Connector エージェントからのリクエストパスの設定

コネクタエージェントの送信リクエストの送信先を設定します。これには、プロキシ経由のルーティングや、 Satellite トンネルサーバーのIngressホストの設定が含まれます。

Satelliteのプロキシを設定するコネクタエージェント

フォワードプロキシを使用して、Satelliteコネクタエージェントのトンネル接続を確立できます。コネクタエージェント。

プロキシを設定するにはさまざまな方法がある。これらの手順は、Connector エージェントを実行しているマシンからアクセスできるプロキシが適切に設定されていることを前提としています。以下の手順は、Ubuntu 22.04を実行している Connector エージェントマシンで、Connector エージェントとは別のマシンで実行されている明示的なSquidプロキシでテストされています。

HTTP_PROXY と'HTTPS_PROXY 環境変数は、トラフィックをプロキシにリダイレクトするために使われる。以下に例を示します。

HTTP_PROXY=http://myUserName:myPassword@my.proxy.example.com:3128
HTTPS_PROXY=https://myUserName:myPassword@my.proxy.example.com:3129

Connector エージェントが使用するこれらの環境変数の設定は、ランタイム環境によって異なります。

コンテナ・プラットフォームでは、「env.txt ファイルに追加する。

SATELLITE_CONNECTOR_ID=U2.....wZyI
SATELLITE_CONNECTOR_IAM_APIKEY=/agent-env-files/apikey
SATELLITE_CONNECTOR_TAGS=test
HTTP_PROXY=http://myUserName:myPassword@192.168.3.87:3128
HTTPS_PROXY=https://myUserName:myPassword@192.168.3.87:3129

Windowsの場合は、'config.json ファイルに追加する。

{
  "SATELLITE_CONNECTOR_ID": "U2.....wZyI",
  "SATELLITE_CONNECTOR_IAM_APIKEY": "C:\\path\\to\\apikey",
  "SATELLITE_CONNECTOR_TAGS": "test",
  "PRETTY_LOG": true,
  "HTTP_PROXY": "http://myUserName:myPassword@192.168.3.87:3128",
  "HTTPS_PROXY": "https://myUserName:myPassword@192.168.3.87:3129"
}

Connector エージェントがコンテナプラットフォームで実行されている場合、コンテナプラットフォームのランタイムが 'icr.io からイメージをプルするときにプロキシも使用していることを確認してください。詳細については、「 Docker デーモンをプロキシサーバーを使用するように設定する」を参照してください。

Satellite用のトンネルサーバIngressホストの設定コネクタエージェント

コネクタエージェントがトラフィックを転送する Satellite トンネルサーバーのIngressホストを設定できます。 Connector エージェントはパブリックまたはプライベート Ingress ホストの指定をサポートします。コンプライアンス管理を支援するために、単一のネットワーク宛先を設定して、ファイアウォールで許可する送信IPアドレスの数を減らすことができます。また、内部 Ingress ホストを指定することにより、Connector エージェントと Tunnel サーバ間のトラフィックがプライベートネットワークに留まり、トラフィックがパブリックインターネットを使用しないことを保証できます。

内部ホストの指定

内部Ingressホストは d-{nn}-ws.private.{mzr}.link.satellite.cloud.ibm.com の形式で地域化されます(例えば、us-southのトンネルサーバーのプライベートIngressは d-01-ws.private.us-south.link.satellite.cloud.ibm.com です)。これらのホストは、IBM 範囲の 166.9.x.x 予約アドレスであるクラウドサービスエンドポイント (CSE) IP アドレスに解決されます。これらのアドレスを使用してエージェントを接続することで、TunnelサーバーへのすべてのトラフィックがIBMの内部プライベートネットワークに留まるようにすることができます。

内部 Ingress ホストを使用するように Connector エージェントを設定する手順に従ってください。

Connector エージェントを実行するための prereqs を確認してください。
Connector エージェントがローカルネットワークからトンネルサーバの CSE エンドポイント IP アドレスに直接到達できない場合、エージェント要求を送信するリレーを作成する必要があります。詳しくは、リレーの作成を参照してください。

他の必要なエージェント・パラメーターとともに、SATELLITE_CONNECTOR_DIRECT_LINK_INGRESS パラメーターを設定します。以下に例を示します。

コンテナ・プラットフォームでは、'env.txt ファイルに記述する。

SATELLITE_CONNECTOR_ID=U2.....wZyI
SATELLITE_CONNECTOR_IAM_APIKEY=/agent-env-files/api-key
SATELLITE_CONNECTOR_TAGS=test
SATELLITE_CONNECTOR_DIRECT_LINK_INGRESS=d-01-ws.private.us-south.link.satellite.cloud.ibm.com

Windowsの場合、'config.json ファイルにある。

{
  "SATELLITE_CONNECTOR_ID": "U2.....wZyI",
  "SATELLITE_CONNECTOR_IAM_APIKEY": "C:\\path\\to\\apikey",
  "SATELLITE_CONNECTOR_TAGS": "test",
  "PRETTY_LOG": true,
  "SATELLITE_CONNECTOR_DIRECT_LINK_INGRESS": "d-01-ws.private.us-south.link.satellite.cloud.ibm.com"
}

Connector エージェントをコンテナプラットフォームまたは Windows で実行する手順に従ってください。

単一のネットワーク宛先を指定する

ファイアウォールで許可するアウトバウンドIPアドレスの数を減らすために、複数の宛先の代わりに単一のネットワーク宛先を指定することができます。 SATELLITE_CONNECTOR_DIRECT_LINK_INGRESS パラメータを特定の地域のホストに設定することで、1 つの地域のトンネルサーバー Ingress IP アドレスのみを使用するようにトラフィックを制限できます。

パブリックIngressホストは、'c-{nn}-ws.{mzr}.link.satellite.cloud.ibm.com フォーマットで地域別に表示されます（例えば、us-southのトンネルサーバーのパブリックIngressは'c-01-ws.us-south.link.satellite.cloud.ibm.com です）。 us-southのパブリックIngressを使用するには、以下のパラメータを含める：

コンテナ・プラットフォームでは、'env.txt ファイルに記述する。

SATELLITE_CONNECTOR_DIRECT_LINK_INGRESS=c-01-ws.us-south.link.satellite.cloud.ibm.com

Windowsの場合、'config.json ファイルにある。

"SATELLITE_CONNECTOR_DIRECT_LINK_INGRESS": "c-01-ws.us-south.link.satellite.cloud.ibm.com"

この設定により、ネットワーク要件に記載されているように、ファイアウォールがus-south IPアドレス169.46.88.106、169.61.31.178、169.61.156.226）のみを許可するように制限することができます。