WireGuard 를 사용하여 작업자 대 작업자 트래픽 암호화

클래식 인프라 가상 프라이빗 클라우드

WireGuard 을 사용하여 클러스터의 워커 노드 간에 이동하는 데이터를 암호화할 수 있습니다.

  • 이 기능은 동일한 클러스터에 있는 워커 노드 간의 트래픽만 암호화합니다. 동일한 워커 노드에 있는 서로 다른 파드 간의 트래픽은 암호화하지 않습니다.
  • WireGuard 를 사용한 작업자 대 작업자 암호화는 Ubuntu 20이상 을 실행하는 작업자가 있는 Kubernetes Service 클러스터에서 지원됩니다.
  • WireGuard 는 사용자가 설치한 암호화 모듈이 있는 작업자에서는 지원되지 않습니다.
  • WireGuard 는 FIPS 또는 FedRAMP 를 준수하지 않습니다.
  • WireGuard 구성을 활성화한 후에는 변경할 수 없습니다. 그러나 이를 사용 안함으로 설정할 수 있습니다.

이 구성 설정에 대한 자세한 내용은 Calico 문서에서 클러스터에 WireGuard 사용하기를 참조하세요.

WireGuard 암호화 사용

  1. 다음 명령을 실행하여 작업자 대 작업자 트래픽에 대해 WireGuard 를 사용으로 설정하십시오.

    kubectl patch felixconfiguration default --type='merge' -p '{"spec":{"wireguardEnabled":true}}'

    출력 예

    felixconfiguration.crd.projectcalico.org/default patched

  2. felixconfiguration 을 검토하여 설정을 확인하십시오. 출력에서 WireGuard 섹션을 찾고 wireguardEnabled: true 를 확인하십시오.

    kubectl get felixconfiguration default -o yaml

    출력 예

    apiVersion: crd.projectcalico.org/v1
kind: FelixConfiguration
metadata:
  annotations:
    created-by: IBMCloudKubernetesService
    projectcalico.org/metadata: '{"uid":"8a21b69b-9ffb-451d-9619-0dd1605810dc","creationTimestamp":"2023-09-13T14:00:15Z"}'
  creationTimestamp: "2023-09-13T14:00:15Z"
  generation: 2
  name: default
  resourceVersion: "24839234"
  uid: ff0c79f3-5548-4db4-a22f-2f367282631d
spec:
  bpfLogLevel: ""
  floatingIPs: Disabled
  logSeverityScreen: Info
  natPortRange: 32768:65535
  reportingInterval: 0s
  wireguardEnabled: true

WireGuard 암호화 사용 안함

클러스터에서 작업자 대 작업자 암호화가 더 이상 필요하지 않은 경우 WireGuard를 사용 안함으로 설정할 수 있습니다.

  1. 다음 명령을 실행하여 WireGuard 을 비활성화합니다.

    kubectl patch felixconfiguration default --type='merge' -p '{"spec":{"wireguardEnabled":false}}'

    출력 예

    felixconfiguration.crd.projectcalico.org/default patched

  2. WireGuard 가 사용 안함으로 설정되어 있는지 확인하십시오.

    kubectl get felixconfiguration default -o yaml

    출력 예

    apiVersion: crd.projectcalico.org/v1
kind: FelixConfiguration
metadata:
  annotations:
    created-by: IBMCloudKubernetesService
    projectcalico.org/metadata: '{"uid":"8a21b69b-9ffb-451d-9619-0dd1605810dc","creationTimestamp":"2023-09-13T14:00:15Z"}'
  creationTimestamp: "2023-09-13T14:00:15Z"
  generation: 3
  name: default
  resourceVersion: "24839453"
  uid: ff0c79f3-5548-4db4-a22f-2f367282631d
spec:
  bpfLogLevel: ""
  floatingIPs: Disabled
  logSeverityScreen: Info
  natPortRange: 32768:65535
  reportingInterval: 0s
  wireguardEnabled: false