6.6. IPsec 暗号化の有効化

手順

1. IPsec 暗号化を有効にするには、次のコマンドを入力します。

   $ oc patch networks.operator.openshift.io cluster --type=merge -p \
     '{
     "spec":{
       "defaultNetwork":{
         "ovnKubernetesConfig":{
           "ipsecConfig":{
             "mode":"<mode"> 

   1

   
           }}}}}'

   Copy to Clipboard Toggle word wrap

   1

   外部ホストへのトラフィックを暗号化するには External を指定します。Pod 間のトラフィックを暗号化し、必要に応じて外部ホストへのトラフィックを暗号化するには Full を指定します。デフォルトでは、IPsec は無効になっています。

   IPsec が Full モードで有効化され、encapsulation が Always に設定されている場合の設定例

   $ oc patch networks.operator.openshift.io cluster --type=merge -p \
     '{
     "spec":{
       "defaultNetwork":{
         "ovnKubernetesConfig":{
           "ipsecConfig":{
             "mode":"Full",
             "full":{
               "encapsulation": "Always"
             }}}}}}'

   Copy to Clipboard Toggle word wrap

2. 「外部トラフィックの IPsec 暗号化の設定」手順を完了して、IPsec を使用して外部トラフィックを暗号化します。

検証

1. OVN-Kubernetes データプレーン Pod の名前を見つけるには、次のコマンドを入力します。

   $ oc get pods -n openshift-ovn-kubernetes -l=app=ovnkube-node

   Copy to Clipboard Toggle word wrap

   出力例

   ovnkube-node-5xqbf                       8/8     Running   0              28m
   ovnkube-node-6mwcx                       8/8     Running   0              29m
   ovnkube-node-ck5fr                       8/8     Running   0              31m
   ovnkube-node-fr4ld                       8/8     Running   0              26m
   ovnkube-node-wgs4l                       8/8     Running   0              33m
   ovnkube-node-zfvcl                       8/8     Running   0              34m
   ...

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、クラスターで IPsec が有効になっていることを確認します。

   注記

   クラスター管理者は、IPsec を Full モードで設定した際に、クラスター上の Pod 間で IPsec を有効化したことを確認できます。この手順では、クラスターと外部ホストの間で IPsec が機能しているかどうかは検証されません。

   $ oc -n openshift-ovn-kubernetes rsh ovnkube-node-<XXXXX> ovn-nbctl --no-leader-only get nb_global . ipsec 

   1

   Copy to Clipboard Toggle word wrap

   ここで、<XXXXX> は、前のステップの Pod のランダムな文字シーケンスを指定します。

   コマンドからの正常な出力には、ステータスが true と表示されます。