Konfigurieren von Sicherheitsgruppenregeln für den Zugriff auf die VPE-Gateway-Konsole

Fügen Sie Regeln für die Sicherheitsgruppe Inbound- TCP hinzu, um VPN-Client-Verbindungen zum Cluster-API-Server und zum OAuth-Server zuzulassen, wenn der Zugriff auf OAuth auf VPE-Gateway eingestellt ist.

Weitere Informationen zum Ablauf der Clusterverbindung finden Sie unter Den Ablauf der Clusterverbindung verstehen.

Nicht alle Cluster erfordern diese Änderungen. Diese Schritte gelten nur, wenn:

  • Sie haben Ihre Sicherheitsgruppen so geändert, dass der Datenverkehr zwischen den Cluster-Arbeitern und dem Master-VPE-Gateway blockiert ist, ODER
  • Sie haben die Sicherheitsgruppe kube-<CLUSTER-ID> geändert ODER
  • Sie haben eine andere oder benutzerdefinierte Sicherheitsgruppe auf das VPE-Gateway des Cluster-Masters angewendet ODER
  • Alle folgenden Bedingungen sind erfüllt.
    • Ihr Cluster ist ein VPC-Cluster, der nur über private Service-Endpunkte verfügt.
    • Der OAuth Zugang Ihres Clusters ist vom Typ vpe-gateway.
    • Ihr Cluster verwendet die standardmäßige sichere Clusternetzwerkfunktion.

Zulassen von Verbindungen von VPN-Clients zum API-Server und zum OAuth-Server

Führen Sie die folgenden Schritte aus, um eingehende TCP Verbindungen von Ihren VPN-Clients zum API-Server Ihres Clusters und zum OAuth-Server zuzulassen.

Wenn Ihr Cluster "Secure by Default (SBD)" (Standardmäßig sicher) verwendet und Sie SBD-Sicherheitsgruppen geändert oder umbenannt haben, müssen Sie die Befehle in diesen Schritten möglicherweise anpassen, um auf die geänderten Sicherheitsgruppen zu verweisen.

  1. Ermitteln Sie den Namen der Sicherheitsgruppe, die für das VPE-Gateway gilt. Wenn Sie keine Sicherheitsgruppen geändert haben, wird der Name im Format kube-vpegw-<cluster-id> verwendet. Wenn Sie jedoch einen SBD-Cluster haben und die Sicherheitsgruppe ersetzt oder geändert haben, kann es sein, dass sie ein anderes Format hat.

    ibmcloud is endpoint-gateway iks-<cluster-id>

  2. Listen Sie die Regeln in der Sicherheitsgruppe auf, die auf das VPE-Gateway angewendet wird. Geben Sie den vollständigen Namen der Sicherheitsgruppe an, den Sie im vorherigen Schritt gefunden haben. Wenn die Sicherheitsgruppe einen anderen Namen hat, geben Sie diesen Namen anstelle von kube-vpegw-<cluster-id> an. Wenn Sie keine Änderungen an Ihrer Sicherheitsgruppe vorgenommen haben, werden in der Ausgabe drei eingehende Regeln aufgeführt, die es Cluster-Mitarbeitern ermöglichen, auf die Ports des API-Servers, von Oauth und des Konnektivitätsservers zuzugreifen.

    ibmcloud is security-group kube-vpegw-<cluster-id>

  3. Finden Sie das Subnetz, das von Ihrem Client-System verwendet wird. Wenn Sie mehr als ein Client-System verwenden, wiederholen Sie diesen Schritt für jedes System.

    Ein Client-System ist jedes System, das auf den API-Server-Port und den OAuth-Port zugreift, z. B. durch Zugriff auf die Webkonsole OpenShift oder durch Ausführen des Befehls oc login.

    Wenn Sie ein standardmäßiges IBM Cloud Client-to-Site-VPN verwenden, verwenden Sie stattdessen den Befehl ibmcloud is vpn-server <VPN-NAME-OR-ID>, um das Subnetz zu finden. Suchen Sie in der Ausgabe nach Client IP pool, um das Subnetz zu finden.

  4. Ermitteln Sie den API-Server-Port und den OAuth-Port für Ihren Cluster. In der Ausgabe ist der API-Serverport die Zahl am Ende von VPE Gateway value. Der Serveranschluss OAuth ist die Nummer am Ende des Werts OAuth Server URL.

    ibmcloud oc cluster get -c ${CLUSTERID}

  5. Fügen Sie eine Sicherheitsgruppenregel hinzu, die es dem Subnetz des Client-Systems erlaubt, auf den API-Server-Port und den OAuth-Server-Port zuzugreifen, wenn es sich mit der VPC verbindet. Fügen Sie für jeden Port eine separate Regel hinzu. Wenn Sie in den vorherigen Schritten ein Subnetz für mehrere Client-Systeme gefunden haben, wiederholen Sie diesen Schritt für jedes Subnetz.

    ibmcloud is security-group-rule-add kube-vpegw-${CLUSTERID} inbound tcp --port-min API_SERVER_PORT   --port-max API_SERVER_PORT   --remote CLIENT_SYSTEM_SUBNET
ibmcloud is security-group-rule-add kube-vpegw-${CLUSTERID} inbound tcp --port-min OAUTH_SERVER_PORT --port-max OAUTH_SERVER_PORT --remote CLIENT_SYSTEM_SUBNET

    Beispielbefehl zum Hinzufügen einer Sicherheitsgruppe für einen API-Server-Portwert 32100 und einen Client-System-Subnetz-IP-Pool 192.168.192.0/22.

    ibmcloud is security-group-rule-add kube-vpegw-${CLUSTERID} inbound tcp --port-min 32100 --port-max 32100 --remote 192.168.192.0/22

  6. Führen Sie die Regeln in der Sicherheitsgruppe erneut auf, um zu überprüfen, ob die im vorherigen Schritt hinzugefügten Regeln vorhanden sind.

    ibmcloud is security-group kube-vpegw-<cluster-id>