CN113141386A - 私有网络中Kubernetes集群的接入方法、装置、设备和介质 - Google Patents

Abstract

本申请公开了一种私有网络中Kubernetes集群的接入方法、装置、设备和介质，涉及计算机技术领域，尤其涉及云计算技术领域。具体实现方案为：响应于从代理服务器接收的全双工通讯连接，创建传输隧道；获取对目标接口服务器的业务访问请求，若检测到没有可用虚拟连接，则创建传输隧道中的新虚拟连接；根据新虚拟连接的ID和目标地址，生成连接创建消息；向代理服务器发送连接创建消息，以指示代理服务器执行如下：创建新虚拟连接，且通过新虚拟连接创建网关和目标接口服务器之间的通信链路，以接入目标接口服务器。采用本申请方案，能够将私有网络中的K8S集群接入公网中的云平台，并且由于不需要公网IP，因此能大幅度地降低K8S集群受到外部攻击的风险。

Description

私有网络中Kubernetes集群的接入方法、装置、设备和介质

技术领域

本申请实施例涉及计算机技术领域，尤其涉及云计算技术领域的一种私有网络中Kubernetes集群的接入方法、装置、设备和介质。

背景技术

Kubernetes(简称K8S)集群是一个开源的，用于管理云平台中多个主机上容器化应用的容器编排管理平台，提供了应用部署，规划，更新，维护的一种机制。

通常情况下，云平台通过K8S集群对外暴露的公网IP接入集群。这种接入方式不仅增加了用户成本，而且也使得K8S集群暴露在公网上从而增加了K8S集群受攻击风险。

然而，当用户需要把私有网络环境下的K8S集群接入云平台时，由于其网络不可达，因此无法被云平台直接接入。

发明内容

本申请实施例公开一种私有网络中Kubernetes集群的接入方法、装置、设备和介质，可以实现将私有网络环境下的K8S集群接入云平台。

第一方面，本申请实施例公开了一种私有网络中Kubernetes集群的接入方法，由部署在公有网络中的网关执行，所述方法包括：

响应于从代理服务器接收的全双工通讯连接，创建传输隧道；其中，所述代理服务器部署在私有网络中；

获取对目标接口服务器的业务访问请求，若检测到没有可用虚拟连接，则创建所述传输隧道中的新虚拟连接；其中，所述业务访问请求中携带有所述目标接口服务器的目标地址；

根据所述新虚拟连接的ID和所述目标地址，生成连接创建消息；

向代理服务器发送所述连接创建消息，以指示代理服务器执行如下：创建新虚拟连接，且通过所述新虚拟连接创建网关和所述目标接口服务器之间的通信链路，以接入所述目标接口服务器。

上述申请中的一个实施例具有如下优点或有益效果：能够将私有网络中的K8S集群接入公网中的云平台，并且由于不需要公网IP，因此能大幅度地降低K8S集群受到外部攻击的风险。

另外，根据本申请上述实施例的私有网络中Kubernetes集群的接入方法，还可以具有如下附加的技术特征：

可选地，创建所述传输隧道中的新虚拟连接，包括：

创建新虚拟连接对象；

确定所述新虚拟连接对象的属性信息，其中所述新虚拟连接对象的属性信息至少包括新虚拟连接对象的ID和所述目标地址。

上述申请中的一个实施例具有如下优点或有益效果：通过部署在公网下的云平台中的网关与私有网络中K8S集群建立传输隧道，并通过复用传输隧道为不同业务创建不同的虚拟连接，保证在不需要公网IP的情况下仍能通过虚拟连接将私有网络中的K8S集群接入公网中的云平台。

可选地，所述连接创建消息包括消息ID、所述新虚拟连接的ID、消息类型和所述目标地址；且所述消息类型为连接类。

可选地，通过所述新虚拟连接创建网关和所述目标接口服务器之间的通信链路之后，还包括：

获取待传输的业务数据；

根据所述新虚拟连接的ID和所述业务数据，生成数据传输消息；

通过所述新虚拟连接，向代理服务器发送所述数据传输消息，以指示代理服务器向所述目标接口服务器转发所述业务数据。

可选地，所述数据传输消息包括消息ID、所述新虚拟连接的ID、消息类型、所述目标地址和所述业务数据；且所述消息类型为数据类。

上述申请中的一个实施例具有如下优点或有益效果：能够通过虚拟连接建立公网中云平台与私有网络中K8S集群之间的数据传输，使得云平台能够与K8S集群进行安全的交互。

第二方面，本申请实施例还公开了一种私有网络中Kubernetes集群的接入方法，由部署在私有网络中的代理服务器执行，所述方法包括：

向网关发起全双工通讯连接，并创建传输隧道；

接收网关发送的连接创建消息；其中所述连接创建消息根据网关创建的新虚拟连接的ID和目标接口服务器的目标地址生成；

根据所述新虚拟连接的ID和所述目标地址，创建新虚拟连接；

通过所述新虚拟连接创建网关和所述目标接口服务器之间的通信链路，以将所述目标接口服务器接入所述网关。

可选地，所述根据所述新虚拟连接的ID和所述目标地址，创建新虚拟连接，包括：

创建新虚拟连接对象；

将所述新虚拟连接的ID和目标地址，作为创建的新虚拟连接对象的属性信息。

可选地，通过所述新虚拟连接创建网关和所述目标接口服务器之间的通信链路，包括：

建立与所述目标接口服务器之间的传输连接；

启动所述新虚拟连接和所述传输连接之间的流量转发。

可选地，通过所述新虚拟连接创建网关和所述目标接口服务器之间的通信链路之后，还包括：

通过所述新虚拟连接，接收网关发送的数据传输消息；其中，所述数据传输消息根据新虚拟连接的ID和待传输的业务数据生成；

向所述目标接口服务器发送所述业务数据。

可选地，向所述目标接口服务器发送所述业务数据之后，还包括：

获取所述目标接口服务器的反馈数据；

根据所述新虚拟连接的ID和所述反馈数据，生成数据反馈消息；

通过所述新虚拟连接，向网关发送所述数据反馈消息。

第三方面，本申请实施例中还公开了一种私有网络中Kubernetes集群的接入装置，配置于部署在公有网络中的网关，所述装置包括：

第一隧道创建模块，用于响应于从代理服务器接收的全双工通讯连接，创建传输隧道；其中，所述代理服务器部署在私有网络中；

第一虚拟创建模块，用于获取对目标接口服务器的业务访问请求，若检测到没有可用虚拟连接，则创建所述传输隧道中的新虚拟连接；其中，所述业务访问请求中携带有所述目标接口服务器的目标地址；

连接消息生成模块，用于根据所述新虚拟连接的ID和所述目标地址，生成连接创建消息；

连接消息发送模块，用于向代理服务器发送所述连接创建消息，以指示代理服务器执行如下：创建新虚拟连接，且通过所述新虚拟连接创建网关和所述目标接口服务器之间的通信链路，以接入所述目标接口服务器。

第四方面，本申请实施例中还公开了一种私有网络中Kubernetes集群的接入装置，配置于部署在私有网络中的代理服务器，所述装置包括：

第二隧道创建模块，用于向网关发起全双工通讯连接，并创建传输隧道；

连接消息接收模块，用于接收网关发送的连接创建消息；其中所述连接创建消息根据网关创建的新虚拟连接的ID和目标接口服务器的目标地址生成；

第二虚拟创建模块，用于根据所述新虚拟连接的ID和所述目标地址，创建新虚拟连接；

通信链路创建模块，用于通过所述新虚拟连接创建网关和所述目标接口服务器之间的通信链路，以将所述目标接口服务器接入所述网关。

第五方面，本申请实施例中还公开了一种电子设备，包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行本申请任意实施例中所提供的所述的私有网络中Kubernetes集群的接入方法。

第六方面，本申请实施例中还公开了一种存储有计算机指令的非瞬时计算机可读存储介质，所述计算机指令用于使所述计算机执行本申请任意实施例中所提供的所述的私有网络中Kubernetes集群的接入方法。

根据本申请提供的一种私有网络中Kubernetes集群的接入方法，通过部署在公有网络中的网关基于全双工通讯连接创建传输隧道，并在针对目标接口进行业务访问时，触发传输隧道的虚拟连接，并基于虚拟连接的ID和接口服务器的目标地址指示代理服务器创建虚拟连接，这样通过虚拟连接能够创建云平台中网关与接口服务器的通信链路。采用本申请方案，通过部署在公网中云平台的网关和部署在私有网络环境下K8S集群中的代理服务器，就能将私有网络中的K8S集群接入公网中的云平台，并且由于不需要公网IP，因此能大幅度地降低K8S集群受到外部攻击的风险。

上述可选方式所具有的其他效果将在下文中结合具体实施例加以说明。

附图说明

附图用于更好地理解本方案，不构成对本申请的限定。其中：

图1是根据本申请实施例一所提供的一种私有网络中Kubernetes集群的接入方法的流程图；

图2是是根据本申请实施例一所提供的私有网络中Kubernetes集群的接入云平台的架构示意图；

图3是根据本申请实施例一所提供的私有网络中Kubernetes集群的接入云平台的交互示意图；

图4是根据本申请实施例二所提供的一种私有网络中Kubernetes集群的接入方法的流程图；

图5是用来实现本申请实施例的私有网络中Kubernetes集群的接入方法的一种私有网络中Kubernetes集群的接入装置的结构框图；

图6是用来实现本申请实施例的私有网络中Kubernetes集群的接入方法的另一种私有网络中Kubernetes集群的接入装置的结构框图；

图7是用来实现本申请实施例的私有网络中Kubernetes集群的接入方法的电子设备的结构框图。

具体实施方式

以下结合附图对本申请的示范性实施例做出说明，其中包括本申请实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本申请的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。

实施例一

图1是根据本申请实施例一所提供的一种私有网络中Kubernetes集群的接入方法的流程图，本实施例可适用于将私有网络中的Kubernetes集群接入公有网络中云平台的情况。该方法可以由私有网络中Kubernetes集群的接入装置来执行，该装置可以采用软件和/或硬件的方式实现，并集成在任何具有网络通信功能的电子设备上。其中，本实施例的Kubernetes集群的接入方法可由部署在公有网络中的网关执行。

如图1所示，本申请实施例中提供的私有网络中Kubernetes集群的接入方法，包括以下步骤：

S110、响应于从代理服务器接收的全双工通讯连接，创建传输隧道；其中，代理服务器部署在私有网络中。

在本实施例中，图2是是根据本申请实施例一所提供的私有网络中Kubernetes集群的接入云平台的架构示意图。参见图2，包括：云平台在公有网络中部署的网关(记为Gate)、Kubernetes集群中设置的代理服务器(记为Cluster Agent)以及Kubernetes集群中的接口服务器(记为APIServer)。其中，Kubernetes集群部署在私有网络中。可选地，Kubernetes集群中的代理服务器可由云平台提供，并安装在Kubernetes集群中。

在本实施例中，部署在公有网络上的网关可作为Kubernetes集群的统一接入点，即通过Kubernetes集群中的代理服务器可访问部署在公有网络上的网关。可选地，Kubernetes集群中的代理服务器允许访问部署在公有网络上的网关，且不允许部署在公有网络上的网关访问Kubernetes集群中的代理服务器。这样，可避免Kubernetes集群对外暴露公网IP，从而降低Kubernetes集群因公网IP暴露导致被攻击的风险。

在本实施例中，图3是根据本申请实施例一所提供的私有网络中Kubernetes集群的接入云平台的交互示意图。参见图2和图3，代理服务器可向部署在公有网络的网关发起全双工通讯连接，比如，代理服务器可向部署在公有网络的网关发起WebSocket连接；且，部署在公有网络的网关可接收代理服务器发起的全双工通讯连接，以使代理服务器与部署在公有网络的网关进行双向认证。进而，代理服务器可根据发起的全双工通讯连接建立传输隧道，同时部署在公有网络的网关可响应代理服务器发起的全双工通讯连接建立传输隧道。这样，代理服务器可主动通过全双工通讯连接，建立与网关之间的双向通信的传输隧道，记为Tunnel。其中，传输隧道Tunnel是一种双向认证的加密通道，很难泄露传输的报文。

S120、获取对目标接口服务器的业务访问请求，若检测到没有可用虚拟连接，则创建传输隧道中的新虚拟连接；其中，业务访问请求中携带有目标接口服务器的目标地址。

在本实施例中，Kubernetes集群部署在私有网络中，Kubernetes集群中接口服务器APIServer包括多个私有网络的IP地址。可选地，部署在公有网络的网关中包括业务模块，业务模块可基于业务需求，确定需要访问的Kubernetes集群中的一个或多个私有网络的IP地址。

在本实施例中，当云平台需要对Kubernetes集群进行业务访问时，可将需要访问的私有网络的IP地址作为目标地址，将目标地址所属的Kubernetes集群中的接口服务器APIServer作为目标接口服务器，以生成包括目标接口服务器的目标地址的业务访问请求。参见图3，在代理服务器与网关之间的双向通信的传输隧道的基础上，部署在公有网络的网关可检测传输隧道中是否存在可用虚拟连接(记为vConn)。例如，如果云平台需要访问Kubernetes集群中接口服务器APIServer中的某一个对象，部署在公有网络的网关可判断是否存在该对象的可用虚拟连接。其中，虚拟连接可以是指虚拟的通信连接，例如，可为虚拟的TCP连接等。

在本实施例中，参见图3，如果检测到不存在可用的虚拟连接，则部署在公有网络的网关可创建传输隧道中的新虚拟连接。而，如果检测到存在可用的虚拟连接，则部署在公有网络的网关可直接复用传输隧道中已经存在的虚拟连接，而不需要重新创建新的虚拟连接。可选地，每一个传输隧道Tunnel可承载多个虚拟连接，这样的话，当云平台业务访问接口服务器的多个对象时，不需要重复建立传输隧道，可以直接复用传输隧道。

在本实施例的一种可选方式中，创建传输隧道中的新虚拟连接，可包括以下过程：创建新虚拟连接对象，并确定新虚拟连接对象的属性信息。

在本实施方式中，部署在公有网络的网关包括业务模块和传输隧道Tunnel模块，业务模块可检测是否存在可用虚拟连接，若检测到没有可用虚拟连接，则产生携带有目标接口服务器的目标地址的连接创建请求，并向Tunnel模块发送连接创建请求。这样，就可通过连接创建请求指示传输隧道Tunnel模块创建传输隧道中的新虚拟连接对象。可选地，当通过传输隧道Tunnel模块创建虚拟连接后，可将创建的新虚拟连接对象回传给业务模块，这样业务模块就可以利用新虚拟连接来进行后续的数据传输。

在本实施方式中，新虚拟连接对象的属性信息至少可包括新虚拟连接对象的ID和目标接口服务器的目标地址。例如，新虚拟连接对象的ID可为新虚拟的TCP连接的ID，目标接口服务器的目标地址可为目标接口服务器的一个私有网络IP，且该私有网络IP是需要进行业务访问的IP。

在本实施方式中，传输隧道Tunnel的消息结构，可表示如下：第一个字段表示消息ID，第二个字段表示虚拟连接ID，第三个字段表示消息类型，其中，消息类型为连接类消息、数据类消息或异常类消息。连接类消息中可包括目标地址和超时时间，数据类消息中可包括数据内容。

在本实施方式中，由于通过部署在公网下的云平台中的网关与私有网络中K8S集群建立传输隧道，并通过复用传输隧道为不同业务创建不同的虚拟连接，因此可保证在不需要公网IP的情况下仍能通过虚拟连接将私有网络中的K8S集群接入公网中的云平台，这样不仅可以降低使用公有网络IP导致的成本，而且降低了由于公有网络IP对外暴露所导致的集群受到外部攻击的风险。

S130、根据新虚拟连接的ID和目标地址，生成连接创建消息。

在本实施例中，如果检测到不存在可用的虚拟连接，则部署在公有网络的网关还可确定新虚拟连接的ID，以及确定业务访问请求中携带的目标接口服务器的目标地址。其中，目标接口服务器为云平台中的业务模块基于业务需求需要访问的Kubernetes集群中的接口服务器APIServer。

在本实施例中，参见图3，部署在公有网络的网关可依据新虚拟连接的ID和目标地址，生成包括有新虚拟连接的ID和目标地址的连接创建消息。可选地，连接创建消息可包括消息ID、新虚拟连接的ID、消息类型和目标地址；且消息类型为连接类。这样，通过连接创建消息就可指示部署在私有网络中的代理服务器也来创建与前述网关创建的新虚拟连接相对应的代理服务器端的新虚拟连接。

S140、向代理服务器发送连接创建消息，以指示代理服务器执行如下：创建新虚拟连接，且通过新虚拟连接创建网关和目标接口服务器之间的通信链路，以接入目标接口服务器。

在本实施例中，由于部署在公有网络的网关已经创建了传输隧道的新虚拟连接，且部署在私有网络中的代理服务器已经创建传输隧道，因此部署在私有网络中的代理服务器也可基于已创建的传输隧道，来创建与其对应的传输隧道中的新虚拟连接。参见图3，当部署在公有网络的网关生成连接创建消息后，可将连接创建消息向代理服务器发送。部署在私有网络中的代理服务器可根据接收的连接创建消息来执行如下操作：创建新虚拟连接，且通过新虚拟连接创建网关和目标接口服务器之间的通信链路，以接入目标接口服务器。

在本实施例中，不难看出，通过连接创建消息，可以指示代理服务器创建对应的虚拟连接，进而只需要基于虚拟连接而不需要不需要公网IP就能够将私有网络中的K8S集群接入公网中的云平台，因此能大幅度地降低K8S集群受到外部攻击的风险。

根据本申请提供的一种私有网络中Kubernetes集群的接入方法，通过部署在公有网络中的网关基于全双工通讯连接创建传输隧道，并在针对目标接口进行业务访问时，触发传输隧道的虚拟连接，并基于虚拟连接的ID和接口服务器的目标地址指示代理服务器创建虚拟连接，这样通过虚拟连接能够创建云平台中网关与接口服务器的通信链路。采用本申请方案，在公网中云平台上部署网关和在私有网络环境下K8S集群中部署代理服务器，通过代理服务器触发与网关建立双方认证传输隧道Tunnel，复用传输隧道Tunnel为不同业务模块分别建立不同虚拟连接vConn，基于虚拟连接就可将私有网络中的K8S集群接入公网中的云平台，并且由于不需要公网IP，因此能大幅度地降低K8S集群受到外部攻击的风险。

在上述实施例的基础上，可选地，在通过新虚拟连接创建网关和目标接口服务器之间的通信链路之后，还可包括以下步骤A1-A2：

步骤A1、获取待传输的业务数据，并根据新虚拟连接的ID和业务数据，生成数据传输消息。

在本实施例中，部署在公有网络中的网关可获取需要传输的一个或多个业务数据。由于网关和目标接口服务器之间的通信链路是借助传输隧道Tunnel中的虚拟连接开辟，因此需要基于传输隧道Tunnel的消息结构先对需要传输的业务数据进行数据转换。具体为，基于传输隧道Tunnel的消息结构，根据新虚拟连接的ID和业务数据，生成需要传输的数据传输消息，数据传输消息属于消息报文。其中，数据传输消息包括消息ID、新虚拟连接的ID、消息类型、目标地址和业务数据；且消息类型为数据类。

步骤A2、通过新虚拟连接，向代理服务器发送数据传输消息，以指示代理服务器向目标接口服务器转发业务数据。

在本实施例中，参见图3，当部署在私有网络中的代理服务器通过新虚拟连接创建网关和目标接口服务器之间的通信链路后，部署在公有网络中的网关可借助该通信链路接入Kubernetes集群的目标接口服务器。由于虚拟连接能够完整模拟TCP连接的收发功能，因此可以用来承载其他跑在TCP之上的流量，如：HTTP、HTTPS、WebSocket。在此基础上，不需要公网IP，部署在公有网络中的网关即可将数据传输消息发送至部署在私有网络中的代理服务器的可用虚拟连接。当部署在私有网络中的代理服务器接收到网关发送的数据传输消息时，可将数据传输消息中包括的业务数据解析出来，并转发给Kubernetes集群的目标接口服务器。

在本实施例中，上述方式的技术方案，不仅能够通过合适的虚拟连接建立公网中云平台与私有网络中K8S集群之间的数据传输，从而使得云平台能够与K8S集群进行安全的交互，并且还能使得K8S集群不需要暴露并使用公网IP即可接入云平台，降低了公网IP的使用成本，同时还降低了K8S集群由于对外暴露的公网IP所造成了传输风险。

实施例二

图4是根据本申请实施例二所提供的一种私有网络中Kubernetes集群的接入方法的流程图，本申请实施例在上述实施例的基础上进行优化，本申请实施例可以与上述一个或者多个实施例中各个可选方案结合。本实施例的方案可适用于将私有网络中Kubernetes集群接入公有网络中云平台的情况。该方法可以由私有网络中Kubernetes集群的接入装置来执行，该装置可以采用软件和/或硬件的方式实现，并集成在任何具有网络通信功能的电子设备上。其中，本实施例的Kubernetes集群的接入方法可由部署在私有网络中的代理服务器来执行。

如图4所示，本申请实施例中提供的私有网络中Kubernetes集群的接入方法，包括以下步骤：

S410、向网关发起全双工通讯连接，并创建传输隧道。

在本实施例中，参见图2和图3，部署在私有网络中的代理服务器可以向部署在公有网络中的网关，发起全双工通讯连接；以及创建隧道Tunnel。相应地，与前述实施例过程类似，部署在公有网络中的网关可响应于从代理服务器接收的全双工通讯连接，创建传输隧道Tunnel。

S420、接收网关发送的连接创建消息；其中连接创建消息根据网关创建的新虚拟连接的ID和目标接口服务器的目标地址生成。

在本实施例中，参见图2和图3，与前述实施例过程类似，部署在公有网络中的网关可获取对目标接口服务器的业务访问请求，若检测到没有可用虚拟连接，则创建传输隧道中的新虚拟连接。部署在公有网络中的网关还需要自己创建的新虚拟连接的ID和业务访问请求中携带的目标接口服务器的目标地址，生成连接创建消息，并向代理服务器发送该生成的连接创建消息。

在本实施例中，参见图3，当代理服务器接收到部署在公有网络中的网关所发送连接创建消息后，代理服务器可对连接创建消息进行解析，得到其中包括的网关创建的新虚拟连接的ID和目标接口服务器的目标地址。

S430、根据网关创建的新虚拟连接的ID和目标接口服务器的目标地址，创建新虚拟连接。

在本实施例中，与前述实施例中网关创建虚拟连接类似，部署在私有网络中的代理服务器可根据网关创建的新虚拟连接的ID和目标接口服务器的目标地址，创建与网关创建的新虚拟连接相对应的新虚拟连接。可选地，根据网关创建的新虚拟连接的ID和目标接口服务器的目标地址，创建新虚拟连接，包括：创建新虚拟连接对象，并将网关创建的新虚拟连接的ID和目标地址，作为自身创建的新虚拟连接对象的属性信息。其中，新虚拟连接对象的属性信息至少包括新虚拟连接对象的ID和目标地址。

S440、通过新虚拟连接创建网关和目标接口服务器之间的通信链路，以将目标接口服务器接入网关。

在本实施例中，部署在公有网络中的网关创建了传输隧道中的新虚拟连接，同样，部署在私有网络中的代理服务器根据网关创建的新虚拟连接的ID和目标接口服务器的目标地址，创建了传输隧道中的新虚拟连接。可见，在部署在公有网络中的网关与部署在私有网络中的代理服务器在全双工通讯连接的基础上抽象出虚拟的TCP连接，记为新虚拟连接。

在本实施例中，可选地，Kubernetes集群包括部署在私有网络中的代理服务器Cluster Agent和接口服务器APIServer，这样部署在私有网络中的代理服务器可建立与目标接口服务器之间的传输连接，例如，这里的传输连接可以是真实的TCP连接。进而，基于网关与代理服务器之间的新虚拟连接，可启动新虚拟连接和传输连接之间的流量转发，即可创建网关和目标接口服务器之间的通信链路。这样，部署在私有网络中的代理服务器就可以不使用公网IP将私有网络下的Kubernetes集群中目标接口服务器接入到部署在公有网络中的网关，实现将私有网络下的Kubernetes集群接入公有网络下的云平台。

根据本申请提供的一种私有网络中Kubernetes集群的接入方法，采用本申请方案，在公网中云平台上部署网关和在私有网络环境下K8S集群中部署代理服务器，通过代理服务器触发与网关建立双方认证传输隧道Tunnel，复用传输隧道Tunnel为不同业务模块分别建立不同虚拟连接vConn，基于虚拟连接就可将私有网络中的K8S集群接入公网中的云平台，并且由于不需要公网IP，因此能大幅度地降低K8S集群受到外部攻击的风险。

在上述实施例的基础上，可选地，在通过新虚拟连接创建网关和所述目标接口服务器之间的通信链路之后，还包括：通过新虚拟连接，接收网关发送的数据传输消息，并向目标接口服务器发送数据传输消息中包括的业务数据。

在本实施例中，部署在私有网络中的代理服务器可通过新虚拟连接接收部署在公有网络中的网关发送的数据传输消息。部署在私有网络中的代理服务器包括传输隧道Tunnel模块。代理服务器中的传输隧道Tunnel模块可从数据传输消息中解析出包括的业务数据，并将业务数据写入代理服务器的可用虚拟连接的缓冲区内。代理服务器可将业务数据转发给Kubernetes集群中的目标接口服务器，这样私有网络下的Kubernetes集群中的目标接口服务器就可从代理服务器的可用虚拟连接的缓冲区内间接得到云平台发送的业务数据。其中，数据传输消息是部署在公有网络中的网关根据创建的新虚拟连接的ID和待传输的业务数据生成得到。

在本实施例中，可选地，当代理服务器向目标接口服务器发送业务数据之后，还包括：代理服务器可获取目标接口服务器的反馈数据，并根据新虚拟连接的ID和反馈数据，生成数据反馈消息。进而，代理服务器还可通过新虚拟连接，向部署在公有网络中的网关发送数据反馈消息。采用上述方式，不需要使用公网IP，私有网络下的Kubernetes集群就能接入公有网络中的网关进行数据传输。

实施例三

图5是用来实现本申请实施例的私有网络中Kubernetes集群的接入方法的一种私有网络中Kubernetes集群的接入装置的结构框图，本实施例可适用于将私有网络中的Kubernetes集群接入公有网络中云平台的情况。该方法可由私有网络中Kubernetes集群的接入装置来执行，该装置可采用软件和/或硬件的方式实现，并集成在任何具有网络通信功能的电子设备上，本实施例的Kubernetes集群的接入装置配置于部署在公有网络中的网关中。

如图5所示，本申请实施例中提供的私有网络中Kubernetes集群的接入装置，包括：第一隧道创建模块510、第一虚拟创建模块520、连接消息生成模块530和连接消息发送模块540。其中：

第一隧道创建模块510，用于响应于从代理服务器接收的全双工通讯连接，创建传输隧道；其中，所述代理服务器部署在私有网络中；

第一虚拟创建模块520，用于获取对目标接口服务器的业务访问请求，若检测到没有可用虚拟连接，则创建所述传输隧道中的新虚拟连接；其中，所述业务访问请求中携带有所述目标接口服务器的目标地址；

连接消息生成模块530，用于根据所述新虚拟连接的ID和所述目标地址，生成连接创建消息；

连接消息发送模块540，用于向代理服务器发送所述连接创建消息，以指示代理服务器执行如下：创建新虚拟连接，且通过所述新虚拟连接创建网关和所述目标接口服务器之间的通信链路，以接入所述目标接口服务器。

在上述实施例的基础上，可选地，第一虚拟创建模块510包括：

创建新虚拟连接对象；

确定所述新虚拟连接对象的属性信息，其中所述新虚拟连接对象的属性信息至少包括新虚拟连接对象的ID和所述目标地址。

在上述实施例的基础上，可选地，所述连接创建消息包括消息ID、所述新虚拟连接的ID、消息类型和所述目标地址；且所述消息类型为连接类。

在上述实施例的基础上，可选地，所述装置还包括：

业务数据获取模块，用于在指示代理服务器通过所述新虚拟连接创建网关和所述目标接口服务器之间的通信链路之后，获取待传输的业务数据；

传输消息生成模块，用于根据所述新虚拟连接的ID和所述业务数据，生成数据传输消息；

传输消息发送模块，用于通过所述新虚拟连接，向代理服务器发送所述数据传输消息，以指示代理服务器向所述目标接口服务器转发所述业务数据。

在上述实施例的基础上，可选地，所述数据传输消息包括消息ID、所述新虚拟连接的ID、消息类型、所述目标地址和所述业务数据；且所述消息类型为数据类。

本申请实施例中所提供的私有网络中Kubernetes集群的接入装置可执行上述本申请任意实施例中所提供的私有网络中Kubernetes集群的接入方法，具备执行该私有网络中Kubernetes集群的接入方法相应的功能和有益效果，未在上述实施例中详尽描述的技术细节，可参见本申请任意实施例中所提供的私有网络中Kubernetes集群的接入方法。

实施例四

图6是用来实现本申请实施例的私有网络中Kubernetes集群的接入方法的另一种私有网络中Kubernetes集群的接入装置的结构框图，本实施例的方案可适用于将私有网络中Kubernetes集群接入公有网络中云平台的情况。该方法可以由私有网络中Kubernetes集群的接入装置来执行，该装置可以采用软件和/或硬件的方式实现，并集成在任何具有网络通信功能的电子设备上。其中，本实施例的Kubernetes集群的接入装置可配置于部署在私有网络中的代理服务器中。

如图6所示，本申请实施例中提供的私有网络中Kubernetes集群的接入装置，包括：第二隧道创建模块610、连接消息接收模块620、第二虚拟创建模块630和通信链路创建模块640。其中：

第二隧道创建模块610，用于向网关发起全双工通讯连接，并创建传输隧道；

连接消息接收模块620，用于接收网关发送的连接创建消息；其中所述连接创建消息根据网关创建的新虚拟连接的ID和目标接口服务器的目标地址生成；

第二虚拟创建模块630，用于根据所述新虚拟连接的ID和所述目标地址，创建新虚拟连接；

通信链路创建模块640，用于通过所述新虚拟连接创建网关和所述目标接口服务器之间的通信链路，以将所述目标接口服务器接入所述网关。

在上述实施例的基础上，可选地，第二虚拟创建模块630包括：

创建新虚拟连接对象；

将所述新虚拟连接的ID和目标地址，作为创建的新虚拟连接对象的属性信息。

在上述实施例的基础上，可选地，通信链路创建模块640包括：

建立与所述目标接口服务器之间的传输连接；

启动所述新虚拟连接和所述传输连接之间的流量转发。

在上述实施例的基础上，可选地，所述装置还包括：

传输消息接收模块，用于通过所述新虚拟连接，接收网关发送的数据传输消息；其中，所述数据传输消息根据新虚拟连接的ID和待传输的业务数据生成；

业务数据发送模块，用于在通过所述新虚拟连接创建网关和所述目标接口服务器之间的通信链路之后，向所述目标接口服务器发送所述业务数据。

在上述实施例的基础上，可选地，所述装置还包括：

反馈数据获取模块，用于向所述目标接口服务器发送所述业务数据之后，获取所述目标接口服务器的反馈数据；

反馈消息生成模块，用于根据所述新虚拟连接的ID和所述反馈数据，生成数据反馈消息；

反馈消息发送模块，用于通过所述新虚拟连接，向网关发送所述数据反馈消息。

申请实施例中所提供的私有网络中Kubernetes集群的接入装置可执行上述本申请任意实施例中所提供的私有网络中Kubernetes集群的接入方法，具备执行该私有网络中Kubernetes集群的接入方法相应的功能和有益效果，未在上述实施例中详尽描述的技术细节，可参见本申请任意实施例中所提供的私有网络中Kubernetes集群的接入方法。

实施例五

根据本申请的实施例，本申请还提供了一种电子设备和一种可读存储介质。图7是用来实现本申请实施例的私有网络中Kubernetes集群的接入方法的电子设备的结构框图。

如图7所示，是根据本申请实施例的私有网络中Kubernetes集群的接入方法的电子设备的框图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本申请的实现。

如图7所示，该电子设备包括：一个或多个处理器701、存储器702，以及用于连接各部件的接口，包括高速接口和低速接口。各个部件利用不同的总线互相连接，并且可以被安装在公共主板上或者根据需要以其它方式安装。处理器可以对在电子设备内执行的指令进行处理，包括存储在存储器中或者存储器上以在外部输入/输出装置(诸如，耦合至接口的显示设备)上显示GUI的图形信息的指令。在其它实施方式中，若需要，可以将多个处理器和/或多条总线与多个存储器和多个存储器一起使用。同样，可以连接多个电子设备，各个设备提供部分必要的操作(例如，作为服务器阵列、一组刀片式服务器、或者多处理器系统)。图7中以一个处理器701为例。

存储器702即为本申请所提供的非瞬时计算机可读存储介质。其中，所述存储器存储有可由至少一个处理器执行的指令，以使所述至少一个处理器执行本申请所提供的私有网络中Kubernetes集群的接入的方法。本申请的非瞬时计算机可读存储介质存储计算机指令，该计算机指令用于使计算机执行本申请所提供的私有网络中Kubernetes集群的接入的方法。

存储器702作为一种非瞬时计算机可读存储介质，可用于存储非瞬时软件程序、非瞬时计算机可执行程序以及模块，如本申请实施例中的私有网络中Kubernetes集群的接入的方法对应的程序指令/模块(例如，附图5所示的各个模块或附图6所示的各个模块)。处理器701通过运行存储在存储器702中的非瞬时软件程序、指令以及模块，从而执行服务器的各种功能应用以及数据处理，即实现上述方法实施例中的私有网络中Kubernetes集群的接入的方法。

存储器702可以包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需要的应用程序；存储数据区可存储根据私有网络中Kubernetes集群的接入方法的电子设备的使用所创建的数据等。此外，存储器702可以包括高速随机存取存储器，还可以包括非瞬时存储器，例如至少一个磁盘存储器件、闪存器件、或其他非瞬时固态存储器件。在一些实施例中，存储器702可选包括相对于处理器701远程设置的存储器，这些远程存储器可以通过网络连接至私有网络中Kubernetes集群的接入的电子设备。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

私有网络中Kubernetes集群的接入的方法的电子设备还可以包括：输入装置703和输出装置704。处理器701、存储器702、输入装置703和输出装置704可以通过总线或者其他方式连接，图7中以通过总线连接为例。

输入装置703可接收输入的数字或字符信息，以及产生与私有网络中Kubernetes集群的接入的电子设备的用户设置以及功能控制有关的键信号输入，例如触摸屏、小键盘、鼠标、轨迹板、触摸板、指示杆、一个或者多个鼠标按钮、轨迹球、操纵杆等输入装置。输出装置704可以包括显示设备、辅助照明装置(例如，LED)和触觉反馈装置(例如，振动电机)等。该显示设备可以包括但不限于，液晶显示器(LCD)、发光二极管(LED)显示器和等离子体显示器。在一些实施方式中，显示设备可以是触摸屏。

此处描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、专用ASIC(专用集成电路)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

这些计算程序(也称作程序、软件、软件应用、或者代码)包括可编程处理器的机器指令，并且可以利用高级过程和/或面向对象的编程语言、和/或汇编/机器语言来实施这些计算程序。如本文使用的，术语“机器可读介质”和“计算机可读介质”指的是用于将机器指令和/或数据提供给可编程处理器的任何计算机程序产品、设备、和/或装置(例如，磁盘、光盘、存储器、可编程逻辑装置(PLD))，包括，接收作为机器可读信号的机器指令的机器可读介质。术语“机器可读信号”指的是用于将机器指令和/或数据提供给可编程处理器的任何信号。

为了提供与用户的交互，可以在计算机上实施此处描述的系统和技术，该计算机具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给计算机。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)、互联网和区块链网络。

计算机系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。

根据本申请实施例的技术方案，通过部署在公网中云平台的网关和部署在私有网络环境下K8S集群中的代理服务器，就能将私有网络中的K8S集群接入公网中的云平台，并且由于不需要公网IP，因此能大幅度地降低K8S集群受到外部攻击的风险。

应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发申请中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本申请公开的技术方案所期望的结果，本文在此不进行限制。

上述具体实施方式，并不构成对本申请保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本申请的精神和原则之内所作的修改、等同替换和改进等，均应包含在本申请保护范围之内。

Claims (22)

1.一种私有网络中Kubernetes集群的接入方法，其特征在于，由部署在公有网络中的网关执行，所述方法包括：

响应于从代理服务器接收的全双工通讯连接，创建传输隧道；其中，所述代理服务器部署在私有网络中；

获取对目标接口服务器的业务访问请求，若检测到没有可用虚拟连接，则创建所述传输隧道中的新虚拟连接；其中，所述业务访问请求中携带有所述目标接口服务器的目标地址；

根据所述新虚拟连接的ID和所述目标地址，生成连接创建消息；

向代理服务器发送所述连接创建消息，以指示代理服务器执行如下：创建新虚拟连接，且通过所述新虚拟连接创建网关和所述目标接口服务器之间的通信链路，以接入所述目标接口服务器。

2.根据权利要求1所述的方法，其特征在于，创建所述传输隧道中的新虚拟连接，包括：

创建新虚拟连接对象；

确定所述新虚拟连接对象的属性信息，其中所述新虚拟连接对象的属性信息至少包括新虚拟连接对象的ID和所述目标地址。

3.根据权利要求1所述的方法，其特征在于，所述连接创建消息包括消息ID、所述新虚拟连接的ID、消息类型和所述目标地址；且所述消息类型为连接类。

4.根据权利要求1所述的方法，其特征在于，通过所述新虚拟连接创建网关和所述目标接口服务器之间的通信链路之后，还包括：

获取待传输的业务数据；

根据所述新虚拟连接的ID和所述业务数据，生成数据传输消息；

通过所述新虚拟连接，向代理服务器发送所述数据传输消息，以指示代理服务器向所述目标接口服务器转发所述业务数据。

5.根据权利要求4所述的方法，其特征在于，所述数据传输消息包括消息ID、所述新虚拟连接的ID、消息类型、所述目标地址和所述业务数据；且所述消息类型为数据类。

6.一种私有网络中Kubernetes集群的接入方法，其特征在于，由部署在私有网络中的代理服务器执行，所述方法包括：

向网关发起全双工通讯连接，并创建传输隧道；

接收网关发送的连接创建消息；其中所述连接创建消息根据网关创建的新虚拟连接的ID和目标接口服务器的目标地址生成；

根据所述新虚拟连接的ID和所述目标地址，创建新虚拟连接；

通过所述新虚拟连接创建网关和所述目标接口服务器之间的通信链路，以将所述目标接口服务器接入所述网关。

7.根据权利要求6所述的方法，其特征在于，所述根据所述新虚拟连接的ID和所述目标地址，创建新虚拟连接，包括：

创建新虚拟连接对象；

将所述新虚拟连接的ID和目标地址，作为创建的新虚拟连接对象的属性信息。

8.根据权利要求6所述的方法，其特征在于，通过所述新虚拟连接创建网关和所述目标接口服务器之间的通信链路，包括：

建立与所述目标接口服务器之间的传输连接；

启动所述新虚拟连接和所述传输连接之间的流量转发。

9.根据权利要求6所述的方法，其特征在于，通过所述新虚拟连接创建网关和所述目标接口服务器之间的通信链路之后，还包括：

通过所述新虚拟连接，接收网关发送的数据传输消息；其中，所述数据传输消息根据新虚拟连接的ID和待传输的业务数据生成；

向所述目标接口服务器发送所述业务数据。

10.根据权利要求9所述的方法，其特征在于，向所述目标接口服务器发送所述业务数据之后，还包括：

获取所述目标接口服务器的反馈数据；

根据所述新虚拟连接的ID和所述反馈数据，生成数据反馈消息；

通过所述新虚拟连接，向网关发送所述数据反馈消息。

11.一种私有网络中Kubernetes集群的接入装置，其特征在于，配置于部署在公有网络中的网关，所述装置包括：

第一隧道创建模块，用于响应于从代理服务器接收的全双工通讯连接，创建传输隧道；其中，所述代理服务器部署在私有网络中；

第一虚拟创建模块，用于获取对目标接口服务器的业务访问请求，若检测到没有可用虚拟连接，则创建所述传输隧道中的新虚拟连接；其中，所述业务访问请求中携带有所述目标接口服务器的目标地址；

连接消息生成模块，用于根据所述新虚拟连接的ID和所述目标地址，生成连接创建消息；

连接消息发送模块，用于向代理服务器发送所述连接创建消息，以指示代理服务器执行如下：创建新虚拟连接，且通过所述新虚拟连接创建网关和所述目标接口服务器之间的通信链路，以接入所述目标接口服务器。

12.根据权利要求11所述的装置，其特征在于，第一虚拟创建模块包括：

创建新虚拟连接对象；

确定所述新虚拟连接对象的属性信息，其中所述新虚拟连接对象的属性信息至少包括新虚拟连接对象的ID和所述目标地址。

13.根据权利要求11所述的装置，其特征在于，所述连接创建消息包括消息ID、所述新虚拟连接的ID、消息类型和所述目标地址；且所述消息类型为连接类。

14.根据权利要求11所述的装置，其特征在于，所述装置还包括：

业务数据获取模块，用于在指示代理服务器通过所述新虚拟连接创建网关和所述目标接口服务器之间的通信链路之后，获取待传输的业务数据；

传输消息生成模块，用于根据所述新虚拟连接的ID和所述业务数据，生成数据传输消息；

传输消息发送模块，用于通过所述新虚拟连接，向代理服务器发送所述数据传输消息，以指示代理服务器向所述目标接口服务器转发所述业务数据。

15.根据权利要求14所述的装置，其特征在于，所述数据传输消息包括消息ID、所述新虚拟连接的ID、消息类型、所述目标地址和所述业务数据；且所述消息类型为数据类。

16.一种私有网络中Kubernetes集群的接入装置，其特征在于，配置于部署在私有网络中的代理服务器，所述装置包括：

第二隧道创建模块，用于向网关发起全双工通讯连接，并创建传输隧道；

连接消息接收模块，用于接收网关发送的连接创建消息；其中所述连接创建消息根据网关创建的新虚拟连接的ID和目标接口服务器的目标地址生成；

第二虚拟创建模块，用于根据所述新虚拟连接的ID和所述目标地址，创建新虚拟连接；

通信链路创建模块，用于通过所述新虚拟连接创建网关和所述目标接口服务器之间的通信链路，以将所述目标接口服务器接入所述网关。

17.根据权利要求16所述的装置，其特征在于，第二虚拟创建模块包括：

创建新虚拟连接对象；

将所述新虚拟连接的ID和目标地址，作为创建的新虚拟连接对象的属性信息。

18.根据权利要求16所述的装置，其特征在于，通信链路创建模块包括：

建立与所述目标接口服务器之间的传输连接；

启动所述新虚拟连接和所述传输连接之间的流量转发。

19.根据权利要求16所述的装置，其特征在于，所述装置还包括：

传输消息接收模块，用于通过所述新虚拟连接，接收网关发送的数据传输消息；其中，所述数据传输消息根据新虚拟连接的ID和待传输的业务数据生成；

业务数据发送模块，用于在通过所述新虚拟连接创建网关和所述目标接口服务器之间的通信链路之后，向所述目标接口服务器发送所述业务数据。

20.根据权利要求19所述的装置，其特征在于，所述装置还包括：

反馈数据获取模块，用于向所述目标接口服务器发送所述业务数据之后，获取所述目标接口服务器的反馈数据；

反馈消息生成模块，用于根据所述新虚拟连接的ID和所述反馈数据，生成数据反馈消息；

反馈消息发送模块，用于通过所述新虚拟连接，向网关发送所述数据反馈消息。

21.一种电子设备，其特征在于，包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-10中任一项所述的私有网络中Kubernetes集群的接入方法。

22.一种存储有计算机指令的非瞬时计算机可读存储介质，其特征在于，所述计算机指令用于使所述计算机执行权利要求1-10中任一项所述的私有网络中Kubernetes集群的接入方法。

Images