Permitir que os nós do trabalhador se comuniquem com o cluster mestre

Para permitir que nós do trabalhador se comuniquem com o cluster mestre pelo terminal em serviço de nuvem pública, permita o tráfego de rede de saída da origem <each_worker_node_publicIP> para o intervalo de portas TCP/UDP de destino 30000-32767 e porta 443, bem como os endereços IP e grupos de rede a seguir.

Esta tabela está sendo movida. Para obter as listas de IPs mais recentes e atualizações contínuas, consulte a pasta de isolamento da rede pública no repositório IBM/kube-samples. É possível observar as solicitações de pull no repositório para atualizações.

• TCP/UDP port range 30000-32767, port 443 FROM <each_worker_node_publicIP> TO <public_IPs>
• Substitua <public_IPs> pelos endereços IP públicos da região em que o cluster está localizado.

Permita que os nós dos trabalhadores se comuniquem com o IBM Cloud Container Registry

Permitir o tráfego de rede de saída de seus nós de trabalho para IBM Cloud Container Registry. Para obter mais informações, consulte Acessando IBM Cloud Container Registry por meio de um firewall.

Permita o tráfego de rede de saída do nó do trabalhador para o IAM

Permita o tráfego de rede de saída de seu nó do trabalhador para IBM Cloud Identity and Access Management (IAM). Sua lista de permissões deve ser da Camada 7 para permitir o nome de domínio do IAM. O IAM não possui endereços IP específicos que possam ser permitidos. Se a sua lista de permissões não for compatível com a Camada 7, você poderá permitir todo o tráfego de rede HTTPS na porta 443.

• TCP port 443 FROM <each_worker_node_publicIP> TO https://iam.bluemix.net
• TCP port 443 FROM <each_worker_node_publicIP> TO https://iam.cloud.ibm.com

Opcional: permita o tráfego de rede de saída dos nós do trabalhador para os serviços Monitoring e IBM Cloud Logs

• IBM Cloud Monitoring:

  • TCP port 443, port 6443 FROM <each_worker_node_public_IP> TO <monitoring_public_IP>
  • Substitua <monitoring_public_IP> pelos endereços IP do Monitoring.

• IBM Cloud Logs:

  • TCP port 443, port 80 FROM <each_worker_node_public_IP> TO <logging_public_IP>
  • Substitua <logging_public_IP> pelos endereços IP de IBM Cloud Logs.

Opcional: permitir o tráfego de rede de entrada e saída para o complemento Istio gerenciado

• Permita o tráfego de rede de saída do balanceador de carga istio-egressgateway por meio das seguintes portas: TCP port 80, port 15443 FROM <each_worker_node_publicIP>
• Permita o tráfego de rede de entrada para o plano de controle istiod e o balanceador de carga istio-ingressgateway por meio das seguintes portas: TCP port 443, port 853, port 15010, port 15012, port 15014 FROM <each_worker_node_publicIP>

Próximas etapas

Se você usar serviços de balanceador de carga, certifique-se de que todo o tráfego que utiliza o protocolo VRRP seja permitido entre nós do trabalhador nas interfaces pública e privada. O IBM Cloud Kubernetes Service usa o protocolo VRRP para gerenciar endereços IP para balanceadores de carga públicos e privados.

Permitir que os nós do trabalhador se comuniquem com o cluster mestre

Para permitir que nós do trabalhador se comuniquem com o cluster mestre pelo terminal em serviço de nuvem privada, permita o tráfego de rede de saída da origem <each_worker_node_privateIP> para o intervalo de portas TCP/UDP de destino 30000-32767 e porta 443, bem como os endereços IP e grupos de rede a seguir.

Esta tabela está sendo movida. Para obter as listas de IPs mais recentes e atualizações contínuas, consulte a pasta de isolamento da rede privada no repositório IBM/kube-samples. É possível observar as solicitações de pull no repositório para atualizações.

• TCP/UDP port range 30000-32767, port 443 FROM <each_worker_node_privateIP> TO <private_IPs>
• Substitua <private_IPs> pelos endereços IP privados da região em que o cluster está localizado.

Portas Abertas

Abra as seguintes portas em sua lista de permissões para que os nós de trabalho funcionem corretamente. As portas a seguir precisam estar abertas para todos os IPs de destino.

• Permita conexões TCP e UDP de saída dos trabalhadores para as portas 80 e 443 para permitir atualizações e recarregamentos do nó do trabalhador.
• Permita TCP e UDP de saída para a porta 2049 para permitir o armazenamento de arquivo de montagem como volumes.
• Permita TCP e UDP de saída para a porta 3260 para comunicação com o armazenamento de bloco.
• Permita conexões TCP e UDP de entrada para a porta 10250 para o painel e comandos do Kubernetes, como kubectl logs e kubectl exec.
• Permita conexões de entrada e de saída para a porta TCP e UDP 53 para acesso de DNS.

Ativar a comunicação de trabalhador para trabalhador

Ative a comunicação de trabalhador para trabalhador, permitindo todo o tráfego TCP, UDP, VRRP e IPEncap entre os nós do trabalhador nas interfaces privadas e permitindo também o VRRP na interface pública. O IBM Cloud Kubernetes Service usa o protocolo VRRP para gerenciar endereços IP para balanceadores de carga e o protocolo IPEncap para permitir o tráfego de pod para pod entre as sub-redes.

Permitir que os nós do trabalhador se comuniquem com o IBM Cloud Container Registry

Para permitir que os nós do trabalhador se comuniquem com o IBM Cloud Container Registry, permita o tráfego de rede de saída dos nós do trabalhador para as regiões do IBM Cloud Container Registry.

• TCP port 443 FROM <each_worker_node_privateIP> TO <registry_ip>
• Substitua <registry_ip> pelo endereço IP de registro para o qual você deseja permitir o tráfego. O registro global armazena imagens públicas fornecidas pela IBM e os registros regionais armazenam suas próprias imagens privadas ou públicas.

Em 23 de junho de 2022, somente as regiões br-sao e ca-tor mudaram. As demais regiões mudaram em 5 de julho de 2022. Para obter mais informações, consulte Endereços IP privados do Container Registry mudados em 5 de julho de 2022.

Criar solicitações de volume persistente

Para criar solicitações de volume persistente em um cluster no qual os nós do trabalhador estão conectados apenas a VLANs privadas, certifique-se de que seu cluster esteja configurado com a versão do Kubernetes ou com as versões do plug-in de armazenamento do IBM Cloud a seguir. Essas versões ativam a comunicação de rede privada de seu cluster para suas instâncias de armazenamento persistente.

Se você precisar usar uma versão do Kubernetes ou do plug-in de armazenamento IBM Cloud que não ofereça suporte à comunicação de rede pela rede privada, ou se quiser usar o IBM Cloud Object Storage sem autenticação HMAC, permita o acesso de saída por meio da lista de permissões para IBM Cloud infrastructure e IBM Cloud Identity and Access Management:

• Permitir todo o tráfego de rede de saída na porta TCP 443.
• Permitir acesso ao intervalo de IP da infraestrutura do IBM Cloud para a zona em que seu cluster está na rede front-end (pública) e na rede back-end (privada). Para encontrar a zona de seu cluster, execute ibmcloud ks cluster ls.

Opcional: Configure as regras da lista de permissões para os serviços IBM Cloud Logs e IBM Cloud Monitoring

Para enviar dados de registro e métricas, configure regras de lista de permissões para os serviços IBM Cloud Logs e IBM Cloud Monitoring.

• IBM Cloud Logs pontos de extremidade privados
• Monitoring terminais privados

Como obter os seus endereços IP subnet no console

1. Na lista de recursos do console IBM Cloud, clique no seu cluster.
2. Clique em Nós de trabalho.
3. Observe cada VLAN Pública usada pelos nós do trabalhador em seu cluster. Vários nós do trabalhador podem usar a mesma VLANs pública
4. No menu do console IBM Cloud , clique em Infraestrutura > Infraestrutura clássica > Gerenciamento de IP > VLANs.
5. Clique em cada VLAN pública para verificar se ela é usada pelos nós de trabalho em seu cluster.
6. Para cada VLAN pública que é usada pelos nós do trabalhador em seu cluster, encontre a seção Subnets e observe cada endereço IP incluído na tabela. Estes são os endereços IP que você deve incluir em seu allowlist.

Como obter seus endereços IP subnet na CLI

1. Liste as VLANs públicas que seus nós trabalhadores usam. A saída é formatada como publicVLAN=<vlan_id>.

   kubectl describe nodes | grep publicVLAN | sort | uniq
   

2. Para cada VLAN pública, encontre as sub-redes públicas associadas. Na saída, observe os endereços IP subnet na coluna identificador.

   ibmcloud sl subnet list | grep <vlan-id>
   

   Exemplo de saída de sub-redes associadas à VLAN pública com ID 2761690.

   ID        identifier        type                 network_space   datacenter   vlan_id   IPs   hardware   virtual_servers  
   1962263   169.62.46.56      SECONDARY_ON_VLAN    PUBLIC          wdc07        2761690   8     0          0   
   2008207   169.62.39.248     SECONDARY_ON_VLAN    PUBLIC          wdc07        2761690   8     0          0   
   2342562   169.62.2.128      ADDITIONAL_PRIMARY   PUBLIC          wdc07        2761690   16    0          5
   

3. Liste os nós do trabalhador e obterá seus IPs públicos. Na saída, os IPs públicos são listados na coluna IP-IP. Observe quais desses endereços IP estão contidos nas sub-redes que você listou anteriormente, e observe aqueles IDs de sub-rede.

4. Para cada ID de sub-rede, execute o comando para obter os detalhes da sub-rede. Em cada saída, observe o endereço IP na coluna identificador. Este é o endereço IP que você deve adicionar ao IAM allowlist.

   ibmcloud sl subnet detail <subnet_id>
   

   Exemplo de saída

   Name             Value   
   ID               2342562   
   identifier       169.62.2.128/28   
   subnet type      ADDITIONAL_PRIMARY   
   network space    PUBLIC   
   gateway          169.62.2.129   
   broadcast        169.62.2.143   
   datacenter       wdc07   
   usable ips       13   
   IP address       ID          IP address      
                   186531376   169.62.2.128      
                   186531378   169.62.2.129      
                   186531380   169.62.2.130      
                   186531382   169.62.2.131      
                   186531384   169.62.2.132      
                   186531386   169.62.2.133      
                   186531388   169.62.2.134      
                   186531390   169.62.2.135      
                   186531392   169.62.2.136      
                   186531394   169.62.2.137      
                   186531396   169.62.2.138      
                   186531398   169.62.2.139      
                   186531400   169.62.2.140      
                   186531402   169.62.2.141      
                   186531404   169.62.2.142      
                   186531406   169.62.2.143      
   
   virtual guests   hostname                                                 domain    public_ip      private_ip      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-00000187   iks.ibm   169.62.2.130   10.191.55.109      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-000002a2   iks.ibm   169.62.2.133   10.191.55.108      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-00000372   iks.ibm   169.62.2.135   10.191.55.121      
                   kube-c8ofh6kw0jj8l6jovf8g-iks22classi-default-00000219   iks.ibm   169.62.2.132   10.191.55.105      
                   kube-c8ofh6kw0jj8l6jovf8g-iks22classi-default-0000012f   iks.ibm   169.62.2.134   10.191.55.107