允许工作程序节点与集群主节点通信

要允许工作节点通过公共云服务端点与群集主控通信，请允许从源到目标 TCP/UDP 端口范围 30000-32767 和端口 443 以及以下 IP 地址和网络组的出站网络流量 <each_worker_node_publicIP> 到目的地的 TCP/UDP 端口范围 30000-32767 和端口 443，以及以下 IP 地址和网络组。

此表正在移动。 有关最新 IP 列表和持续更新，请参阅 IBM/kube-samples 存储库中的公用网络隔离文件夹。 您可以 监视 存储库中的拉取请求以获取更新。

• TCP/UDP port range 30000-32767, port 443 FROM <each_worker_node_publicIP> TO <public_IPs>
• 将 <public_IPs> 替换为群集所在地区的公共 IP 地址。

允许工作程序节点与 IBM Cloud Container Registry 通信

允许从工作节点向 IBM Cloud Container Registry 发送网络流量。 有关更多信息，请参阅 通过防火墙访问 IBM Cloud Container Registry。

允许从工作程序节点到 IAM 的传出网络流量

允许出局网络流量从工作程序节点流至 IBM Cloud Identity and Access Management (IAM)。 您的 allowlist 必须是第 7 层，以允许 IAM 域名。 IAM 没有允许使用的特定 IP 地址。 如果允许列表不支持第 7 层，则可以允许端口 443 上的所有 HTTPS 网络流量。

• TCP port 443 FROM <each_worker_node_publicIP> TO https://iam.bluemix.net
• TCP port 443 FROM <each_worker_node_publicIP> TO https://iam.cloud.ibm.com

可选：允许从工作节点向 Monitoring 和 IBM Cloud Logs 服务发送网络流量

• IBM Cloud Monitoring:

  • TCP port 443, port 6443 FROM <each_worker_node_public_IP> TO <monitoring_public_IP>
  • 将 <monitoring_public_IP> 替换为 Monitoring IP 地址。

• IBM Cloud Logs:

  • TCP port 443, port 80 FROM <each_worker_node_public_IP> TO <logging_public_IP>
  • 将 <logging_public_IP> 替换为 IBM Cloud Logs IP 地址。

可选: 允许受管 Istio 附加组件的入局和出局网络流量

• 允许来自 istio-egressgateway 负载均衡器的传出网络流量通过以下端口: TCP port 80, port 15443 FROM <each_worker_node_publicIP>
• 允许通过以下端口传入到 istiod 控制平面和 istio-ingressgateway 负载均衡器的网络流量: TCP port 443, port 853, port 15010, port 15012, port 15014 FROM <each_worker_node_publicIP>

后续步骤

如果使用负载均衡器服务，请确保在公共接口和专用接口上的工作程序节点之间允许使用 VRRP 协议的所有流量。IBM Cloud Kubernetes Service 使用 VRRP 协议来管理公共和专用负载均衡器的 IP 地址。

允许工作程序节点与集群主节点通信

要允许工人节点通过私有云服务端点与群集主控通信，请允许从源到目标 TCP/UDP 端口范围 30000-32767 和端口 443 以及以下 IP 地址和网络组的出站网络流量 <each_worker_node_privateIP> 到目的地的 TCP/UDP 端口范围 30000-32767 和端口 443，以及以下 IP 地址和网络组。

此表正在移动。 有关最新 IP 列表和持续更新，请参阅 IBM/kube-samples 存储库中的专用网络隔离文件夹。 您可以 监视 存储库中的拉取请求以获取更新。

• TCP/UDP port range 30000-32767, port 443 FROM <each_worker_node_privateIP> TO <private_IPs>
• 将 <private_IPs> 替换为群集所在地区的专用 IP 地址。

打开端口

在允许列表中打开以下端口，以使工作程序节点正常工作。 以下端口需要打开所有目标 IP。

• 允许从工作程序到端口 80 和 443 的出站 TCP 和 UDP 连接，从而允许工作程序节点更新和重新装入。
• 允许到端口 2049 的出站 TCP 和 UDP，从而允许作为卷安装文件存储器。
• 允许到端口 3260 的出站 TCP 和 UDP，以便与块存储器进行通信。
• 针对 Kubernetes 仪表板和命令，允许到端口 10250 的入站 TCP 和 UDP 连接，例如，kubectl logs 和 kubectl exec。
• 允许到 TCP 和 UDP 端口 53 的入站和出站连接以用于 DNS 访问。

启用工作程序到工作程序通信

通过允许专用接口上的工作程序节点之间的所有 TCP，UDP，VRRP 和 IPEncap 流量来启用工作程序到工作程序的通信，还允许公共接口上的 VRRP。IBM Cloud Kubernetes Service 使用 VRRP 协议来管理负载均衡器和 IPEncap 协议的 IP 地址，以允许 pod 跨子网进行 pod 流量。

允许工作程序节点与 IBM Cloud Container Registry 通信

要允许工作者节点与 IBM Cloud Container Registry 通信，请允许工作者节点向 IBM Cloud Container Registry 区域 发送网络流量。

• TCP port 443 FROM <each_worker_node_privateIP> TO <registry_ip>
• 将 <registry_ip> 替换为要允许流量的注册表 IP 地址。 全局注册表存储 IBM 提供的公共映像，区域注册表存储您自己的专用或公共映像。

在 2022 年 6 月 23 日，只有 br-sao 和 ca-tor 区域已更改。 其余区域在 2022 年 7 月 5 更改。 有关更多信息，请参阅 Container Registry 专用 IP 地址在 5 2022 年 7 月 更改。

创建持久卷声明

要在其中工作程序节点仅连接到专用 VLAN 的集群中创建持久卷声明，请确保集群设置为使用以下 Kubernetes 版本或 IBM Cloud 存储插件版本。 这些版本支持从集群到持久性存储器实例的专用网络通信。

如果您必须使用不支持通过专用网络进行网络通信的 Kubernetes 版本或 IBM Cloud 存储插件版本，或者如果您想在没有 HMAC 身份验证的情况下使用 IBM Cloud Object Storage，请通过您的允许列表允许出口访问 IBM Cloud 基础架构和 IBM Cloud Identity and Access Management：

• 允许 TCP 端口 443 上的所有流出网络流量。
• 允许访问前端（公用）网络和后端（专用）网络中集群所在的专区的 IBM Cloud 基础架构 IP 范围。 要查找集群的专区，请运行 ibmcloud ks cluster ls。

可选：为 IBM Cloud Logs 和 IBM Cloud Monitoring 服务设置允许列表规则

要发送日志和度量数据，请为 IBM Cloud Logs 和 IBM Cloud Monitoring 服务设置 allowlist 规则。

• IBM Cloud Logs 专用端点
• Monitoring 专用端点

在控制台中获取子网 IP 地址

1. 从 IBM Cloud 控制台 资源列表中，点击您的集群。
2. 单击工人节点。
3. 请注意集群中的工作程序节点所使用的每个 公用 VLAN。 多个工作程序节点可能使用相同的公用 VLAN。
4. 从 IBM Cloud 控制台菜单中，，点击基础设施 > 经典基础设施 > IP管理 > VLAN。
5. 单击每个公共 VLAN，检查集群中的工作节点是否正在使用它。
6. 对于集群中的工作程序节点所使用的每个公用 VLAN，请找到 子网 部分，并记下表中包含的每个 IP 地址。 这些是必须包含在允许列表中的 IP 地址。

在 CLI 中获取子网 IP 地址

1. 列出工作程序节点使用的公用 VLAN。 输出的格式为 publicVLAN=<vlan_id>。

   kubectl describe nodes | grep publicVLAN | sort | uniq
   

2. 对于每个公用 VLAN，查找关联的公用子网。 在输出中，记下 identifier 列中的子网 IP 地址。

   ibmcloud sl subnet list | grep <vlan-id>
   

   与标识为 2761690 的公用 VLAN 关联的子网的输出示例。

   ID        identifier        type                 network_space   datacenter   vlan_id   IPs   hardware   virtual_servers  
   1962263   169.62.46.56      SECONDARY_ON_VLAN    PUBLIC          wdc07        2761690   8     0          0   
   2008207   169.62.39.248     SECONDARY_ON_VLAN    PUBLIC          wdc07        2761690   8     0          0   
   2342562   169.62.2.128      ADDITIONAL_PRIMARY   PUBLIC          wdc07        2761690   16    0          5
   

3. 列出工作程序节点并获取其公共 IP。 在输出中，公共 IP 列示在 External-IP 列中。 请注意，这些 IP 地址中的哪些包含在先前列示的子网中，并记下这些子网标识。

4. 对于每个子网标识，运行命令以获取子网详细信息。 在每个输出中，记下 identifier 列中的 IP 地址。 这是必须添加到 IAM 允许列表的 IP 地址。

   ibmcloud sl subnet detail <subnet_id>
   

   示例输出

   Name             Value   
   ID               2342562   
   identifier       169.62.2.128/28   
   subnet type      ADDITIONAL_PRIMARY   
   network space    PUBLIC   
   gateway          169.62.2.129   
   broadcast        169.62.2.143   
   datacenter       wdc07   
   usable ips       13   
   IP address       ID          IP address      
                   186531376   169.62.2.128      
                   186531378   169.62.2.129      
                   186531380   169.62.2.130      
                   186531382   169.62.2.131      
                   186531384   169.62.2.132      
                   186531386   169.62.2.133      
                   186531388   169.62.2.134      
                   186531390   169.62.2.135      
                   186531392   169.62.2.136      
                   186531394   169.62.2.137      
                   186531396   169.62.2.138      
                   186531398   169.62.2.139      
                   186531400   169.62.2.140      
                   186531402   169.62.2.141      
                   186531404   169.62.2.142      
                   186531406   169.62.2.143      
   
   virtual guests   hostname                                                 domain    public_ip      private_ip      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-00000187   iks.ibm   169.62.2.130   10.191.55.109      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-000002a2   iks.ibm   169.62.2.133   10.191.55.108      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-00000372   iks.ibm   169.62.2.135   10.191.55.121      
                   kube-c8ofh6kw0jj8l6jovf8g-iks22classi-default-00000219   iks.ibm   169.62.2.132   10.191.55.105      
                   kube-c8ofh6kw0jj8l6jovf8g-iks22classi-default-0000012f   iks.ibm   169.62.2.134   10.191.55.107