9.6. IPsec 暗号化の設定

手順

1. IPsec 暗号化を有効にするには、次のコマンドを入力します。

   $ oc patch networks.operator.openshift.io cluster --type=merge \
   -p '{
     "spec":{
       "defaultNetwork":{
         "ovnKubernetesConfig":{
           "ipsecConfig":{
             "mode":<mode>
           }}}}}'

   ここでは、以下のようになります。

   mode

   外部ホストへのトラフィックのみを暗号化するには External を指定します。Pod 間のトラフィックを暗号化し、必要に応じて外部ホストへのトラフィックを暗号化するには Full を指定します。デフォルトでは、IPsec は無効になっています。

2. オプション: 外部ホストへのトラフィックを暗号化する必要がある場合は、「外部トラフィックの IPsec 暗号化の設定」の手順を実行します。

検証

1. OVN-Kubernetes データプレーン Pod の名前を見つけるには、次のコマンドを入力します。

   $ oc get pods -n openshift-ovn-kubernetes -l=app=ovnkube-node

   出力例

   ovnkube-node-5xqbf                       8/8     Running   0              28m
   ovnkube-node-6mwcx                       8/8     Running   0              29m
   ovnkube-node-ck5fr                       8/8     Running   0              31m
   ovnkube-node-fr4ld                       8/8     Running   0              26m
   ovnkube-node-wgs4l                       8/8     Running   0              33m
   ovnkube-node-zfvcl                       8/8     Running   0              34m

2. 次のコマンドを実行して、クラスターで IPsec が有効になっていることを確認します。

   注記

   クラスター管理者は、IPsec が Full モードで設定されている場合に、クラスター上の Pod 間で IPsec が有効になっていることを確認できます。この手順では、クラスターと外部ホストの間で IPsec が機能しているかどうかは検証されません。

   $ oc -n openshift-ovn-kubernetes rsh ovnkube-node-<XXXXX> ovn-nbctl --no-leader-only get nb_global . ipsec

   ここでは、以下のようになります。

   <XXXXX>

   前の手順の Pod の文字のランダムなシーケンスを指定します。

   出力例

   true