服务器部署Rmagent组件（产品提供），通过虚拟环境分配的审计管理网口进行数据传输，完成数据库流量采集。 探针式数据采集，还可以进行数据库本地行为审计，包括数据库和应用系统同机审计和远程登录后的客户端行为。 2、语法、语义解析SQL语法、语义的解析技术，是实现数据库审计系统可用、易用的必要条件。 准确的数据库协议解析，能够保障数据库审计的全面性与易用性。 全面的审计结果应该包括：访问数据库的应用层信息、客户端信息、数据库信息、对象信息、响应信息、登录时间、操作时间、SQL响应时长等；高易用性的数据库审计产品的审计结果和报告，应该能够使用业务化的语言呈现出对数据库的访问行为，例如将数据库中的要素客户端IP、数据库用户、SQL 操作类型、数据库表名称、列名称、过滤条件变成业务人员熟悉的要素：办公地点、工作人员名称、业务操作、业务对象、业务元素、某种类别的业务信息。 这样的是审计结果呈现即便是非专业的DBA或运维人员的管理者或业务人员也能够看懂。 三、数据库审计的价值？1、数据库相关安全事件的追溯与定责数据库审计的核心价值是在发生数据库安全事件后，为追责、定责提供依据，与此同时也可以对数据库的攻击和非法操作等行为起到震慑的作用。 数据库自身携带的审计功能，不仅会拖慢数据库的性能，同时也有其自身的弊端，比如高权限用户可以删除审计日志，日志查看需要专业知识，日志分析复杂度高等。 独立的数据库审计产品，可以有效避免以上弊端。 三权分立原则可以避免针对审计日志的删除和篡改，SQL语句解析技术，可以将审计结果翻译成通俗易懂的业务化语言，使得一般的业务人员和管理者也能看懂。 2、数据库风险行为发现与告警数据库审计系统还可以对于针对数据库的攻击和风险操作等进行实时告警，以便管理人员及时作出应对措施，从而避免数据被破坏或者窃取。 这一功能的实现主要基于sql的语句准确解析技术，利用对SQL语句的特征分析，快速实现对语句的策略判定，从而发现数据库入侵行为、数据库异常行为、数据库违规访问行为，并通过短信、邮件、Syslog等多种方式实时告警。 3、满足合规需求满足国家《网络安全法》、等保规定以及各行业规定中对于数据库审计的合规性需求。 并可根据需求形成不同的审计报表，例如：综合报表、合规性报表、专项报表、自定义报表等。