Aprire le porte e gli indirizzi IP richiesti nella lista dei permessi

Consenti ai nodi di lavoro di comunicare con il master cluster

Per consentire ai nodi worker di comunicare con il master del cluster tramite l'endpoint del servizio cloud pubblico, consentire il traffico di rete in uscita dall'origine alla destinazione / <each_worker_node_publicIP> verso la destinazione TCP / UDP, l'intervallo di porte 30000-32767 e la porta 443, nonché i seguenti indirizzi IP e gruppi di rete. Inoltre, se si prevede di utilizzare Ingress o le rotte per esporre le applicazioni nel cluster, consentire il traffico di rete in entrata attraverso queste porte anche agli indirizzi IP dei nodi worker, in modo che il piano di controllo Red Hat OpenShift possa verificare la salute dei router.

Questa tabella è in movimento. Per gli ultimi elenchi di IP e gli aggiornamenti continui, vedi la cartella di isolamento della rete pubblica nel IBM/kube-samples repository . Puoi guardare le richieste di pull nel repository per aggiornamenti.

• TCP/UDP port range 30000-32767, port 443 FROM <each_worker_node_publicIP> TO <public_IPs>
• Sostituire <public_IPs> con gli indirizzi IP pubblici della regione in cui si trova il cluster.

Consenti ai nodi di lavoro di comunicare con IBM Cloud Container Registry

Consentire il traffico di rete in uscita dai nodi worker a IBM Cloud Container Registry. Per ulteriori informazioni, vedi Accesso a IBM Cloud Container Registry tramite un firewall.

Consenti traffico di rete in uscita dal nodo di lavoro a IAM

Consenti il traffico di rete in uscita dal tuo nodo di lavoro a IBM Cloud IAM (Identity and Access Management). L'elenco dei permessi deve essere di livello 7 per consentire il nome di dominio IAM. IAM non ha specifici indirizzi IP che puoi consentire. Se l'elenco dei permessi non supporta il Layer 7, è possibile consentire tutto il traffico di rete HTTPS sulla porta 443.

• TCP port 443 FROM <each_worker_node_publicIP> TO https://iam.bluemix.net
• TCP port 443 FROM <each_worker_node_publicIP> TO https://iam.cloud.ibm.com

Opzionale: Consentire il traffico di rete in uscita dai nodi worker ai servizi Monitoring e IBM Cloud Logs

• IBM Cloud Monitoring:

  • TCP port 443, port 6443 FROM <each_worker_node_public_IP> TO <monitoring_public_IP>
  • Sostituire < IP_pubblico_monitoraggio> con Indirizzi IP Monitoring.

• IBM Cloud Logs:

  • TCP port 443, port 80 FROM <each_worker_node_public_IP> TO <logging_public_IP>
  • Sostituisci <logging_public_IP> con gli indirizzi IP IBM Cloud Logs.

Opzionale: Consentire il traffico di rete in entrata per il monitoraggio del sottodominio di ingresso

Se si desidera utilizzare il monitoraggio dello stato di salute del dominio Ingress per monitorare lo stato degli endpoint del servizio, è necessario consentire l'accesso in entrata dai servizi di monitoraggio.

Per impostazione predefinita, le richieste di monitoraggio dello stato di salute vengono inviate attraverso HTTPS alla porta 443, pertanto è necessario consentire l'elenco del traffico proveniente dai seguenti intervalli IP e indirizzato alla porta 443. Se il monitor sanitario è configurato per utilizzare HTTP, il traffico dell'elenco di permessi deve essere indirizzato alla porta 80. Inoltre, se si utilizza una porta personalizzata TCP, assicurarsi di consentire il traffico in entrata su tale porta.

Per ulteriori informazioni, consultare la documentazione di IBM NS1 Connect sul monitoraggio.

Passi successivi

Se utilizzi i servizi del programma di bilanciamento del carico, assicurati che tutto il traffico che utilizza il protocollo VRRP sia consentito tra i nodi di lavoro sulle interfacce pubbliche e private. Red Hat OpenShift on IBM Cloud utilizza il protocollo VRRP per gestire gli indirizzi IP per i programmi di bilanciamento del carico pubblici e privati.

Se si utilizzano Ingress o rotte per esporre le applicazioni nel cluster, consentire il traffico di rete in entrata dagli indirizzi IP di origine di IBM NS1 sulla porta 80 agli indirizzi IP dei servizi del router, in modo che il piano di controllo di Red Hat OpenShift possa verificare la salute dei router.

Consenti ai nodi di lavoro di comunicare con il master cluster

Per consentire ai nodi worker di comunicare con il master del cluster tramite l'endpoint del servizio cloud privato, consentire il traffico di rete in uscita dall'origine alla destinazione / <each_worker_node_privateIP> verso la destinazione TCP / UDP, l'intervallo di porte 30000-32767 e la porta 443, nonché i seguenti indirizzi IP e gruppi di rete.

Questa tabella è in movimento. Per gli ultimi elenchi di IP e gli aggiornamenti continui, vedi la cartella di isolamento della rete privata nel IBM/kube-samples repository . Puoi guardare le richieste di pull nel repository per aggiornamenti.

• TCP/UDP port range 30000-32767, port 443 FROM <each_worker_node_privateIP> TO <private_IPs>
• Sostituire <private_IPs> con gli indirizzi IP privati della regione in cui si trova il cluster.

Porte aperte

Apri le seguenti porte nella tua allowlist perché i tuoi nodi di lavoro funzionino correttamente. Le seguenti porte devono essere aperte per tutti gli IP di destinazione.

• Consenti connessioni TCP e UDP in uscita dai nodi di lavoro alle porte 80 e 443 per consentire gli aggiornamenti e i ricaricamenti dei nodi di lavoro.
• Consenti connessioni TCP e UDP in uscita alla porta 2049 per consentire il montaggio dell'archiviazione file come volumi.
• Consenti connessioni TCP e UDP in uscita alla porta 3260 per le comunicazioni all'archiviazione blocchi.
• Consentite le connessioni in entrata di TCP e UDP alla porta 10250 per il dashboard Red Hat OpenShift e i comandi come oc logs e oc exec.
• Consentire le connessioni in entrata e in uscita a TCP e UDP porta 53 e porta 5353 per l'accesso al DNS.

Abilita comunicazione tra i nodi di lavoro

Abilitare la comunicazione da lavoratore a lavoratore consentendo tutto il traffico TCP, UDP, VRRP e IPEncap tra i nodi lavoratori sulle interfacce private e consentire anche VRRP sull'interfaccia pubblica. Red Hat OpenShift on IBM Cloud utilizza il protocollo VRRP per gestire gli indirizzi IP per i bilanciatori di carico e il protocollo IPEncap per consentire il traffico da pod a pod attraverso le sottoreti.

Consenti ai nodi di lavoro di comunicare con IBM Cloud Container Registry

Per consentire ai nodi worker di comunicare con IBM Cloud Container Registry, consentire il traffico di rete in uscita dai nodi worker verso le regioni di IBM Cloud Container Registry.

• TCP port 443 FROM <each_worker_node_privateIP> TO <registry_ip>
• Sostituire <registry_ip> con l'indirizzo IP del registro a cui si desidera consentire il traffico. Il registro globale archivia le immagini pubbliche fornite da IBM e i registri regionali archiviano le tue proprie immagini pubbliche e private.

Il 23 giugno 2022, solo le regioni br-sao e ca-tor sono cambiate. Le restanti regioni sono cambiate il 5 luglio 2022.

Opzionale: Impostare le regole allowlist per i servizi IBM Cloud Logs e IBM Cloud Monitoring

Per inviare dati di log e metrici, impostare regole allowlist per i servizi IBM Cloud Logs e IBM Cloud Monitoring.

• Endpoint privati IBM Cloud Logs
• Endpoint privati Monitoring

Ottenimento degli indirizzi IP della sottorete nella console

1. Dall'elenco delle risorse della console dell' IBM Cloud, fare clic sul cluster.
2. Fai clic su Worker nodes.
3. Nota ogni VLAN pubblica utilizzata dai nodi di lavoro nel cluster. Più nodi di lavoro potrebbero utilizzare la stessa VLAN pubblica.
4. Dal menu della console IBM Cloud , fare clic su Infrastruttura > Infrastruttura classica > Gestione IP > VLAN.
5. Fare clic su ogni VLAN pubblica per verificare se è utilizzata dai nodi di lavoro nel proprio cluster.
6. Per ogni VLAN pubblica utilizzata dai nodi di lavoro nel tuo cluster, trova la sezione Sottoreti e prendi nota di ogni indirizzo IP incluso nella tabella. Questi sono gli indirizzi IP che devi includere nella tua allowlist.

Ottenimento degli indirizzi IP della sottorete nella CLI

1. Elenca le VLAN pubbliche utilizzate dai tuoi nodi di lavoro. L'output è formattato come publicVLAN=<vlan_id>.

   oc describe nodes | grep publicVLAN | sort | uniq
   

2. Per ogni VLAN pubblica, trova le sottoreti pubbliche associate. Nell'output, prendi nota degli indirizzi IP della sottorete nella colonna identifier.

   ibmcloud sl subnet list | grep <vlan-id>
   

   Output di esempio delle sottoreti associate alla VLAN pubblica con ID 2761690.

   ID        identifier        type                 network_space   datacenter   vlan_id   IPs   hardware   virtual_servers  
   1962263   169.62.46.56      SECONDARY_ON_VLAN    PUBLIC          wdc07        2761690   8     0          0   
   2008207   169.62.39.248     SECONDARY_ON_VLAN    PUBLIC          wdc07        2761690   8     0          0   
   2342562   169.62.2.128      ADDITIONAL_PRIMARY   PUBLIC          wdc07        2761690   16    0          5
   

3. Elencare i nodi di lavoro e ottenere i relativi IP pubblici. Nell'output, gli IP pubblici vengono elencati nella colonna IP esterno. Nota quali di questi indirizzi IP sono contenuti nelle sottoreti che hai elencato in precedenza e prendi nota di questi ID sottorete.

4. Per ogni ID sottorete, eseguire il comando per ottenere i dettagli della sottorete. In ogni output, annotare l'indirizzo IP nella colonna identificativo. Questo è l'indirizzo IP che devi aggiungere all'elenco dei consentiti IAM.

   ibmcloud sl subnet detail <subnet_id>
   

   Output di esempio

   Name             Value   
   ID               2342562   
   identifier       169.62.2.128/28   
   subnet type      ADDITIONAL_PRIMARY   
   network space    PUBLIC   
   gateway          169.62.2.129   
   broadcast        169.62.2.143   
   datacenter       wdc07   
   usable ips       13   
   IP address       ID          IP address      
                   186531376   169.62.2.128      
                   186531378   169.62.2.129      
                   186531380   169.62.2.130      
                   186531382   169.62.2.131      
                   186531384   169.62.2.132      
                   186531386   169.62.2.133      
                   186531388   169.62.2.134      
                   186531390   169.62.2.135      
                   186531392   169.62.2.136      
                   186531394   169.62.2.137      
                   186531396   169.62.2.138      
                   186531398   169.62.2.139      
                   186531400   169.62.2.140      
                   186531402   169.62.2.141      
                   186531404   169.62.2.142      
                   186531406   169.62.2.143      
   
   virtual guests   hostname                                                 domain    public_ip      private_ip      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-00000187   iks.ibm   169.62.2.130   10.191.55.109      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-000002a2   iks.ibm   169.62.2.133   10.191.55.108      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-00000372   iks.ibm   169.62.2.135   10.191.55.121      
                   kube-c8ofh6kw0jj8l6jovf8g-iks22classi-default-00000219   iks.ibm   169.62.2.132   10.191.55.105      
                   kube-c8ofh6kw0jj8l6jovf8g-iks22classi-default-0000012f   iks.ibm   169.62.2.134   10.191.55.107