¿Sabías que un pod de Kubernetes puede tener una IP pública y su propio grupo de seguridad dedicado? Recientemente trabajando en despliegues de sistemas de telefonía sobre AWS EKS comprobé que ejecutar servidores de medios basados en RTP detrás de un NAT Gateway no es viable, porque RTP necesita comunicación directa entre extremos y el NAT Gateway de AWS no permite tráfico entrante hacia subredes privadas.
Problema: RTP exige comunicación directa entre ambos extremos por red pública o privada, y una arquitectura con NAT impide el flujo de entrada necesario para streaming en tiempo real.
Solución fácil pero insegura: hacer público el nodo worker de EKS y abrir los grupos de seguridad funciona técnicamente, pero implica un riesgo importante. RTP requiere un rango amplio de puertos para concurrencia, lo que obligaría a permitir miles de puertos en el grupo de seguridad y podría exponer puertos NodePort no deseados.
Solución ideal: disponer de pods con IP pública estática, interfaz de red dedicada y grupo de seguridad dedicado. Con estas tres condiciones se consigue un entorno fiable y seguro para servidores RTP y otros servicios de streaming.
Requisitos previos: un clúster AWS EKS con VPC CNI instalado, Elastic IP disponible y un Security Group en la VPC.
Paso 1 activar interfaz de red dedicada para pods: configurar el plugin VPC CNI para asignar ENI a los pods. En el daemonset aws-node añadir la variable de entorno ENABLE_POD_ENI con valor true. Si usas AWS Managed VPC CNI añade en la configuración avanzada env ENABLE_POD_ENI true. Tras este cambio el CNI podrá asignar interfaces de red específicas a pods sin cambiar el comportamiento por defecto de pods existentes.
Paso 2 asignar un Security Group al pod: AWS provee la CRD vpcresources.k8s.aws/v1beta1 que permite crear un recurso SecurityGroupPolicy. Por ejemplo crear un manifiesto con apiVersion vpcresources.k8s.aws/v1beta1 kind SecurityGroupPolicy metadata name media-stream-sg-policy namespace myns spec podSelector matchLabels app media-servers securityGroups groupIds - sg-e3edxxxxx donde sg-e3edxxxxx ya existe en la VPC. Aplicar kubectl apply -f securitygrouppolicy.yaml y crear un pod con la etiqueta app media-servers, por ejemplo un pod sencillo que use nginx. Una vez el pod esté en estado Running obtener su IP con kubectl get pods -n myns -o wide y localizar la interfaz de red asociada en EC2 Network & Security Network interfaces. Esa interfaz tendrá el Security Group adjunto y será la ENI dedicada del pod.
Paso 3 asignar Elastic IP al pod: por defecto la ENI no tiene IP pública. Desde la consola EC2 asignar o reservar un Elastic IP y asociarlo a la ENI obtenida en el paso anterior. También se puede automatizar con la CLI aws. Ejemplo de comando para asociar la EIP a la IP privada del pod: aws ec2 associate-address --allocation-id eipalloc-xxxx --network-interface-id $(aws ec2 describe-network-interfaces --filters Name=private-ip-address,Values=110.46.35.231 --query NetworkInterfaces[].NetworkInterfaceId --output text --no-paginate) --private-ip-address 110.46.35.231 --allow-reassociation. Este comando puede ejecutarse desde un init container para asegurar que la IP queda siempre vinculada al pod al arrancar.
Beneficios de esta arquitectura: comunicación directa para RTP y otros protocolos en tiempo real, control granular de acceso mediante grupos de seguridad por pod, posibilidad de disponer de IPs estáticas para whitelisting, y reducción de la exposición innecesaria de puertos en los nodos.
En Q2BSTUDIO ofrecemos experiencia en despliegues cloud y arquitecturas seguras para aplicaciones críticas. Como empresa de desarrollo de software y aplicaciones a medida diseñamos soluciones que integran seguridad, rendimiento y escalabilidad. Si necesitas apoyo con servicios cloud aws y azure o con la integración de IA para empresas tenemos equipos especializados que pueden ayudarte. Conectamos desarrollo de software a medida con prácticas de ciberseguridad y automatización para entregar soluciones completas.
Si te interesa modernizar tu plataforma con pods con IPs públicas gestionadas de forma segura o desplegar agentes IA y soluciones de inteligencia artificial para tu negocio visita nuestra página de servicios cloud Servicios Cloud AWS y Azure y conoce cómo combinamos infraestructura y seguridad. También ofrecemos soluciones de inteligencia artificial y IA para empresas que potencian productos y procesos, más información en Inteligencia Artificial para empresas.
Palabras clave integradas: aplicaciones a medida, software a medida, inteligencia artificial, ciberseguridad, servicios cloud aws y azure, servicios inteligencia de negocio, ia para empresas, agentes IA y power bi. Si quieres que adaptemos esta arquitectura a tu caso concreto o que evaluemos la seguridad y la automatización de tu plataforma contacta con Q2BSTUDIO y diseñaremos la solución a medida.
.jpg)
.jpg)