VLAN

Quando crei un cluster, i nodi di lavoro del cluster vengono connessi automaticamente a una VLAN. Una VLAN configura un gruppo di nodi di lavoro e pod come se fossero collegati allo stesso cavo fisico e fornisce un canale per la connettività tra i nodi di lavoro e i pod.

VLAN per i cluster standard

Nei cluster standard, la prima volta che crei un cluster in una zona, viene automaticamente eseguito il provisioning di una VLAN pubblica e di una VLAN privata in tale zona per tuo conto nel tuo account dell'infrastruttura IBM Cloud. Per ogni cluster successivo che crei in tale zona, devi specificare la coppia di VLAN che vuoi usare nella zona. Puoi riutilizzare le stesse VLAN pubbliche e private che sono state create per te perché più cluster possono condividere VLAN. Puoi collegare i tuoi nodi di lavoro a una VLAN pubblica e alla VLAN privata o solo alla VLAN privata. Se vuoi collegare i tuoi nodi di lavoro solo a una VLAN privata, puoi utilizzare l'ID di una VLAN privata esistente o creare una VLAN privata e utilizzare l'ID durante la creazione del cluster.

Per visualizzare le VLAN di cui viene eseguito il provisioning in ogni zona per il tuo account, esegui ibmcloud oc vlan ls --zone <zone>. Per visualizzare le VLAN su cui viene eseguito il provisioning di un cluster, esegui ibmcloud oc cluster get --cluster <cluster_name_or_ID> --show-resources e cerca la sezione Subnet VLANs.

L'infrastruttura IBM Cloud gestisce le VLAN di cui viene eseguito automaticamente il provisioning quando crei il tuo primo cluster in una zona. Se lasci che una VLAN diventi inutilizzata, come ad esempio rimuovendo tutti i nodi di lavoro da essa, l'infrastruttura IBM Cloud la reclama. In seguito, se hai bisogno di una nuova VLAN, contatta il supporto IBM Cloud.

Posso cambiare la mia decisione sulla VLAN in un secondo momento?

Puoi cambiare la tua configurazione della VLAN modificando i pool di lavoro nel tuo cluster. Per ulteriori informazioni, vedi Modifica delle connessioni VLAN dei tuoi nodi di lavoro.

Sottoreti e indirizzi IP

In aggiunta ai nodi di lavoro e ai pod, sulle VLAN viene eseguito automaticamente anche il provisioning delle sottoreti. Le sottoreti forniscono la connettività di rete ai tuoi componenti del cluster assegnando loro degli indirizzi IP.

Le seguenti sottoreti vengono fornite automaticamente sulle VLAN pubbliche e private predefinite.

Ricerca delle sottoreti di cui è stato eseguito il provisioning nell'account

Per vedere tutte le sottoreti di cui è stato eseguito il provisioning in tutti i gruppi di risorse del tuo account, esegui ibmcloud oc subnets --provider classic. Per vedere le sottoreti portatili pubbliche e private legate a un cluster, si può eseguire ibmcloud oc cluster get --cluster <cluster_name_or_ID> --show-resources e cercare la sezione Subnet VLAN.

In Red Hat OpenShift on IBM Cloud, le VLAN hanno un limite di 40 sottoreti. Se raggiungi questo limite, controlla prima se puoi riutilizzare le sottoreti nella VLAN per creare nuovi cluster. Se hai bisogno di una nuova VLAN, ordinane una contattando il supporto IBM Cloud. Quindi crea un cluster che utilizzi questa nuova VLAN.

Gli indirizzi IP dei miei nodi worker cambiano?

Al tuo nodo di lavoro viene assegnato un indirizzo IP sulle VLAN pubbliche o private utilizzate dal tuo cluster. Dopo che è stato eseguito il provisioning del nodo di lavoro, l'indirizzo IP del nodo di lavoro persiste attraverso le operazioni reboot e update ma l'indirizzo IP del nodo di lavoro cambia dopo un'operazione replace. Inoltre, l'indirizzo IP privato del nodo di lavoro viene utilizzato per l'identità di tale nodo nella maggior parte dei comandi oc. Se modifichi le VLAN utilizzate dal pool di lavoro, i nuovi nodi di lavoro di cui viene eseguito il provisioning in tale pool utilizzano le nuove VLAN per i propri indirizzi IP. Gli indirizzi IP dei nodi worker esistenti non cambiano, ma è possibile scegliere di rimuovere i nodi worker che utilizzano le vecchie VLAN.

Posso specificare le sottoreti per i pod e i servizi nel mio cluster?

Se prevedi di connettere il tuo cluster alle reti in loco tramite IBM Cloud Direct Link o un servizio VPN, puoi evitare conflitti di sottorete specificando un CIDR di sottorete personalizzato che fornisce gli indirizzi IP privati per i tuoi pod e un CIDR di sottorete personalizzato che fornisce gli indirizzi IP privati per i servizi.

Per specificare le sottoreti personalizzate di pod e servizi durante la creazione del cluster, utilizzare le opzioni --pod-subnet e --service-subnet nel comando ibmcloud oc cluster create CLI.

Segmentazione di rete

La segmentazione di rete descrive l'approccio di dividere una rete in più sottoreti. Le applicazioni eseguite in una sottorete non possono vedere o accedere alle applicazioni di un'altra sottorete. Per ulteriori informazioni sulle opzioni di segmentazione della rete e su come sono correlate alle VLAN, vedi questo argomento sulla sicurezza del cluster.

Tuttavia, in diverse situazioni, i componenti del tuo cluster devono essere autorizzati a comunicare su più VLAN private. Ad esempio, se si vuole creare un cluster multizona, se si hanno più VLAN per un cluster o se si hanno più sottoreti sulla stessa VLAN, i nodi worker su sottoreti diverse nella stessa VLAN o in VLAN diverse non possono comunicare automaticamente tra loro. Devi abilitare una VRF (Virtual Router Function) o lo spanning della VLAN per il tuo account dell'infrastruttura IBM Cloud.

VRF (Virtual Routing and Forwarding)

Il VRF consente a tutte le VLAN e sottoreti dell'account dell'infrastruttura di comunicare tra loro. Inoltre, è necessario un VRF per consentire ai lavoratori e al master di comunicare attraverso l'endpoint del servizio cloud privato. Per abilitare VRF, consultare Abilitazione VRF. Per controllare se una VRF è già abilitata, utilizza il comando ibmcloud account show. Nota che VRF elimina l'opzione di spanning VLAN per il tuo account, poiché tutte le VLAN sono in grado di comunicare a meno che non configuri un'applicazione gateway per gestire il traffico.

Spanning della VLAN

Se non puoi o non vuoi abilitare VRF, abilita lo spanning della VLAN. Per eseguire questa azione, è necessaria l'autorizzazione Rete > Gestisci infrastruttura VLAN di rete oppure è possibile richiedere al proprietario dell'account di abilitarla. Per verificare se lo spanning VLAN è già abilitato, utilizzare il comando ibmcloud oc vlan spanning get --region <region>. Si noti che non è possibile abilitare l'endpoint del servizio di cloud privato se si sceglie di abilitare lo spanning VLAN invece di un VRF.

In che modo il VRF o lo spanning VLAN influiscono sulla segmentazione della rete?

Quando abiliti VRF o lo spanning della VLAN, qualsiasi sistema connesso a qualsiasi VLAN privata nello stesso account IBM Cloud può comunicare con i nodi di lavoro. Puoi isolare il tuo cluster da altri sistemi sulla rete privata applicando le politiche di rete privataCalico. Red Hat OpenShift on IBM Cloud è anche compatibile con tutte le offerte firewall dell'infrastrutturaIBM Cloud. Puoi configurare un firewall, ad esempio una VRA (Virtual Router Appliance), con politiche di rete personalizzate per fornire una sicurezza di rete dedicata per il tuo cluster standard e per rilevare e risolvere intrusioni di rete.

Visualizzazione degli indirizzi IP pubblici portatili disponibili

Per elencare tutti gli indirizzi IP portatili del cluster, sia quelli utilizzati che quelli disponibili, è possibile eseguire il seguente comando.

oc get cm ibm-cloud-provider-vlan-ip-config -n kube-system -o yaml

Per elencare solo gli indirizzi IP pubblici portatili disponibili per creare gli NLB pubblici o più ALB pubblici, puoi attenerti alla seguente procedura:

Prima di iniziare

• Assicurarsi di avere il ruolo di accesso al servizio IAM Writer o Manager IBM Cloud per lo spazio dei nomi default.
• Accedi al tuo cluster Red Hat OpenShift.

Per elencare gli indirizzi IP pubblici portatili disponibili,

1. Crea un file di configurazione del servizio Kubernetes denominato myservice.yaml e definisci un servizio di tipo LoadBalancer con un indirizzo IP dell'NLB fittizio. Il seguente esempio utilizza l'indirizzo IP 1.1.1.1 come indirizzo IP dell'NLB. Sostituire <zone> con la zona in cui si desidera verificare la disponibilità di IP.

   apiVersion: v1
   kind: Service
   metadata:
     labels:
       run: myservice
     name: myservice
     namespace: default
     annotations:
       service.kubernetes.io/ibm-load-balancer-cloud-provider-zone: "<zone>"
   spec:
     ports:
     - port: 80
       protocol: TCP
       targetPort: 80
     selector:
       run: myservice
     sessionAffinity: None
     type: LoadBalancer
     loadBalancerIP: 1.1.1.1
   

2. Crea il servizio nel tuo cluster.

   oc apply -f myservice.yaml
   

3. Controlla il servizio.

   oc describe service myservice
   

   La creazione di questo servizio fallisce perché il master Kubernetes non riesce a trovare l'indirizzo IP NLB specificato nel sito Kubernetes ConfigMap. Quando esegui questo comando, puoi visualizzare il messaggio di errore e un elenco di indirizzi IP pubblici disponibili per il cluster.

   Error on cloud load balancer a8bfa26552e8511e7bee4324285f6a4a for service default/myservice with UID 8bfa2655-2e85-11e7-bee4-324285f6a4af: Requested cloud provider IP 1.1.1.1 is not available. The following cloud provider IP addresses are available: <list_of_IP_addresses>
   

Liberazione degli indirizzi IP utilizzati

Puoi liberare un indirizzo IP portatile utilizzato eliminando il servizio NLB (network load balancer) o disabilitando l'ALB (application load balancer) Ingress che sta utilizzando tale indirizzo IP portatile.

Prima di iniziare

• Assicurarsi di avere il ruolo di accesso al servizio IAM Writer o Manager IBM Cloud per lo spazio dei nomi default.
• Accedi al tuo cluster Red Hat OpenShift.

Per eliminare un NLB o disattivare un ALB,

1. Elenca i servizi disponibili nel tuo cluster.

   oc get services | grep LoadBalancer
   

2. Rimuovi il servizio del programma di bilanciamento del carico o disabilita l'ALB che utilizza un indirizzo IP pubblico o privato.
   • Elimina un NLB:

     oc delete service <service_name>
     

   • Disabilita un ALB:

     ibmcloud oc ingress alb disable --alb <ALB_ID> -c <cluster_name_or_ID>
     

Aggiunta di IP portatili ordinando più sottoreti

Puoi ottenere più indirizzi IP portatili per i servizi NLB creando una nuova sottorete in un account dell'infrastruttura IBM Cloud e rendendola disponibile al tuo cluster specificato.

Gli indirizzi IP pubblici portatili vengono addebitati mensilmente. Se rimuovi gli indirizzi IP pubblici portatili dopo aver eseguito il provisioning della tua sottorete, devi comunque pagare l'addebito mensile anche se li hai utilizzati solo per un breve periodo di tempo.

Prima di iniziare

• Assicurarsi di avere il ruolo di accesso alla piattaforma IAM Operatore o Amministratore per il cluster.
• Accedi al tuo cluster Red Hat OpenShift.

Per ordinare una sottorete,

1. Esegui il provisioning di una sottorete.

   ibmcloud oc cluster subnet create --cluster <cluster_name_or_id> --size <subnet_size> --vlan <VLAN_ID>
   

   Parametri per una sottorete

   Parametro	Descrizione
   <cluster_name_or_id>	Sostituire <cluster_name_or_id> con il nome o l'ID del cluster.
   <subnet_size>	Sostituire <subnet_size> con il numero di indirizzi IP che si desidera creare nella sottorete portatile. I valori accettati sono 8, 16, 32 o 64. Si noti che quando si aggiungono indirizzi IP portatili per la sottorete, vengono utilizzati tre indirizzi IP per stabilire la rete interna al cluster. Non è possibile utilizzare questi tre indirizzi IP per gli application load balancer (ALB) di Ingress o per creare servizi di network load balancer (NLB). Ad esempio, se richiedi otto indirizzi IP pubblici portatili, puoi utilizzarne cinque per esporre le tue applicazioni pubblicamente.
   <VLAN_ID>	Sostituire <VLAN_ID> con l'ID della VLAN pubblica o privata su cui si desidera allocare gli indirizzi IP pubblici o privati portatili. Devi selezionare una VLAN pubblica o privata a cui è connesso un nodo di lavoro esistente. Per esaminare le VLAN pubbliche o private a cui sono collegati i nodi worker, eseguire ibmcloud oc cluster get --cluster <cluster> --show-resources e cercare la sezione Subnet VLAN nell'output. Il provisioning della sottorete viene eseguito nella stessa zona in cui si trova la VLAN.

2. Verifica che la sottorete sia stata creata e aggiunta correttamente al tuo cluster. Il CIDR della sottorete viene elencato nella sezione Subnet VLANs.

   ibmcloud oc cluster get --cluster <cluster_name_or_ID> --show-resources
   

   In questo esempio, alla VLAN pubblica 2234945 è stata aggiunta una seconda sottorete.

   Subnet VLANs
   VLAN ID   Subnet CIDR          Public   User-managed
   2234947   10.xxx.xx.xxx/29     false    false
   2234945   169.xx.xxx.xxx/29    true     false
   2234945   169.xx.xxx.xxx/29    true     false
   

3. Importante: per abilitare le comunicazioni tra i nodi di lavoro che si trovano su sottoreti differenti nella stessa VLAN, devi abilitare l'instradamento tra le sottoreti sulla stessa VLAN.

Aggiunta di IP portatili aggiungendo sottoreti esistenti al tuo cluster

Puoi ottenere più indirizzi IP portatili per i servizi NLB rendendo una sottorete esistente in un account dell'infrastruttura IBM disponibile al tuo cluster.

Prima di iniziare

• Assicurarsi di avere il ruolo di accesso alla piattaforma IAM Operatore o Amministratore per il cluster.
• Accedi al tuo cluster Red Hat OpenShift.

Per rendere disponibile una sottorete al cluster,

1. Riesamina gli ID delle VLAN pubbliche o private su cui desideri allocare gli indirizzi IP pubblici o privati portatili. Devi selezionare una VLAN pubblica o privata a cui è connesso un nodo di lavoro esistente.

   ibmcloud oc cluster get --cluster <cluster_name_or_id> --show-resources
   

   Nell'output, cerca i VLAN ID nella sezione Subnet VLANs.

   Subnet VLANs
   VLAN ID   Subnet CIDR          Public   User-managed
   2234947   10.xxx.xx.xxx/29     false    false
   2234945   169.xx.xxx.xxx/29    true     false
   

2. Ottieni l'ID della sottorete da utilizzare. Assicurati che la sottorete sia su uno degli ID VLAN che hai trovato nel passo precedente e che non sia già associata a un altro cluster.

   ibmcloud oc subnets --provider classic
   

   In questo esempio di output, l'ID della sottorete è 1602829, che si trova sull'ID della VLAN 2234945.

   GETting subnet list...
   OK
   ID        Network             Gateway          VLAN ID   Type      Bound Cluster
   1550165   10.xxx.xx.xxx/26    10.xxx.xx.xxx    2234947   private
   1602829   169.xx.xxx.xxx/28   169.xx.xxx.xxx   2234945   public
   

3. Rendi la sottorete disponibile per il tuo cluster.

   ibmcloud oc cluster subnet add --cluster <cluster_name_or_id> --subnet-id <subnet_ID>
   

4. Verifica che la sottorete sia stata creata e aggiunta correttamente al tuo cluster. Il CIDR della sottorete viene elencato nella sezione Subnet VLANs.

   ibmcloud oc cluster get --cluster <cluster_name> --show-resources
   

   In questo esempio, alla VLAN pubblica 2234945 è stata aggiunta una seconda sottorete.

   Subnet VLANs
   VLAN ID   Subnet CIDR          Public   User-managed
   2234947   10.xxx.xx.xxx/29     false    false
   2234945   169.xx.xxx.xxx/29    true     false
   2234945   169.xx.xxx.xxx/29    true     false
   

5. Importante: per abilitare le comunicazioni tra i nodi di lavoro che si trovano su sottoreti differenti nella stessa VLAN, devi abilitare l'instradamento tra le sottoreti sulla stessa VLAN.

Abilitazione dell'instradamento tra sottoreti primarie sulla stessa VLAN

Quando crei un cluster, viene eseguito il provisioning della sottorete pubblica e di quella privata primarie sulla VLAN pubbliche e private. La sottorete pubblica primaria termina in /28 e fornisce 14 IP pubblici per i nodi di lavoro. La sottorete privata primaria termina in /26 e fornisce gli IP privati per un massimo di 62 nodi di lavoro.

Potresti superare i 14 IP pubblici e i 62 privati iniziali per i nodi di lavoro disponendo di un cluster di grandi dimensioni o di diversi cluster più piccoli nella stessa ubicazione sulla stessa VLAN. Quando una sottorete pubblica o privata raggiunge il limite di nodi di lavoro, viene ordinata un'altra sottorete primaria nella stessa VLAN.

Per garantire che i nodi di lavoro in queste sottoreti primarie sulla stessa VLAN possano comunicare, devi attivare lo spanning della VLAN. Per istruzioni, vedi Abilita o disabilita lo spanning delle VLAN.

Per verificare se lo spanning VLAN è già abilitato, utilizzare il comando ibmcloud oc vlan spanning get --region <region>.

Gestione dell'instradamento di sottorete per le applicazioni gateway

Quando crei un cluster, vengono ordinate una sottorete pubblica e una privata portatili sulle VLAN a cui è connesso il cluster. Queste sottoreti forniscono indirizzi IP per i servizi NLB (network load balancer) e ALB (application load balancer) Ingress.

Tuttavia, se hai un'applicazione router esistente, come ad esempio una VRA (Virtual Router Appliance), le sottoreti portatili appena aggiunte dalle VLAN a cui è connesso il cluster non sono configurate sul router. Per utilizzare gli NLB o gli ALB Ingress, devi assicurarti che i dispositivi di rete possano instradare tra diverse sottoreti sulla stessa VLAN abilitando una VRF(Virtual Router Function) per il tuo account dell'infrastruttura IBM Cloud. Per abilitare VRF, consultare Abilitazione VRF. Se non puoi o non vuoi abilitare VRF, abilita VLAN spanning.