27.8. Configuration du trafic entrant dans le cluster à l'aide des plages de sources autorisées de l'équilibreur de charge
Vous pouvez spécifier une liste de plages d'adresses IP pour le serveur IngressController, ce qui limite l'accès au service d'équilibrage de charge lorsque le serveur endpointPublishingStrategy est LoadBalancerService.
27.8.1. Configuration des plages de sources autorisées de l'équilibreur de charge
Vous pouvez activer et configurer le champ spec.endpointPublishingStrategy.loadBalancer.allowedSourceRanges. En configurant les plages de sources autorisées de l'équilibreur de charge, vous pouvez limiter l'accès à l'équilibreur de charge pour le contrôleur d'entrée à une liste spécifiée de plages d'adresses IP. L'opérateur d'entrée rapproche le service d'équilibreur de charge et définit le champ spec.loadBalancerSourceRanges en fonction de AllowedSourceRanges.
Si vous avez déjà défini le champ spec.loadBalancerSourceRanges ou l'anotation du service d'équilibreur de charge service.beta.kubernetes.io/load-balancer-source-ranges dans une version précédente d'OpenShift Container Platform, Ingress Controller commence à signaler Progressing=True après une mise à niveau. Pour résoudre ce problème, définissez AllowedSourceRanges qui écrase le champ spec.loadBalancerSourceRanges et efface l'annotation service.beta.kubernetes.io/load-balancer-source-ranges. Ingress Controller recommence à signaler Progressing=False.
Conditions préalables
- Vous avez déployé un contrôleur d'ingestion sur un cluster en cours d'exécution.
Procédure
Définissez l'API des plages de sources autorisées pour le contrôleur d'entrée en exécutant la commande suivante :
$ oc -n openshift-ingress-operator patch ingresscontroller/default \ --type=merge --patch='{"spec":{"endpointPublishingStrategy": \ {"loadBalancer":{"allowedSourceRanges":["0.0.0.0/0"]}}}}' 1- 1
- La valeur de l'exemple
0.0.0.0/0spécifie la plage de sources autorisée.
27.8.2. Migration vers des plages de sources autorisées par l'équilibreur de charge
Si vous avez déjà défini l'annotation service.beta.kubernetes.io/load-balancer-source-ranges, vous pouvez migrer vers les plages de sources autorisées de l'équilibreur de charge. Lorsque vous définissez l'annotation AllowedSourceRanges, le contrôleur d'entrée définit le champ spec.loadBalancerSourceRanges en fonction de la valeur AllowedSourceRanges et désactive l'annotation service.beta.kubernetes.io/load-balancer-source-ranges.
Si vous avez déjà défini le champ spec.loadBalancerSourceRanges ou l'anotation du service d'équilibreur de charge service.beta.kubernetes.io/load-balancer-source-ranges dans une version précédente d'OpenShift Container Platform, le contrôleur d'ingestion commence à signaler Progressing=True après une mise à niveau. Pour remédier à ce problème, définissez AllowedSourceRanges qui écrase le champ spec.loadBalancerSourceRanges et efface l'annotation service.beta.kubernetes.io/load-balancer-source-ranges. Le contrôleur d'ingestion recommence à signaler Progressing=False.
Conditions préalables
-
Vous avez défini l'annotation
service.beta.kubernetes.io/load-balancer-source-ranges.
Procédure
Assurez-vous que l'adresse
service.beta.kubernetes.io/load-balancer-source-rangesest réglée :$ oc get svc router-default -n openshift-ingress -o yaml
Exemple de sortie
apiVersion: v1 kind: Service metadata: annotations: service.beta.kubernetes.io/load-balancer-source-ranges: 192.168.0.1/32Assurez-vous que le champ
spec.loadBalancerSourceRangesest désactivé :$ oc get svc router-default -n openshift-ingress -o yaml
Exemple de sortie
... spec: loadBalancerSourceRanges: - 0.0.0.0/0 ...
- Mettez à jour votre cluster vers OpenShift Container Platform 4.12.
Définissez les plages de sources API autorisées pour le site
ingresscontrolleren exécutant la commande suivante :$ oc -n openshift-ingress-operator patch ingresscontroller/default \ --type=merge --patch='{"spec":{"endpointPublishingStrategy": \ {"loadBalancer":{"allowedSourceRanges":["0.0.0.0/0"]}}}}' 1- 1
- La valeur de l'exemple
0.0.0.0/0spécifie la plage de sources autorisée.
