Kubernetes VPS: офшорный сервер для k8s кластера

Несколько вариантов Kubernetes в зависимости от задачи:

• k3s: легковесный Kubernetes от Rancher, single binary, идеален для single-node или edge. ~512 МБ RAM минимум.
• k0s: аналог k3s от Mirantis, чуть более production-friendly.
• kubeadm: официальный способ установки vanilla Kubernetes для production multi-node.
• Talos Linux: immutable OS, специально для запуска Kubernetes - радикальный подход к security.
• microk8s: Ubuntu-based, удобен для разработки, в production менее популярен.

Для большинства side-проектов и небольших production - k3s на одном VPS L (4 vCPU, 8 ГБ RAM). Для serious production - kubeadm cluster из 3+ master nodes и нескольких worker nodes на отдельных Anubiz Host VPS в разных локациях.

Типичная архитектура production Kubernetes на Anubiz Host:

• 3 control plane nodes: VPS L (4 vCPU, 8 ГБ RAM) в разных локациях (Исландия, Румыния, Нидерланды).
• 3+ worker nodes: VPS XL или выделенные серверы в зависимости от workload.
• HAProxy/Caddy перед API server: load balancing запросов к control plane.
• WireGuard mesh между нодами: зашифрованная сеть для intra-cluster трафика.
• etcd backup: regular snapshots в офшорное S3 (Backblaze B2 или Cloudflare R2).
• Ingress controller: nginx-ingress или Traefik для входящего HTTP трафика.
• CNI: Cilium для eBPF-based networking и network policies.

Такая архитектура выдерживает отказ одной локации без downtime. Anubiz Host предлагает многолокационное размещение в рамках одного клиента с оплатой одним крипто-инвойсом.

k8s сложен в безопасности - вот критичные меры:

• API server только через WireGuard: не открывайте 6443 на публичный интернет.
• RBAC всегда включён: отдельные ServiceAccount на каждое приложение.
• Network policies: default deny между namespaces, явные правила что куда может ходить.
• Pod Security Standards: restricted profile для всех namespaces кроме system.
• Image scanning: Trivy или Grype в CI для проверки CVE в Docker образах.
• Secrets management: External Secrets Operator + HashiCorp Vault или Sealed Secrets.
• Audit logs: логирование всех API запросов локально, без отправки в облачные SIEM.

Anubiz Host VPS даёт root доступ и не вмешивается в Kubernetes конфигурацию клиента. Локации в Исландии вне 14 Eyes защищают от government requests на доступ к кластеру.