在本地基础架构上使用 DMZ 的入口

问题描述

我有一个与设计和架构需求相关的问题，而不是问题，我们有一个 kubernetes 集群来处理我们的生产工作负载，我们需要保护到这个集群的外部流量，所以我们设计了这种方法：

• 使用入口控制器创建一个工作节点，没有任何工作负载
• 将此工作节点放置在 DMZ 区域中，以便处理到我们应用程序的 clusterIP 服务的外部流量。

这是保护我们工作负载的好主意吗？

如果我们在 DMZ 区域中放置一个 HAproxy（作为 L4，只是为了将流量负载均衡到由入口 Nginx 处理的工作人员），它不会给我们提供其他级别的安全性（协议中断）

请注意，我们没有 WAF。 请问有什么想法吗？？

解决方法

同意使用两个专用节点，以实现高可用性，作为外部流量入口点。

我会使用 haproxy 入口控制器 Announcing HAProxy Kubernetes Ingress Controller 1.6 和 Evolving Kubernetes networking with the Gateway API