使用 WireGuard 加密工作者節點對工作者節點的資料流量

經典基礎架構 虛擬私有雲

您可以使用 WireGuard 加密群集中 Worker 節點之間流動的資料。

  • 此功能僅對同一群集中的工作節點之間的流量進行加密。 它不會加密同一 Worker 節點上不同 Pod 之間的流量。
  • 具有執行 Ubuntu 20 或更新版本 的工作者節點的 Kubernetes Service 叢集上支援使用 WireGuard 的工作者節點至工作者節點加密。
  • WireGuard 不支援有使用者安裝加密模組的工作站。
  • WireGuard 不符合 FIPS 或 FedRAMP。
  • 啟用 WireGuard 設定後，就無法變更。 不過，您可以停用它。

如需有關此組態設定的詳細資訊，請參閱 Calico 文件 中為群集啟用 WireGuard。

啟用 WireGuard 加密

  1. 執行下列指令，以針對工作者節點至工作者節點資料流量啟用 WireGuard。

    kubectl patch felixconfiguration default --type='merge' -p '{"spec":{"wireguardEnabled":true}}'

    輸出範例

    felixconfiguration.crd.projectcalico.org/default patched

  2. 檢閱 felixconfiguration，以驗證您的設定。 在輸出中，尋找 WireGuard 區段並驗證該 wireguardEnabled: true。

    kubectl get felixconfiguration default -o yaml

    輸出範例

    apiVersion: crd.projectcalico.org/v1
kind: FelixConfiguration
metadata:
  annotations:
    created-by: IBMCloudKubernetesService
    projectcalico.org/metadata: '{"uid":"8a21b69b-9ffb-451d-9619-0dd1605810dc","creationTimestamp":"2023-09-13T14:00:15Z"}'
  creationTimestamp: "2023-09-13T14:00:15Z"
  generation: 2
  name: default
  resourceVersion: "24839234"
  uid: ff0c79f3-5548-4db4-a22f-2f367282631d
spec:
  bpfLogLevel: ""
  floatingIPs: Disabled
  logSeverityScreen: Info
  natPortRange: 32768:65535
  reportingInterval: 0s
  wireguardEnabled: true

停用 WireGuard 加密

如果您在叢集裡不再需要工作者節點至工作者節點加密，則可以停用 WireGuard。

  1. 執行下列指令停用 WireGuard。

    kubectl patch felixconfiguration default --type='merge' -p '{"spec":{"wireguardEnabled":false}}'

    輸出範例

    felixconfiguration.crd.projectcalico.org/default patched

  2. 驗證 WireGuard 已停用。

    kubectl get felixconfiguration default -o yaml

    輸出範例

    apiVersion: crd.projectcalico.org/v1
kind: FelixConfiguration
metadata:
  annotations:
    created-by: IBMCloudKubernetesService
    projectcalico.org/metadata: '{"uid":"8a21b69b-9ffb-451d-9619-0dd1605810dc","creationTimestamp":"2023-09-13T14:00:15Z"}'
  creationTimestamp: "2023-09-13T14:00:15Z"
  generation: 3
  name: default
  resourceVersion: "24839453"
  uid: ff0c79f3-5548-4db4-a22f-2f367282631d
spec:
  bpfLogLevel: ""
  floatingIPs: Disabled
  logSeverityScreen: Info
  natPortRange: 32768:65535
  reportingInterval: 0s
  wireguardEnabled: false