Konsep jaringan untuk Azure Red Hat OpenShift

Artikel ini memberikan gambaran umum tentang jaringan Azure Red Hat OpenShift pada kluster OpenShift 4. Ini termasuk diagram dan daftar titik akhir penting. Untuk informasi selengkapnya tentang konsep jaringan OpenShift inti, lihat dokumentasi jaringan Azure Red Hat OpenShift 4.

Saat Anda menyebarkan Azure Red Hat OpenShift di OpenShift 4, seluruh kluster Anda terkandung dalam jaringan virtual. Dalam jaringan virtual ini, simpul sarana kontrol dan simpul pekerja Anda masing-masing tinggal di subnet mereka sendiri. Setiap subnet menggunakan penyeimbang muatan internal dan penyeimbang muatan publik.

Nota

Untuk informasi tentang perubahan terbaru, lihat Apa yang baru dengan Azure Red Hat OpenShift.

Komponen jaringan

Daftar berikut ini mencakup komponen jaringan penting dalam kluster Azure Red Hat OpenShift.

• aro-pls

  • Titik akhir Azure Private Link ini digunakan oleh teknisi keandalan situs Microsoft dan Red Hat untuk mengelola kluster.

• aro-internal

  • Proses instalasi klaster membuat penyeimbang beban internal ini. Ini menyeimbangkan lalu lintas ke server API di jaringan internal (api-int) dan membawa lalu lintas layanan internal. Node bidang kontrol dan node pekerja berada di pool backend.
  • Cloud-controller-manager dapat membuat IP frontend load balancer internal ekstra saat Anda membuat layanan Kubernetes jenis LoadBalancer dengan anotasi service.beta.kubernetes.io/azure-load-balancer-internal: "true". IP-IP ini terpisah dari yang dikelola oleh RP internal-lb-ip-v4.

• Aro

  • Titik akhir ini digunakan untuk setiap lalu lintas publik. Saat Anda membuat aplikasi dan rute, titik akhir ini adalah jalur untuk lalu lintas masuk.
  • Titik akhir ini juga merutekan dan menyeimbangkan lalu lintas ke server API (jika API bersifat publik). Titik akhir ini menetapkan IP keluar publik sehingga sarana kontrol dapat mengakses Azure Resource Manager dan melaporkan kembali kesehatan kluster.
  • Penyeimbang beban ini juga mencakup konektivitas keluar ke Internet dari pod mana pun yang berjalan pada simpul pekerja melalui aturan keluar Azure Load Balancer.
    • Aturan keluar saat ini tidak dapat dikonfigurasi. Mereka mengalokasikan 1.024 port TCP ke setiap simpul.
    • DisableOutboundSnat tidak dikonfigurasi dalam aturan LB, sehingga pod dapat menggunakan IP publik mana pun yang dikonfigurasi pada ALB ini sebagai IP egress.
    • Sebagai konsekuensi dari dua poin sebelumnya, satu-satunya cara untuk menambahkan port SNAT sementara adalah dengan menambahkan layanan jenis LoadBalancer publik ke Azure Red Hat OpenShift.

• aro-nsg

  • Saat Anda mengekspos layanan, API membuat aturan dalam kelompok keamanan jaringan ini sehingga lalu lintas mengalir melalui dan mencapai sarana kontrol dan simpul melalui port 6443.
  • Secara default kelompok keamanan jaringan ini mengizinkan semua lalu lintas keluar. Saat ini, lalu lintas keluar hanya dapat dibatasi untuk sarana kontrol Azure Red Hat OpenShift.

• Azure Container Registry

  • Registri kontainer disediakan dan digunakan oleh Microsoft secara internal. Ini bersifat baca-saja dan tidak ditujukan untuk digunakan oleh pengguna Azure Red Hat OpenShift.
    • Registri ini menyediakan gambar platform host dan komponen kluster. Misalnya, memantau atau mencatat kontainer.
    • Koneksi ke registri ini terjadi melalui titik akhir privat (konektivitas internal antara layanan Azure).
    • Secara default, registri internal ini tidak tersedia di luar kluster.

• Private Link

  • Private Link memungkinkan konektivitas jaringan dari bidang manajemen ke dalam kluster. Ini digunakan oleh teknisi keandalan situs Microsoft dan Red Hat untuk membantu mengelola kluster Anda.

Kebijakan jaringan

• Ingress: Plug-in jaringan OVN-Kubernetes mendukung kebijakan jaringan ingress. Kebijakan jaringan diaktifkan secara default, dan pengguna memberlakukannya. Kebijakan jaringan ingress sesuai dengan V1 NetworkPolicy.

• Egress: OpenShift mendukung kebijakan jaringan egress melalui fitur firewall egress. Setiap namespace atau proyek hanya dapat memiliki satu kebijakan egress. Namespace "default" tidak mendukung kebijakan egress. Sistem mengevaluasi kebijakan keluar secara berurutan, dari pertama hingga terakhir.

Dasar-dasar jaringan di OpenShift

Azure Red Hat OpenShift menggunakan OVN-Kubernetes sebagai plugin jaringan kluster. OVN-Kubernetes menyediakan jaringan overlay dengan menggunakan terowongan Geneve dan mengimplementasikan spesifikasi Container Network Interface (CNI). OVN-Kubernetes memiliki penegakan Kebijakan Jaringan bawaan. Overlay mengelola komunikasi antar-pod, sehingga jaringan virtual Anda tidak memerlukan rute tambahan.

Jaringan untuk Azure Red Hat OpenShift

Fitur jaringan berikut ini khusus untuk Azure Red Hat OpenShift:

• Pengguna dapat membuat kluster Azure Red Hat OpenShift mereka di jaringan virtual yang ada atau membuat jaringan virtual baru saat membuat kluster mereka.
• CIDR Pod dan Service Network dapat dikonfigurasi.
• Node dan sarana kontrol berada di subnet yang berbeda.
• Node dan subnet jaringan virtual bidang kontrol harus berukuran minimal /27.
• CIDR Pod bawaan adalah 10.128.0.0/14.
• CIDR Layanan bawaan adalah 172.30.0.0/16.
• CIDR jaringan Pod dan Service tidak boleh tumpang tindih dengan rentang alamat lain yang digunakan pada jaringan Anda. Mereka tidak boleh berada dalam rentang alamat IP jaringan virtual kluster Anda.
• CIDR Pod harus berukuran setidaknya /18. (Jaringan pod adalah IP yang tidak dapat dialihkan, dan hanya digunakan di dalam jaringan overlay kluster.)
• Setiap simpul dialokasikan subnet /23 (512 IP) untuk pod-nya. Nilai ini tidak dapat diubah.
• Anda tidak dapat melampirkan pod ke beberapa jaringan.
• Untuk kluster privat yang menggunakan plugin jaringan OVN-Kubernetes, Anda dapat mengonfigurasi IP keluar. Untuk informasi selengkapnya, lihat mengonfigurasi alamat IP keluar.

Pengaturan jaringan

Pengaturan jaringan berikut tersedia untuk kluster Azure Red Hat OpenShift 4:

• Visibilitas API - Atur visibilitas API saat menjalankan perintah az aro create.
  • Publik - API Server dapat diakses oleh jaringan eksternal.
  • Privat - API Server diberikan IP privat dari subnet bidang kontrol, hanya dapat diakses menggunakan jaringan yang terkoneksi (jaringan virtual yang ter-peering dan subnet lain dalam kluster).
• Visibilitas Masuk - Atur visibilitas API saat menjalankan perintah az aro create.
  • Rute publik secara default mengarah ke Load Balancer Standar publik. (Default dapat diubah.)
  • Rute privat secara default ke pengimbang muatan internal. (Default dapat diubah.)

Grup keamanan jaringan

Grup keamanan jaringan dibuat di grup sumber daya node, yang dikunci bagi pengguna. Grup keamanan jaringan diterapkan langsung pada subnet, bukan pada NIC simpul. Kelompok keamanan jaringan tidak dapat diubah. Pengguna tidak memiliki izin untuk mengubahnya.

Dengan server API yang terlihat publik, Anda tidak dapat membuat grup keamanan jaringan dan menetapkannya ke NIC.

Pengalihan domain

Azure Red Hat OpenShift menggunakan CoreDNS sebagai penyedia DNS dalam kluster, dan Anda tidak dapat menggantinya. Anda dapat mengonfigurasi penerusan domain untuk mengarahkan kueri untuk domain tertentu ke server DNS Anda sendiri. Untuk informasi selengkapnya, lihat dokumentasi tentang menggunakan penerusan DNS.

Langkah selanjutnya

Untuk informasi selengkapnya tentang lalu lintas keluar dan dukungan Azure Red Hat OpenShift untuk lalu lintas tersebut, lihat dokumentasi kebijakan dukungan.