24.12. IPsec 暗号化の設定

検証

1. OVN-Kubernetes データプレーン Pod の名前を見つけるには、次のコマンドを入力します。

   $ oc get pods -n openshift-ovn-kubernetes -l=app=ovnkube-node

   出力例

   ovnkube-node-5xqbf                       8/8     Running   0              28m
   ovnkube-node-6mwcx                       8/8     Running   0              29m
   ovnkube-node-ck5fr                       8/8     Running   0              31m
   ovnkube-node-fr4ld                       8/8     Running   0              26m
   ovnkube-node-wgs4l                       8/8     Running   0              33m
   ovnkube-node-zfvcl                       8/8     Running   0              34m

2. 次のコマンドを入力して、クラスターで IPsec が有効になっていることを確認します。コマンド出力には、ノードで IPsec が有効になっていることを示すために true が表示されるはずです。

   $ oc -n openshift-ovn-kubernetes rsh ovnkube-node-<pod_number_sequence> ovn-nbctl --no-leader-only get nb_global . ipsec 

   1

   1

   & lt;pod_number_sequence& gt; を直前の手順のデータプレーン Pod の文字 5xqbf のランダムなシーケンスに置き換えます。

手順

1. IPsec 暗号化を無効にするには、次のコマンドを入力します。

   $ oc patch networks.operator.openshift.io/cluster --type=json \
     -p='[{"op":"remove", "path":"/spec/defaultNetwork/ovnKubernetesConfig/ipsecConfig"}]'

2. クラスター内のノードに存在する OVN-Kubernetes データプレーン Pod の名前を見つけるには、次のコマンドを入力します。

   $ oc get pods -n openshift-ovn-kubernetes -l=app=ovnkube-node

   出力例

   ovnkube-node-5xqbf                       8/8     Running   0              28m
   ovnkube-node-6mwcx                       8/8     Running   0              29m
   ovnkube-node-ck5fr                       8/8     Running   0              31m
   ...

3. クラスター内のノードで IPsec が無効になっているかどうかを確認するには、次のコマンドを入力します。クラスター内に存在する各ノードに対してこのコマンドを入力してください。ノードで IPsec が無効になっていることを示すには、コマンド出力に false と 表示する必要があります。

   $ oc -n openshift-ovn-kubernetes rsh ovnkube-node-<pod_number_sequence> ovn-nbctl --no-leader-only get nb_global . ipsec 

   1

   1

   & lt;pod_number_sequence& gt; を直前の手順のデータプレーン Pod の文字 5xqbf のランダムなシーケンスに置き換えます。

4. ノードの openshift-ovn-kubernetes 名前空間から IPsec ovn-ipsec-host daemonset Pod を削除するには、次のコマンドを入力します。

   $ oc delete daemonset ovn-ipsec-host -n openshift-ovn-kubernetes 

   1

   1

   ovn-ipsec-host daemonset Pod は、ノード上の east-west トラフィックの IPsec 接続を設定します。

5. ノードの openshift-ovn-kubernetes 名前空間から IPsec ovn-ipsec-containerized daemonset Pod を削除するには、次のコマンドを入力します。

   $ oc delete daemonset ovn-ipsec-containerized -n openshift-ovn-kubernetes 

   1

   1

   ovn-ipsec-containerized daemonset Pod は、ノード上の east-west トラフィックの IPsec 接続を設定します。

6. 次のコマンドを入力して、ovn-ipsec-host および ovn-ipsec-containerized daemonset Pod がクラスター内のすべてのノードから削除されたことを確認します。コマンドの出力に Pod が一覧表示されない場合は、削除操作は成功します。

   $ oc get pods -n openshift-ovn-kubernetes -l=app=ovn-ipsec

   注記

   初期コマンドで Pod が削除されない可能性があるため、Pod に対して oc delete コマンドを再実行する必要がある場合があります。

7. オプション: IP パケットの IPsec ESP ヘッダーからのオーバーヘッドがなくなるため、クラスター MTU のサイズを 46 バイト増やすことができます。

1. ipsec-endpoint-config.conf という名前の IPsec 設定ファイルを作成します。この設定は次のステップで使用されます。詳細は、IPsec VPN 実装としての Libreswan を参照してください。

2. 次の証明書ファイルを提供して、各ホストのネットワークセキュリティーサービス (NSS) データベースに追加します。これらのファイルは、後続の手順で Butane 設定の一部としてインポートされます。

   • left_server.p12: IPsec エンドポイントの証明書バンドル
   • ca.pem: 証明書に署名した認証局

3. 次の 2 つの手順を使用して、クラスターに IPsec 設定を適用するマシン設定を作成します。

   1. IPsec 設定を追加するには、次の内容でコントロールプレーンとワーカーノードの Butane 設定ファイルを作成します。

      注記

      設定ファイルで指定する Butane のバージョン は、OpenShift Container Platform のバージョンと同じである必要があり、末尾は常に 0 です。たとえば、4.14.0 です。Butane の詳細は、「Butane を使用したマシン設定の作成」を参照してください。

      $ for role in master worker; do
        cat >> "99-ipsec-${role}-endpoint-config.bu" <<-EOF
        variant: openshift
        version: 4.14.0
        metadata:
          name: 99-${role}-import-certs-enable-svc-os-ext
          labels:
            machineconfiguration.openshift.io/role: $role
        openshift:
          extensions:
            - ipsec
        systemd:
          units:
          - name: ipsec-import.service
            enabled: true
            contents: |
              [Unit]
              Description=Import external certs into ipsec NSS
              Before=ipsec.service
      
              [Service]
              Type=oneshot
              ExecStart=/usr/local/bin/ipsec-addcert.sh
              RemainAfterExit=false
              StandardOutput=journal
      
              [Install]
              WantedBy=multi-user.target
          - name: ipsecenabler.service
            enabled: true
            contents: |
              [Service]
              Type=oneshot
              ExecStart=systemctl enable --now ipsec.service
      
              [Install]
              WantedBy=multi-user.target
        storage:
          files:
          - path: /etc/ipsec.d/ipsec-endpoint-config.conf
            mode: 0400
            overwrite: true
            contents:
              local: ipsec-endpoint-config.conf
          - path: /etc/pki/certs/ca.pem
            mode: 0400
            overwrite: true
            contents:
              local: ca.pem
          - path: /etc/pki/certs/left_server.p12
            mode: 0400
            overwrite: true
            contents:
              local: left_server.p12
          - path: /usr/local/bin/ipsec-addcert.sh
            mode: 0740
            overwrite: true
            contents:
              inline: |
                #!/bin/bash -e
                echo "importing cert to NSS"
                certutil -A -n "CA" -t "CT,C,C" -d /var/lib/ipsec/nss/ -i /etc/pki/certs/ca.pem
                pk12util -W "" -i /etc/pki/certs/left_server.p12 -d /var/lib/ipsec/nss/
                certutil -M -n "left_server" -t "u,u,u" -d /var/lib/ipsec/nss/
      EOF
      done

   2. 前の手順で作成した Butane ファイルをマシン設定に変換するには、次のコマンドを入力します。

      $ for role in master worker; do
        butane -d . 99-ipsec-${role}-endpoint-config.bu -o ./99-ipsec-$role-endpoint-config.yaml
      done

4. マシン設定をクラスターに適用するには、次のコマンドを入力します。

   $ for role in master worker; do
     oc apply -f 99-ipsec-${role}-endpoint-config.yaml
   done

   重要

   Machine Config Operator (MCO) は各マシン設定プール内のマシンを更新するときに、各ノードを 1 つずつ再起動します。外部 IPsec 接続が使用可能になる前に、すべてのノードが更新されるまで待つ必要があります。

5. 以下のコマンドを実行してマシン設定プールのステータスを確認します。

   $ oc get mcp

   正常に更新されたノードには、UPDATED=true、UPDATING=false、DEGRADED=false のステータスがあります。

   注記

   デフォルトで、MCO はプールごとに一度に 1 つのマシンを更新するため、移行にかかる合計時間がクラスターのサイズと共に増加します。