Architectuur & RKE2

Wat is RKE2?

RKE2 (Rancher Kubernetes Engine 2) is een beveiligde Kubernetes-distributie die standaard voldoet aan de CIS Kubernetes Benchmark. Elk cluster dat u bestelt via het Proxy Platform draait op RKE2.

Note

RKE2 is standaard gehardend volgens de CIS Benchmark en maakt gebruik van Pod Security Standards in de modus “Restricted”.

Clusterarchitectuur

Elk cluster bestaat uit minimaal 3 server nodes die zowel de control plane als uw workloads draaien. Dit zorgt voor high availability — als één node uitvalt, blijft uw cluster operationeel.

Afhankelijk van uw plan kunt u het aantal nodes opschalen voor meer capaciteit.

Clusterarchitectuur


┌─────────────────────────────────────────────┐
│              Load Balancer                   │
│      (publiek IP voor API en ingress)        │
└──────┬──────────┬──────────┬────────────────┘
       │          │          │
  ┌────▼───┐ ┌───▼────┐ ┌───▼────┐
  │ Node 1 │ │ Node 2 │ │ Node 3 │
  │ API    │ │ API    │ │ API    │
  │ etcd   │ │ etcd   │ │ etcd   │
  │ kubelet│ │ kubelet│ │ kubelet│
  └────────┘ └────────┘ └────────┘

  ┌─────────────────────────────────────────┐
  │           NAT Gateways                  │
  │    (vaste uitgaande IP-adressen)        │
  └─────────────────────────────────────────┘

Wat draait er op elk node?

API Server — het aanspreekpunt voor kubectl en uw applicaties
etcd — gedistribueerde database die de clusterstaat opslaat
Kubelet — draait uw containers en beheert de pods
Longhorn — distributed storage die data repliceert over alle nodes

Networking

Cilium als CNI (Container Network Interface) met eBPF
Ingebouwde network policies voor netwerksegmentatie tussen namespaces
Hubble voor netwerkobservability — inzicht in verkeer tussen pods en services
Load Balancer voor inkomend verkeer naar uw applicaties
NAT Gateways met vaste IP-adressen voor uitgaand verkeer

Beveiligingskenmerken

Elk cluster wordt standaard geleverd met de volgende beveiligingsmaatregelen:

Feature	Beschrijving
CIS Benchmark	Cluster is gehardend volgens de CIS Kubernetes Benchmark
Pod Security Standards	Restrictief beleid voorkomt onveilige containers
Encryption at rest	Secrets worden versleuteld in etcd (meer info)
Certificaatrotatie	Interne TLS-certificaten worden automatisch vernieuwd
Firewall	Netwerkverkeer wordt gefilterd op infrastructuurniveau
SELinux	Mandatory Access Control op OS-niveau

Warning

Het uitschakelen van Pod Security Standards wordt niet aanbevolen en kan de beveiliging van uw cluster compromitteren.