VLAN

클러스터를 작성하면 클러스터의 작업자 노드가 VLAN에 자동으로 연결됩니다. VLAN은 동일한 실제 회선에 연결된 것처럼 작업자 노드 및 팟(Pod)의 그룹을 구성하며, 작업자 및 팟(Pod) 간의 연결을 위한 채널을 제공합니다.

표준 클러스터의 VLAN

표준 클러스터에서 구역의 클러스터를 처음으로 작성하는 경우, 해당 구역의 공용 VLAN 및 사설 VLAN은 IBM Cloud 인프라 계정에서 사용자를 위해 자동으로 프로비저닝됩니다. 해당 구역에서 작성하는 모든 후속 클러스터에 대해 해당 구역에서 사용할 VLAN 쌍을 지정해야 합니다. 다중 클러스터가 VLAN을 공유할 수 있으므로 사용자는 자신을 위해 작성된 동일한 공용 및 사설 VLAN을 재사용할 수 있습니다. 작업자 노드를 공용 VLAN 및 사설 VLAN 모두에 연결하거나 사설 VLAN에만 연결할 수 있습니다. 작업자 노드를 사설 VLAN에만 연결하려는 경우에는 기존 사설 VLAN의 ID를 사용하거나 새 사설 VLAN을 작성하여 클러스터 작성 중에 해당 ID를 사용할 수 있습니다.

계정에 대해 각 구역에서 프로비저닝된 VLAN을 보려면 ibmcloud oc vlan ls --zone ZONE.을 실행하십시오. 하나의 클러스터가 프로비저닝된 VLAN을 보려면 ibmcloud oc cluster get --cluster CLUSTER_NAME_OR_ID --show-resources를 실행하고 Subnet VLANs 섹션을 찾으십시오.

IBM Cloud 인프라는 구역의 첫 번째 클러스터가 작성될 때 자동으로 프로비저닝되는 VLAN을 관리합니다. VLAN을 미사용 상태로 두면(예: VLAN에서 모든 작업자 노드를 제거하여) IBM Cloud 인프라가 VLAN을 재확보합니다. 향후에 새 VLAN이 필요하면 contact IBM Cloud 지원 팀에 문의하십시오.

VLAN 결정사항을 나중에 변경할 수 있습니까?

클러스터에서 작업자 풀을 수정하여 VLAN 설정을 변경할 수 있습니다. 자세한 정보는 작업자 노드 VLAN 연결 변경을 참조하십시오.

서브넷 및 IP 주소

작업자 노드 및 팟(Pod)에 추가하여 서브넷도 자동으로 VLAN에 프로비저닝됩니다. 서브넷은 클러스터 컴포넌트에 IP 주소를 지정하여 이에 대한 네트워크 연결을 제공합니다.

다음 서브넷은 기본 공용 및 개인용 VLAN에서 자동으로 프로비저닝됩니다.

사용자 계정에서 프로비저닝된 서브넷 찾기

계정의 모든 리소스 그룹에 프로비저닝된 모든 서브넷을 보려면 ibmcloud oc subnets --provider classic을 실행하십시오. 하나의 클러스터에 바인드된 포터블 공용 및 포터블 사설 서브넷을 보려면 ibmcloud oc cluster get --cluster CLUSTER_NAME_OR_ID --show-resources를 실행하고 Subnet VLANs 섹션을 찾으십시오.

Red Hat OpenShift on IBM Cloud에서 VLAN에는 서브넷이 40개로 제한되어 있습니다. 이 한계에 도달하면 우선 VLAN의 서브넷을 재사용하여 새 클러스터를 작성할 수 있는지 여부를 확인하십시오. 새 VLAN이 필요한 경우 IBM Cloud 지원 팀에 문의하여 주문하십시오. 그런 다음, 이 새 VLAN을 사용하는 클러스터를 작성하십시오.

작업 노드의 IP 주소가 변경되나요?

작업자 노드에는 클러스터가 사용하는 공용 또는 사설 VLAN의 IP 주소가 지정됩니다. 작업자 노드가 프로비저닝된 후 작업자 노드 IP 주소는 reboot와 update 오퍼레이션 전반에 걸쳐 지속되지만 replace 오퍼레이션 후에는 작업자 노드 IP 주소가 변경됩니다. 또한 작업자 노드의 사설 IP 주소가 대부분 oc 명령의 작업자 노드 ID에 사용됩니다. 작업자 풀이 사용하는 VLAN을 변경하는 경우 해당 풀에서 프로비저닝되는 새 작업자 노드가 IP 주소에 대해 새 VLAN을 사용합니다. 기존 작업자 노드 IP 주소가 변경되지 않지만 이전 VLAN을 사용하는 작업자 노드를 제거하도록 선택할 수 있습니다.

클러스터 내의 파드와 서비스에 대해 서브넷을 지정할 수 있나요?

클러스터를 IBM Cloud Direct Link 또는 VPN 서비스를 통해 온프레미스 네트워크에 연결하려는 경우, 팟(Pod)에 사설 IP 주소를 제공하는 사용자 정의 서브넷 CIDR과 서비스에 사설 IP 주소를 제공하는 사용자 정의 서브넷 CIDR을 지정하여 서브넷 충돌을 방지할 수 있습니다.

클러스터 생성 시 사용자 지정 파드 및 서비스 서브넷을 지정하려면, ibmcloud oc cluster create CLI 명령어에서 --pod-subnet 및 --service-subnet 옵션을 사용하십시오.

네트워크 세그먼트화

네트워크 세그먼트화는 네트워크를 다중 하위 네트워크로 분할하기 위한 접근 방식을 말합니다. 하나의 서브네트워크에서 실행되는 앱은 다른 서브네트워크의 앱을 보거나 이에 액세스할 수 없습니다. 네트워크 세그먼트화 옵션과 VLAN과 관련된 방법에 대한 자세한 정보는 이 클러스터 보안 주제를 참조하십시오.

그러나 여러 상황에서 클러스터의 컴포넌트는 여러 개의 사설 VLAN을 통해 통신할 수 있어야 합니다. 예를 들어, 다중 구역 클러스터를 작성하려는 경우, 클러스터에 대한 여러 개의 VLAN이 있는 경우 또는 동일한 VLAN에 여러 개의 서브넷이 있는 경우 동일한 VLAN 또는 다른 VLAN의 다른 서브넷에 있는 작업자 노드는 자동으로 서로 통신할 수 없습니다. IBM Cloud 인프라 계정에 대해 VRF(Virtual Router Function) 또는 VLAN Spanning을 사용으로 설정해야 합니다.

VRF(Virtual Routing and Forwarding)

VRF를 사용하면 인프라 계정 내의 모든 VLAN과 서브넷이 서로 통신할 수 있습니다. 또한 작업자와 마스터가 프라이빗 클라우드 서비스 엔드포인트를 통해 통신할 수 있도록 하려면 VRF가 필요합니다. VRF를 사용으로 설정하려면 VRF 사용을 참조하십시오. VRF가 이미 사용으로 설정되었는지 확인하려면 ibmcloud account show 명령을 사용하십시오. VRF는 트래픽을 관리하도록 게이트웨이 어플라이언스를 구성하지 않는 한 모든 VLAN이 통신할 수 있으므로 계정에 대한 VLAN Spanning 옵션을 제거합니다.

VLAN spanning

VRF를 사용할 수 없거나 사용하지 않으려면 VLAN Spanning을 사용으로 설정하십시오. 이 작업을 수행하려면 ‘ 네트워크 > 네트워크 VLAN 스패닝 관리 인프라 권한 ’ 권한이 필요하며, 해당 권한이 없다면 계정 소유자에게 권한을 활성화해 달라고 요청할 수 있습니다. VLAN Spanning이 사용으로 설정되었는지 확인하려면 ibmcloud oc vlan spanning get --region REGION 명령을 사용하십시오. VRF 대신 VLAN Spanning을 사용으로 설정하도록 선택하는 경우에는 프라이빗 클라우드 서비스 엔드포인트를 사용으로 설정할 수 없습니다.

VRF 또는 VLAN 스패닝은 네트워크 분할에 어떤 영향을 미치나요?

VRF 또는 VLAN Spanning이 사용으로 설정되면 동일한 IBM Cloud 계정에서 사설 VLAN에 연결된 시스템이 작업자와 통신할 수 있습니다. Calico 사설 네트워크 정책 을 적용하여 사설 네트워크의 다른 시스템에서 클러스터를 격리할 수 있습니다. Red Hat OpenShift on IBM Cloud 도 모든 IBM Cloud 인프라 방화벽 오퍼링과 호환 가능합니다. 사용자는 표준 클러스터에 대한 전용 네트워크 보안을 제공하고 네트워크 침입을 발견하여 이를 해결하기 위한 사용자 정의 네트워크 정책으로 방화벽(예: Virtual Router Appliance)을 설정할 수 있습니다.

사용 가능한 포터블 공인 IP 주소 보기

사용된 클러스터와 사용 가능한 클러스터 모두의 포터블 IP 주소를 모두 나열하려면 다음 명령을 실행할 수 있습니다.

oc get cm ibm-cloud-provider-vlan-ip-config -n kube-system -o yaml

공용 NLB 또는 추가 공용 ALB를 작성하는 데 사용할 수 있는 포터블 공인 IP 주소만 나열하려면 다음 단계를 사용할 수 있습니다.

시작하기 전에

• default 네임스페이스에 대해 ‘Writer’ 또는 ‘Manager’ IBM Cloud IAM 서비스 액세스 역할이 부여되어 있는지 확인하십시오.
• Red Hat OpenShift 클러스터에 액세스하십시오.

사용 가능한 이동 가능 공인 IP 주소를 나열하려는 경우

1. myservice.yaml이라는 이름의 Kubernetes 서비스 구성 파일을 작성하고 더미 NLB IP 주소를 사용하여 LoadBalancer 유형의 서비스를 정의하십시오. 다음 예는 NLB IP 주소로 IP 주소 1.1.1.1을 사용합니다. <zone>을 사용 가능한 IP를 확인하려는 구역으로 대체하십시오.

   apiVersion: v1
   kind: Service
   metadata:
     labels:
       run: myservice
     name: myservice
     namespace: default
     annotations:
       service.kubernetes.io/ibm-load-balancer-cloud-provider-zone: "<zone>"
   spec:
     ports:
     - port: 80
       protocol: TCP
       targetPort: 80
     selector:
       run: myservice
     sessionAffinity: None
     type: LoadBalancer
     loadBalancerIP: 1.1.1.1
   

2. 클러스터에 서비스를 작성하십시오.

   oc apply -f myservice.yaml
   

3. 서비스를 검사하십시오.

   oc describe service myservice
   

   Kubernetes 마스터가 Kubernetes configmap에서 지정된 NLB IP 주소를 찾을 수 없으므로 이 서비스의 작성에 실패합니다. 이 명령을 실행하면 오류 메시지 및 클러스터에 사용 가능한 공인 IP 주소의 목록을 볼 수 있습니다.

   Error on cloud load balancer a8bfa26552e8511e7bee4324285f6a4a for service default/myservice with UID 8bfa2655-2e85-11e7-bee4-324285f6a4af: Requested cloud provider IP 1.1.1.1 is not available. The following cloud provider IP addresses are available: <list_of_IP_addresses>
   

사용된 IP 주소 해제

포터블 IP 주소를 사용 중인 네트워크 로드 밸런서(NLB) 서비스를 삭제하거나 Ingress 애플리케이션 로드 밸런서(ALB)를 사용 안함으로 설정하여 사용된 포터블 공인 IP 주소를 해제할 수 있습니다.

시작하기 전에

• default 네임스페이스에 대해 ‘Writer’ 또는 ‘Manager’ IBM Cloud IAM 서비스 액세스 역할이 부여되어 있는지 확인하십시오.
• Red Hat OpenShift 클러스터에 액세스하십시오.

NLB를 삭제하거나 ALB를 사용 안함으로 설정하려는 경우

1. 클러스터에서 사용 가능한 서비스를 나열하십시오.

   oc get services | grep LoadBalancer
   

2. 공인 또는 사설 IP 주소를 사용하는 로드 밸런서를 제거하거나 ALB를 사용 안함으로 설정하십시오.
   • NLB를 삭제하려면 다음을 수행하십시오.

       oc delete service <service_name>
       ```
   - ALB를 사용 안함으로 설정하려면 다음을 수행하십시오.
   ```sh {: pre}
       ibmcloud oc ingress alb disable --alb ALB_ID -c CLUSTER_NAME_OR_ID
       ```
   
   

추가로 서브넷을 주문하여 포터블 IP 추가

IBM Cloud 인프라 계정에서 새 서브넷을 작성하고 지정된 클러스터에서 이를 사용할 수 있도록 하여 NLB 서비스를 위한 포터블 IP를 더 가져올 수 있습니다.

포터블 공인 IP 주소는 매월 비용이 청구됩니다. 서브넷이 프로비저닝된 후에 포터블 공인 IP 주소를 제거한 경우에는 짧은 시간 동안만 사용했어도 여전히 월별 비용을 지불해야 합니다.

시작하기 전에

• 클러스터에 대한 ‘운영자’ 또는 ‘관리자’ IAM 플랫폼 액세스 역할을 보유하고 있는지 확인하십시오.
• Red Hat OpenShift 클러스터에 액세스하십시오.

서브넷을 순서 지정하려는 경우

1. 새 서브넷을 프로비저닝하십시오.

   ibmcloud oc cluster subnet create --cluster CLUSTER_NAME_OR_ID --size SUBNET_SIZE --vlan VLAN_ID
   

   서브넷에 대한 매개변수

   매개변수	설명
   <cluster_name_or_id>	<cluster_name_or_id>를 클러스터의 이름 또는 ID로 대체하십시오.
   <subnet_size>	<subnet_size>를 포터블 서브넷에서 작성할 IP 주소의 수로 대체하십시오. 허용되는 값은 8, 16, 32 또는 64입니다. 서브넷의 이동 가능 IP 주소를 추가하는 경우 클러스터 내부 네트워킹을 설정하는 데 세 개의 IP 주소가 사용되는 점에 유의하십시오. Ingress 애플리케이션 로드 밸런서(ALB)에 대해 또는 네트워크 로드 밸런서(NLB) 서비스를 작성하는 데 이러한 세 개의 IP 주소를 사용할 수 없습니다. 예를 들어, 8개의 포터블 공인 IP 주소를 요청하는 경우 이 중에서 5개를 사용하여 앱을 공용으로 노출할 수 있습니다.
   <VLAN_ID>	<VLAN_ID>를 포터블 공인 또는 사설 IP 주소를 할당할 공용 또는 사설 VLAN의 ID로 대체하십시오. 기존 작업자 노드가 연결되어 있는 공용 또는 사설 VLAN을 선택해야 합니다. 작업자 노드가 연결되는 공용 또는 사설 VLAN을 검토하려면 ibmcloud oc cluster get --cluster CLUSTER --show-resources를 실행하고 출력에서 서브넷 VLAN 섹션을 찾으십시오. 서브넷은 VLAN이 있는 동일한 구역에서 프로비저닝됩니다.

2. 서브넷이 정상적으로 작성되어 클러스터에 추가되었는지 확인하십시오. 서브넷 CIDR은 Subnet VLANs 섹션에 나열되어 있습니다.

   ibmcloud oc cluster get --cluster CLUSTER_NAME_OR_ID --show-resources
   

   이 예제 출력에서는 두 번째 서브넷이 2234945 공용 VLAN에 추가되었습니다.

   Subnet VLANs
   VLAN ID   Subnet CIDR          Public   User-managed
   2234947   10.xxx.xx.xxx/29     false    false
   2234945   169.xx.xxx.xxx/29    true     false
   2234945   169.xx.xxx.xxx/29    true     false
   

3. 중요: 동일한 VLAN의 서로 다른 서브넷에 있는 작업자 간에 통신을 사용 가능하게 하려면 동일한 VLAN의 서브넷 간에 라우팅 사용을 설정해야 합니다.

클러스터에 기존 서브넷을 추가하여 포터블 IP 추가

클러스터에서 IBM Cloud 인프라 계정의 기존 서브넷을 사용할 수 있도록 하여 NLB 서비스를 위한 포터블 IP를 더 가져올 수 있습니다.

시작하기 전에

• 클러스터에 대한 ‘운영자’ 또는 ‘관리자’ IAM 플랫폼 액세스 역할을 보유하고 있는지 확인하십시오.
• Red Hat OpenShift 클러스터에 액세스하십시오.

클러스터에서 서브넷을 사용할 수 있도록 하려는 경우

1. 포터블 공인 또는 사설 IP 주소를 할당하려는 공용 또는 사설 VLAN의 ID를 검토하십시오. 기존 작업자 노드가 연결되어 있는 공용 또는 사설 VLAN을 선택해야 합니다.

   ibmcloud oc cluster get --cluster CLUSTER_NAME_OR_ID --show-resources
   

   출력에서 서브넷 VLAN 섹션에 있는 VLAN ID를 찾으십시오.

   Subnet VLANs
   VLAN ID   Subnet CIDR          Public   User-managed
   2234947   10.xxx.xx.xxx/29     false    false
   2234945   169.xx.xxx.xxx/29    true     false
   

2. 사용할 서브넷의 ID를 가져오십시오. 서브넷이 이전 단계에서 찾은 VLAN ID 중 하나에 있고, 서브넷이 다른 클러스터에 아직 바인드되지 않았는지 확인하십시오.

   ibmcloud oc subnets --provider classic
   

   이 예제 출력에서 서브넷 ID는 1602829이며 VLAN ID 2234945에 있습니다.

   GETting subnet list...
   OK
   ID        Network             Gateway          VLAN ID   Type      Bound Cluster
   1550165   10.xxx.xx.xxx/26    10.xxx.xx.xxx    2234947   private
   1602829   169.xx.xxx.xxx/28   169.xx.xxx.xxx   2234945   public
   

3. 클러스터에서 서브넷을 사용할 수 있도록 하십시오.

   ibmcloud oc cluster subnet add --cluster CLUSTER_NAME_OR_ID --subnet-id SUBNET_ID
   

4. 서브넷이 정상적으로 작성되어 클러스터에 추가되었는지 확인하십시오. 서브넷 CIDR은 Subnet VLANs 섹션에 나열되어 있습니다.

   ibmcloud oc cluster get --cluster CLUSTER_NAME --show-resources
   

   이 예제 출력에서는 두 번째 서브넷이 2234945 공용 VLAN에 추가되었습니다.

   Subnet VLANs
   VLAN ID   Subnet CIDR          Public   User-managed
   2234947   10.xxx.xx.xxx/29     false    false
   2234945   169.xx.xxx.xxx/29    true     false
   2234945   169.xx.xxx.xxx/29    true     false
   

5. 중요: 동일한 VLAN의 서로 다른 서브넷에 있는 작업자 간에 통신을 사용 가능하게 하려면 동일한 VLAN의 서브넷 간에 라우팅 사용을 설정해야 합니다.

동일한 VLAN의 기본 서브넷 간에 라우팅 사용

클러스터를 작성하면 기본 공용 및 사설 서브넷이 공용 및 사설 VLAN에 프로비저닝됩니다. 기본 공인 서브넷은 /28로 끝나며 작업자 노드에 대한 14개의 공인 IP를 제공합니다. 기본 사설 서브넷은 /26으로 끝나며 최대 62개의 작업자 노드에 대한 사설 IP를 제공합니다.

동일한 VLAN의 동일한 위치에 있는 대형 클러스터 또는 여러 개의 소형 클러스터를 사용하여 작업자 노드에 대한 초기 14개의 공인 및 62개의 사설 IP를 초과할 수 있습니다. 공용 또는 사설 서브넷이 작업자 노드의 한계에 도달하면 동일한 VLAN의 다른 기본 서브넷이 주문됩니다.

동일한 VLAN의 이러한 기본 서브넷에서 작업자가 통신할 수 있도록 보장하려면 VLAN Spanning을 켜야 합니다. 지시사항은 VLAN Spanning 사용 또는 사용 안함을 참조하십시오.

VLAN Spanning이 사용으로 설정되었는지 확인하려면 ibmcloud oc vlan spanning get --region <region> 명령을 사용하십시오.

게이트웨이 어플라이언스에 대한 서브넷 라우팅 관리

표준 클러스터를 작성하면 클러스터가 연결된 VLAN에서 포터블 공인 및 포터블 사설 서브넷이 주문됩니다. 이러한 서브넷은 Ingress 애플리케이션 로드 밸런서(ALB) 및 네트워크 로드 밸런서(NLB) 서비스에 대한 IP 주소를 제공합니다.

그러나 VRA(Virtual Router Appliance) 등의 기존 라우터 어플라이언스가 있는 경우에는 클러스터가 연결된 해당 VLAN의 새로 추가된 포터블 서브넷이 라우터에 구성되어 있지 않습니다. NLB 또는 Ingress ALB를 사용하려면 IBM Cloud 인프라 계정에 대해 VRF(Virtual Router Function)를 사용으로 설정하여 네트워크 디바이스가 동일한 VLAN에 있는 서로 다른 서브넷 간에 라우팅할 수 있도록 해야 합니다. VRF를 사용으로 설정하려면 VRF 사용을 참조하십시오. VRF를 사용할 수 없거나 사용하지 않으려면 VLAN Spanning을 사용으로 설정하십시오.