VLANs

Beim Erstellen eines Clusters werden die Workerknoten des Clusters automatisch mit einem VLAN verbunden. Ein VLAN konfiguriert eine Gruppe von Workerknoten und Pods so, als wären diese an dasselbe physische Kabel angeschlossen und es bietet einen Kanal für die Konnektivität zwischen Worker und Pods.

VLANs für Standardcluster

Wenn Sie bei Standardclustern in einer Zone zum ersten Mal einen Cluster erstellen, werden in dieser Zone automatisch ein öffentliches und ein privates VLAN für Sie in Ihrem Konto der IBM Cloud-Infrastruktur bereitgestellt. Für jeden weiteren Cluster, den Sie in dieser Zone erstellen, müssen Sie das VLAN-Paar angeben, das Sie in dieser Zone verwenden möchten. Sie können dasselbe öffentliche und private VLAN wiederverwenden, die für Sie erstellt wurden, da ein VLAN von mehreren Clustern gemeinsam genutzt werden kann. Sie können Ihre Workerknoten entweder mit einem öffentlichen und einem privaten VLAN verbinden oder nur mit einem privaten VLAN. Wenn Ihre Workerknoten nur mit einem privaten VLAN verbunden werden sollen, können Sie die ID eines vorhandenen privaten VLANs verwenden oder ein privates VLAN erstellen und die ID während der Clustererstellung verwenden.

Um die VLANs anzuzeigen, die in jeder Zone für Ihr Konto bereitgestellt werden, führen Sie ibmcloud oc vlan ls --zone <zone>. aus, um die VLANs anzuzeigen, in denen ein Cluster bereitgestellt wird, führen Sie ibmcloud oc cluster get --cluster <cluster_name_or_ID> --show-resources aus und suchen Sie nach dem Abschnitt Teilnetz-VLANs.

Die IBM Cloud-Infrastruktur verwaltet die VLANs, die automatisch bereitgestellt werden, wenn Sie Ihren ersten Cluster in einer Zone erstellen. Wenn ein VLAN nicht mehr verwendet wird, z. B. nach dem Entfernen aller Workerknoten aus dem VLAN, wird das VLAN von der IBM Cloud-Infrastruktur freigegeben. Wenn Sie ein neues VLAN benötigen, wenden Sie sich an den IBM Cloud-Support.

Kann ich meine VLAN-Entscheidung später ändern?

Sie können Ihre VLAN-Konfiguration ändern, indem Sie die Worker-Pools in Ihrem Cluster modifizieren. Weitere Informationen finden Sie unter VLAN-Verbindungen für Workerknoten ändern.

Teilnetze und IP-Adressen

Neben Workerknoten und Pods werden auch Teilnetze automatisch in VLANs bereitgestellt. Teilnetze stellen für Ihre Clusterkomponenten Netzkonnektivität bereit, indem sie ihnen IP-Adressen zuordnen.

Die folgenden Teilnetze werden automatisch in den standardmäßigen öffentlichen und privaten VLANs bereitgestellt.

Suche nach in Ihrem Account bereitgestellten Teilnetzen

Um alle Teilnetze anzuzeigen, die in allen Ressourcengruppen Ihres Kontos eingerichtet wurden, führen Sie ibmcloud oc subnets --provider classic aus. Um die portierbaren öffentlichen und portierbaren privaten Teilnetze anzuzeigen, die an einen Cluster gebunden sind, können Sie ibmcloud oc cluster get --cluster <cluster_name_or_ID> --show-resources ausführen und nach dem Abschnitt Teilnetz-VLANs suchen.

In Red Hat OpenShift on IBM Cloud geilt ein Grenzwert von 40 Teilnetzen für VLANs. Überprüfen Sie bei Erreichen dieses Grenzwerts zunächst, ob Sie Teilnetze im VLAN wiederverwenden können, um neue Cluster zu erstellen. Wenn Sie ein neues VLAN benötigen, wenden Sie sich an den IBM Cloud-Support und fordern Sie es an. Erstellen Sie dann einen Cluster, der dieses neue VLAN verwendet.

Ändern sich die IP-Adressen für meine Arbeitsknoten?

Ihrem Workerknoten wird eine IP-Adresse für die öffentlichen oder privaten VLANs zugewiesen, die vom Cluster verwendet werden. Nach der Bereitstellung des Workerknotens bleibt die IP-Adresse des Workerknotens über Operationen reboot und update hinweg bestehen. Nach einer Operation replace ändert sich jedoch die IP-Adresse des Workerknotens. Darüber hinaus wird die private IP-Adresse des Workerknotens in den meisten oc-Befehlen für die Identität des Workerknotens verwendet. Wenn Sie die vom Worker-Pool verwendeten VLANs ändern, verwenden neue Workerknoten, die in diesem Pool bereitgestellt werden, die neuen VLANs für ihre IP-Adressen. Vorhandene IP-Adressen von Workerknoten ändern sich nicht, aber Sie können die Workerknoten entfernen, die die alten VLANs verwenden.

Kann ich Subnetze für Pods und Dienste in meinem Cluster festlegen?

Falls Sie planen, Ihren Cluster mit lokalen Netzen über IBM Cloud Direct Link oder über einen VPN-Service zu verbinden, können Sie Teilnetzkonflikte vermeiden, indem Sie ein CIDR für ein angepasstes Teilnetz angeben, das die privaten IP-Adressen für Ihre Pods bereitstellt, und ein CIDS für ein angepasstes Teilnetz, das die privaten IP-Adressen für Services bereitstellt.

Um während der Cluster-Erstellung benutzerdefinierte Pod- und Service-Subnetze anzugeben, verwenden Sie die Optionen --pod-subnet und --service-subnet im CLI-Befehl ibmcloud oc cluster create.

Netzsegmentierung

Mit 'Netzsegmentierung' wird die Methode beschrieben, bei der ein Netz in mehrere Teilnetze aufgeteilt wird. Apps, die in einem Teilnetz ausgeführt werden, können keine Apps in einem anderen Teilnetz sehen oder darauf zugreifen. Weitere Informationen zu Optionen der Netzsegmentierung und ihrer Beziehung zu VLANs finden Sie in diesem Abschnitt zur Clustersicherheit.

In verschiedenen Situationen müssen Komponenten in Ihrem Cluster jedoch berechtigt werden, über mehrere private VLANs hinzu zu kommunizieren. Wenn Sie zum Beispiel einen Mehrzonencluster erstellen wollen, wenn Sie über mehrere VLANs für einen Cluster verfügen, oder wenn Sie über mehrere Teilnetze im selben VLAN verfügen, können die Workerknoten in verschiedenen Teilnetzen im selben VLAN oder in verschiedenen VLANs nicht automatisch miteinander kommunizieren. Sie müssen entweder eine VRF-Funktion (Virtual Router Function) oder VLAN Spanning für Ihr Konto der IBM Cloud-Infrastruktur aktivieren.

Virtual Routing and Forwarding (VRF)

VRF ermöglicht allen VLANs und Teilnetzen in Ihrem Infrastrukturkonto die Kommunikation miteinander. Darüber hinaus ist eine VRF-Funktion erforderlich, um die Kommunikation Ihrer Worker und Ihres Masters über den Private-Cloud-Serviceendpunkt zu ermöglichen. Informationen zum Aktivieren von VRF finden Sie im Abschnitt VRF aktivieren. Mit dem Befehl ibmcloud account show können Sie überprüfen, ob VRF bereits aktiviert ist. Beachten Sie, dass VRF die Option des VLAN Spannings für Ihr Konto ausschließt, da alle VLANs kommunizieren können, sofern Sie keine Gateway-Appliance zur Verwaltung des Datenverkehrs konfigurieren.

VLAN-Spanning

Wenn Sie VRF nicht aktivieren können oder möchten, aktivieren Sie VLAN-Spanning. Für diese Aktion benötigen Sie die Netz > VLAN-Spanning für Netz verwalten Infrastrukturberechtigung oder Sie können den Kontoeigner anfordern, um sie zu aktivieren. Verwenden Sie den ibmcloud oc vlan spanning get --region <region>- Befehl, um zu überprüfen, ob die übergreifende VLAN-Verarbeitung bereits aktiviert ist. Beachten Sie, dass Sie den privaten Cloud-Serviceendpunkt nicht aktivieren können, wenn Sie übergreifende VLAN-Verarbeitung anstelle von VRF aktivieren.

Wie wirken sich VRF oder VLAN-Spanning auf die Netzsegmentierung aus?

Wenn eine VRF-Funktion oder VLAN Spanning aktiviert ist, kann jedes System, das mit einem der privaten VLANs im selben IBM Cloud-Konto verbunden ist, mit Workerknoten kommunizieren. Sie können Ihren Cluster von anderen Systemen im privaten Netz isolieren, indem Sie Calico-Richtlinien für private Netze anwenden. Red Hat OpenShift on IBM Cloud ist auch mit allen Firewallangeboten der IBM Cloud-Infrastrukturkompatibel. Sie können eine Firewall wie Virtual Router Appliance mit angepassten Netzrichtlinien einrichten, um für Ihren Standardcluster dedizierte Netzsicherheit bereitzustellen und unbefugten Zugriff zu erkennen und zu unterbinden.

Verfügbare portierbare öffentliche IP-Adressen anzeigen

Um alle portierbaren IP-Adressen in Ihrem Cluster aufzulisten, sowohl verwendete als auch verfügbare, können Sie den folgenden Befehl ausführen.

oc get cm ibm-cloud-provider-vlan-ip-config -n kube-system -o yaml

Wenn Sie nur portierbare öffentliche IP-Adressen auflisten möchten, die zum Erstellen von öffentlichen NLBs oder weiteren öffentlichen ALBs zur Verfügung stehen, können Sie die folgenden Schritte ausführen:

Vorbereitende Schritte

• Stellen Sie sicher, dass Sie über die IAM-Service-Zugriffsrolle Writer oder Manager IBM Cloud für den Namensraum default verfügen.
• Rufen Sie Ihren Red Hat OpenShift-Cluster auf.

Zur Auflistung der verfügbaren portierbaren öffentlichen IP-Adressen,

1. Erstellen Sie eine Kubernetes Service-Konfigurationsdatei namens myservice.yaml und definieren Sie einen Service vom Typ LoadBalancer mit einer Dummy-IP-Adresse für die NLB. Im folgenden Beispiel wird die IP-Adresse '1.1.1.1' als NLB-IP-Adresse verwendet. Ersetzen Sie <zone> durch die Zone, in der Sie nach verfügbaren IPs suchen möchten.

   apiVersion: v1
   kind: Service
   metadata:
     labels:
       run: myservice
     name: myservice
     namespace: default
     annotations:
       service.kubernetes.io/ibm-load-balancer-cloud-provider-zone: "<zone>"
   spec:
     ports:
     - port: 80
       protocol: TCP
       targetPort: 80
     selector:
       run: myservice
     sessionAffinity: None
     type: LoadBalancer
     loadBalancerIP: 1.1.1.1
   

2. Erstellen Sie den Service in Ihrem Cluster.

   oc apply -f myservice.yaml
   

3. Überprüfen Sie den Service.

   oc describe service myservice
   

   Die Erstellung dieses Service schlägt fehl, da der Kubernetes-Master die angegebene NLB-IP-Adresse in der Kubernetes-Konfigurationszuordnung nicht finden kann. Wenn Sie diesen Befehl ausführen, können Sie die Fehlernachricht und eine Liste der verfügbaren öffentlichen IP-Adressen für den Cluster anzeigen.

   Error on cloud load balancer a8bfa26552e8511e7bee4324285f6a4a for service default/myservice with UID 8bfa2655-2e85-11e7-bee4-324285f6a4af: Requested cloud provider IP 1.1.1.1 is not available. The following cloud provider IP addresses are available: <list_of_IP_addresses>
   

Verwendete IP-Adressen freigeben

Sie können eine bereits verwendete portierbare IP-Adresse freigeben, indem Sie den Netzausgleichsfunktionsservice (NLB-Service) löschen oder die Ingress-Netzlastausgleichsfunktion (ALB) inaktivieren, der/die die portierbare IP-Adresse belegt.

Vorbereitende Schritte

• Stellen Sie sicher, dass Sie über die IAM-Service-Zugriffsrolle Writer oder Manager IBM Cloud für den Namensraum default verfügen.
• Rufen Sie Ihren Red Hat OpenShift-Cluster auf.

Um eine NLB zu löschen oder eine ALB zu inaktivieren,

1. Listen Sie verfügbare Services in Ihrem Cluster auf.

   oc get services | grep LoadBalancer
   

2. Entfernen Sie den Lastausgleichsservice oder inaktivieren Sie die ALB, der/die eine öffentliche oder private IP-Adresse belegt.
   • Löschen Sie eine NLB:

     oc delete service <service_name>
     

   • Inaktivieren Sie eine ALB:

     ibmcloud oc ingress alb disable --alb <ALB_ID> -c <cluster_name_or_ID>
     

Portierbare IPs hinzufügen, indem Sie weitere Teilnetze bestellen

Sie können für NLB-Services weitere portierbare IPs erhalten, indem Sie in einem Konto der IBM Cloud-Infrastruktur ein neues Teilnetz erstellen und es für den angegebenen Cluster verfügbar machen.

Portierbare öffentliche IP-Adressen werden monatlich berechnet. Wenn Sie nach der Bereitstellung Ihres Teilnetzes portierbare öffentliche IP-Adressen entfernen, müssen Sie trotzdem die monatliche Gebühr bezahlen, auch wenn Sie sie nur für einen kurzen Zeitraum genutzt haben.

Vorbereitende Schritte

• Stellen Sie sicher, dass Sie über die IAM-Plattform-Zugangsrolle Operator oder Administrator für den Cluster verfügen.
• Rufen Sie Ihren Red Hat OpenShift-Cluster auf.

Um ein Teilnetz zu bestellen:

1. Stellen Sie ein neues Teilnetz bereit.

   ibmcloud oc cluster subnet create --cluster <cluster_name_or_id> --size <subnet_size> --vlan <VLAN_ID>
   

   Parameter für ein Teilnetz

   Parameter	Beschreibung
   <cluster_name_or_id>	Ersetzen Sie <cluster_name_or_id> durch den Namen oder die ID des Clusters.
   <subnet_size>	Ersetzen Sie <subnet_size> durch die Anzahl der IP-Adressen, die Sie im portierbaren Teilnetz erstellen möchten. Gültige Werte sind 8, 16, 32 oder 64. Beachten Sie, dass beim Hinzufügen von portierbaren IP-Adressen für Ihr Teilnetz drei IP-Adressen verwendet werden, um ein clusterinternes Netz aufzubauen. Sie können diese drei IP-Adressen nicht für Ihre Ingress-Anwendungslastausgleichsfunktionen (ALBs) oder zum Erstellen von Services für Netzlastausgleichsfunktionen (NLBs) verwenden. Wenn Sie beispielsweise acht portierbare öffentliche IP-Adressen anfordern, können Sie fünf verwenden, um die Apps öffentlich verfügbar zu machen.
   <VLAN_ID>	Ersetzen Sie <VLAN_ID> durch die ID des öffentlichen oder privaten VLANs, in dem Sie die portierbaren öffentlichen oder privaten IP-Adressen zuordnen möchten. Sie müssen ein öffentliches oder privates VLAN auswählen, mit dem ein vorhandener Workerknoten verbunden ist. Um die öffentlichen oder privaten VLANs zu überprüfen, mit denen Ihre Workerknoten verbunden sind, führen Sie ibmcloud oc cluster get --cluster <cluster> --show-resources aus und suchen Sie in der Ausgabe nach dem Abschnitt Teilnetz-VLANs. Das Teilnetz wird in derselben Zone bereitgestellt, in der sich das VLAN befindet.

2. Überprüfen Sie, ob das Teilnetz erfolgreich erstellt und zu Ihrem Cluster hinzugefügt wurde. Das Teilnetz-CIDR wird im Abschnitt für Teilnetz-VLANs aufgeführt.

   ibmcloud oc cluster get --cluster <cluster_name_or_ID> --show-resources
   

   In dieser Beispielausgabe wurde dem öffentlichen VLAN 2234945 ein zweites Teilnetz hinzugefügt.

   Subnet VLANs
   VLAN ID   Subnet CIDR          Public   User-managed
   2234947   10.xxx.xx.xxx/29     false    false
   2234945   169.xx.xxx.xxx/29    true     false
   2234945   169.xx.xxx.xxx/29    true     false
   

3. Wichtig: Um die Kommunikation zwischen Workern zu aktivieren, die sich in unterschiedlichen Teilnetzen im selben VLAN befinden, müssen Sie das Routing zwischen Teilnetzen im selben VLAN aktivieren.

Portierbare IPs durch Hinzufügung vorhandener Teilnetze zu Ihrem Cluster hinzufügen

Sie können für NLB-Services weitere portierbare IPs erhalten, indem Sie in einem Konto der IBM Cloud-Infrastruktur ein vorhandenes Teilnetz für Ihren Cluster verfügbar machen.

Vorbereitende Schritte

• Stellen Sie sicher, dass Sie über die IAM-Plattform-Zugangsrolle Operator oder Administrator für den Cluster verfügen.
• Rufen Sie Ihren Red Hat OpenShift-Cluster auf.

Um ein Teilnetz für Ihren Cluster verfügbar zu machen,

1. Überprüfen Sie die IDs der öffentlichen oder privaten VLANs, in denen Sie die portierbaren öffentlichen oder privaten IP-Adressen zuordnen möchten. Sie müssen ein öffentliches oder privates VLAN auswählen, mit dem ein vorhandener Workerknoten verbunden ist.

   ibmcloud oc cluster get --cluster <cluster_name_or_id> --show-resources
   

   Suchen Sie in der Ausgabe nach Vorkommen von VLAN ID im Abschnitt Subnet VLANs.

   Subnet VLANs
   VLAN ID   Subnet CIDR          Public   User-managed
   2234947   10.xxx.xx.xxx/29     false    false
   2234945   169.xx.xxx.xxx/29    true     false
   

2. Rufen Sie die ID des zu verwendenden Teilnetzes ab. Stellen Sie sicher, dass sich das Teilnetz in einem VLAN mit einer der VLAN-IDs befindet, die Sie im vorherigen Schritt gefunden haben, und dass das Teilnetz nicht bereits einem anderen Cluster zugeordnet ist.

   ibmcloud oc subnets --provider classic
   

   In dieser Beispielausgabe ist die Subnetz-ID 1602829, die sich in der VLAN-ID 2234945 befindet.

   GETting subnet list...
   OK
   ID        Network             Gateway          VLAN ID   Type      Bound Cluster
   1550165   10.xxx.xx.xxx/26    10.xxx.xx.xxx    2234947   private
   1602829   169.xx.xxx.xxx/28   169.xx.xxx.xxx   2234945   public
   

3. Stellen Sie das Teilnetz für Ihren Cluster zur Verfügung.

   ibmcloud oc cluster subnet add --cluster <cluster_name_or_id> --subnet-id <subnet_ID>
   

4. Überprüfen Sie, ob das Teilnetz erfolgreich erstellt und zu Ihrem Cluster hinzugefügt wurde. Das Teilnetz-CIDR wird im Abschnitt für Teilnetz-VLANs aufgeführt.

   ibmcloud oc cluster get --cluster <cluster_name> --show-resources
   

   In dieser Beispielausgabe wurde dem öffentlichen VLAN 2234945 ein zweites Teilnetz hinzugefügt.

   Subnet VLANs
   VLAN ID   Subnet CIDR          Public   User-managed
   2234947   10.xxx.xx.xxx/29     false    false
   2234945   169.xx.xxx.xxx/29    true     false
   2234945   169.xx.xxx.xxx/29    true     false
   

5. Wichtig: Um die Kommunikation zwischen Workern zu aktivieren, die sich in unterschiedlichen Teilnetzen im selben VLAN befinden, müssen Sie das Routing zwischen Teilnetzen im selben VLAN aktivieren.

Routing zwischen primären Teilnetzen im selben VLAN aktivieren

Wenn Sie einen Cluster erstellen, werden ein primäres öffentliches und ein privates Teilnetz im öffentlichen und im privaten VLAN bereitgestellt. Das primäre öffentliche Teilnetz endet auf /28 und stellt 14 öffentliche IP-Adressen für Workerknoten bereit. Das primäre private Teilnetz endet auf /26 und stellt private IP-Adressen für bis zu 62 Workerknoten bereit.

Es ist möglich, dass Sie die zu Anfang verfügbare Anzahl von 14 öffentlichen und 62 privaten IP-Adressen für Workerknoten überschreiten, wenn Sie einen sehr großen Cluster oder mehrere kleinere Cluster am selben Standort im selben VLAN haben. Wenn ein öffentliches oder privates Teilnetz die Grenze für Workerknoten erreicht, wird ein weiteres primäres Teilnetz in demselben VLAN bestellt.

Um sicherzustellen, dass Worker im selben VLAN in diesen primären Teilnetzen kommunizieren können, müssen Sie VLAN Spanning aktivieren. Entsprechende Anweisungen finden Sie in VLAN Spanning aktivieren oder inaktivieren.

Verwenden Sie den ibmcloud oc vlan spanning get --region <region>-Befehl, um zu überprüfen, ob die übergreifende VLAN-Verarbeitung bereits aktiviert ist.

Teilnetzrouting für Gateway-Appliances verwalten

Wenn Sie einen Cluster erstellen, werden ein portierbares öffentliches und ein portierbares privates Teilnetz in den VLANs angefordert, mit denen das Cluster verbunden ist. Diese Teilnetze stellen IP-Adressen für die Ingress-Lastausgleichsfunktion für Anwendungen (ALB) und die Services für Netzlastausgleichsfunktionen (NLBs) bereit.

Wenn Sie jedoch über eine vorhandene Router-Appliance verfügen, wie z. B. eine Virtual Router Appliance (VRA), werden die neu hinzugefügten portierbaren Teilnetze aus diesen VLANs, mit denen der Cluster verbunden ist, nicht im Router konfiguriert. Wenn Sie NLBs oder Ingress-ALBs verwenden möchten, müssen Sie sicherstellen, dass Netzgeräte zwischen verschiedenen Teilnetzen auf demselben VLAN weitergeleitet werden können, indem Sie eine Virtual Router Function (VRF) für Ihr IBM Cloud-Infrastrukturkonto aktivieren. Informationen zum Aktivieren von VRF finden Sie im Abschnitt VRF aktivieren. Wenn Sie VRF nicht aktivieren können oder möchten, aktivieren Sie VLAN-Spanning.