ホーム
製品
OpenShift Container Platform
4.9
ネットワーク
15.3. プロジェクトの egress ファイアウォールの設定

15.3. プロジェクトの egress ファイアウォールの設定

クラスター管理者は、OpenShift Container Platform クラスター外に出るプロジェクトのプロジェクについて、egress トラフィックを制限する egress ファイアウォールを作成できます。

15.3.1. egress ファイアウォールのプロジェクトでの機能
リンクのコピー

クラスター管理者は、 egress ファイアウォール を使用して、一部またはすべての Pod がクラスター内からアクセスできる外部ホストを制限できます。egress ファイアウォールポリシーは以下のシナリオをサポートします。

Pod の接続を内部ホストに制限し、パブリックインターネットへの接続を開始できないようにする。
Pod の接続をパブリックインターネットに制限し、OpenShift Container Platform クラスター外にある内部ホストへの接続を開始できないようにする。
Pod は OpenShift Container Platform クラスター外の指定された内部サブネットまたはホストにアクセスできません。
Pod は特定の外部ホストにのみ接続することができます。

たとえば、指定された IP 範囲へのあるプロジェクトへのアクセスを許可する一方で、別のプロジェクトへの同じアクセスを拒否することができます。または、アプリケーション開発者の (Python) pip mirror からの更新を制限したり、更新を承認されたソースからの更新のみに強制的に制限したりすることができます。

注記

Egress ファイアウォールは、ホストネットワークの namespace には適用されません。ホストネットワークが有効になっている Pod は、Egress ファイアウォールルールの影響を受けません。

EgressNetworkPolicy カスタムリソース (CR) オブジェクトを作成して egress ファイアウォールポリシーを設定します。egress ファイアウォールは、以下のいずれかの基準を満たすネットワークトラフィックと一致します。

CIDR 形式の IP アドレス範囲。
IP アドレスに解決する DNS 名

重要

egress ファイアウォールに 0.0.0.0/0 の拒否ルールが含まれる場合、OpenShift Container Platform API サーバーへのアクセスはブロックされます。Pod が OpenShift Container Platform API サーバーへのアクセスを継続できるようにするには、以下の例にあるように API サーバーが egress ファイアウォールルールでリッスンする IP アドレス範囲を含める必要があります。

apiVersion: network.openshift.io/v1
kind: EgressNetworkPolicy
metadata:
  name: default
  namespace: <namespace> 
spec:
  egress:
  - to:
      cidrSelector: <api_server_address_range> 
    type: Allow
# ...
  - to:
      cidrSelector: 0.0.0.0/0 
    type: Deny

apiVersion: network.openshift.io/v1
kind: EgressNetworkPolicy
metadata:
  name: default
  namespace: <namespace>


spec:
  egress:
  - to:
      cidrSelector: <api_server_address_range>


    type: Allow
# ...
  - to:
      cidrSelector: 0.0.0.0/0


    type: Deny

Copy to Clipboard

Toggle word wrap

1: egress ファイアウォールの namespace。
2: OpenShift Container Platform API サーバーを含む IP アドレス範囲。
3: グローバル拒否ルールにより、OpenShift Container Platform API サーバーへのアクセスが阻止されます。

API サーバーの IP アドレスを見つけるには、oc get ep kubernetes -n default を実行します。

詳細は、BZ#1988324 を参照してください。

重要

egress ファイアウォールを設定するには、ネットワークポリシーまたはマルチテナントモードのいずれかを使用するように OpenShift SDN を設定する必要があります。

ネットワークポリシーモードを使用している場合、egress ファイアウォールは namespace ごとに 1 つのポリシーとのみ互換性を持ち、グローバルプロジェクトなどのネットワークを共有するプロジェクトでは機能しません。

警告

egress ファイアウォールルールは、ルーターを通過するトラフィックには適用されません。ルート CR オブジェクトを作成するパーミッションを持つユーザーは、禁止されている宛先を参照するルートを作成することにより、egress ファイアウォールポリシールールをバイパスできます。

15.3.1.1. egress ファイアウォールの制限
リンクのコピー

egress ファイアウォールには以下の制限があります。

いずれのプロジェクトも複数の EgressNetworkPolicy オブジェクトを持つことができません。
最大 1,000 のルールを持つ最大 1 つの EgressNetworkPolicy オブジェクトはプロジェクトごとに定義できます。
default プロジェクトは egress ファイアウォールを使用できません。
マルチテナントモードで OpenShift SDN デフォルト Container Network Interface (CNI) ネットワークプロバイダーを使用する場合、以下の制限が適用されます。
- グローバルプロジェクトは egress ファイアウォールを使用できません。oc adm pod-network make-projects-global コマンドを使用して、プロジェクトをグローバルにすることができます。
- oc adm pod-network join-projects コマンドを使用してマージされるプロジェクトでは、結合されたプロジェクトのいずれでも egress ファイアウォールを使用することはできません。

上記の制限のいずれかに違反すると、プロジェクトの egress ファイアウォールに障害が発生し、すべての外部ネットワークトラフィックがドロップされる可能性があります。

egress ファイアウォールリソースは、kube-node-lease、kube-public、kube-system、openshift、openshift- プロジェクトで作成できます。

15.3.1.2. egress ポリシールールのマッチング順序
リンクのコピー

egress ファイアウォールポリシールールは、最初から最後へと定義された順序で評価されます。Pod からの egress 接続に一致する最初のルールが適用されます。この接続では、後続のルールは無視されます。

15.3.1.3. DNS (Domain Name Server) 解決の仕組み
リンクのコピー

egress ファイアウォールポリシールールのいずれかで DNS 名を使用する場合、ドメイン名の適切な解決には、以下の制限が適用されます。

ドメイン名の更新は、TTL (Time-to-live) 期間に基づいてポーリングされます。デフォルトの期間は 30 秒です。egress ファイアウォールコントローラーがローカルネームサーバーでドメイン名をクエリーする場合に、応答に 30 秒未満の TTL が含まれる場合は、コントローラーはその期間を返される値に設定します。応答の TTL が 30 分を超える場合、コントローラーは期間を 30 分に設定します。TTL が 30 秒から 30 分の間に設定される場合、コントローラーは値を無視し、期間を 30 秒に設定します。
Pod は、必要に応じて同じローカルネームサーバーからドメインを解決する必要があります。そうしない場合、egress ファイアウォールコントローラーと Pod によって認識されるドメインの IP アドレスが異なる可能性があります。ホスト名の IP アドレスが異なる場合、egress ファイアウォールは一貫して実行されないことがあります。
egress ファイアウォールコントローラーおよび Pod は同じローカルネームサーバーを非同期にポーリングするため、Pod は egress コントローラーが実行する前に更新された IP アドレスを取得する可能性があります。これにより、競合状態が生じます。この現時点の制限により、EgressNetworkPolicy オブジェクトのドメイン名の使用は、IP アドレスの変更が頻繁に生じないドメインの場合にのみ推奨されます。

注記

egress ファイアウォールは、DNS 解決用に Pod が置かれるノードの外部インターフェイスに Pod が常にアクセスできるようにします。

ドメイン名を egress ファイアウォールで使用し、DNS 解決がローカルノード上の DNS サーバーによって処理されない場合は、Pod でドメイン名を使用している場合には DNS サーバーの IP アドレスへのアクセスを許可する egress ファイアウォールを追加する必要があります。

15.3.2. EgressNetworkPolicy カスタムリソース (CR) オブジェクト
リンクのコピー

egress ファイアウォールのルールを 1 つ以上定義できます。ルールは、ルールが適用されるトラフィックを指定して Allow ルールまたは Deny ルールのいずれかになります。

以下の YAML は EgressNetworkPolicy CR オブジェクトについて説明しています。

EgressNetworkPolicy オブジェクト

apiVersion: network.openshift.io/v1
kind: EgressNetworkPolicy
metadata:
  name: <name> 
spec:
  egress: 
    ...

apiVersion: network.openshift.io/v1
kind: EgressNetworkPolicy
metadata:
  name: <name>


spec:
  egress:

...

Copy to Clipboard

Toggle word wrap

1: egress ファイアウォールポリシーの名前。
2: 以下のセクションで説明されているように、egress ネットワークポリシールールのコレクション。

15.3.2.1. EgressNetworkPolicy ルール
リンクのコピー

以下の YAML は egress ファイアウォールルールオブジェクトについて説明しています。egress スタンザは、単一または複数のオブジェクトの配列を予想します。

Egress ポリシールールのスタンザ

egress:
- type: <type> 
  to: 
    cidrSelector: <cidr> 
    dnsName: <dns_name>

egress:
- type: <type>

to:


    cidrSelector: <cidr>


    dnsName: <dns_name>

Copy to Clipboard

Toggle word wrap

1: ルールのタイプ。値には Allow または Deny のいずれかを指定する必要があります。
2: egress トラフィックのマッチングルールを記述するスタンザ。ルールの cidrSelector フィールドまたは dnsName フィールドのいずれかの値。同じルールで両方のフィールドを使用することはできません。
3: CIDR 形式の IP アドレス範囲。
4: ドメイン名。

15.3.2.2. EgressNetworkPolicy CR オブジェクトの例
リンクのコピー

以下の例では、複数の egress ファイアウォールポリシールールを定義します。

apiVersion: network.openshift.io/v1
kind: EgressNetworkPolicy
metadata:
  name: default
spec:
  egress: 
  - type: Allow
    to:
      cidrSelector: 1.2.3.0/24
  - type: Allow
    to:
      dnsName: www.example.com
  - type: Deny
    to:
      cidrSelector: 0.0.0.0/0

apiVersion: network.openshift.io/v1
kind: EgressNetworkPolicy
metadata:
  name: default
spec:
  egress:


  - type: Allow
    to:
      cidrSelector: 1.2.3.0/24
  - type: Allow
    to:
      dnsName: www.example.com
  - type: Deny
    to:
      cidrSelector: 0.0.0.0/0

Copy to Clipboard

Toggle word wrap

1: egress ファイアウォールポリシールールオブジェクトのコレクション。

15.3.3. egress ファイアウォールポリシーオブジェクトの作成
リンクのコピー

クラスター管理者は、プロジェクトの egress ファイアウォールポリシーオブジェクトを作成できます。

重要

プロジェクトに EgressNetworkPolicy オブジェクトがすでに定義されている場合、既存のポリシーを編集して egress ファイアウォールルールを変更する必要があります。

前提条件

OpenShift SDN デフォルト Container Network Interface (CNI) ネットワークプロバイダープラグインを使用するクラスター。
OpenShift CLI (oc) がインストールされている。
クラスター管理者としてクラスターにログインする必要があります。

手順

ポリシールールを作成します。
1. <policy_name>.yaml ファイルを作成します。この場合、<policy_name> は egress ポリシールールを記述します。
2. 作成したファイルで、egress ポリシーオブジェクトを定義します。
以下のコマンドを入力してポリシーオブジェクトを作成します。<policy_name> をポリシーの名前に、 <project> をルールが適用されるプロジェクトに置き換えます。
```
oc create -f <policy_name>.yaml -n <project>
```
```
$ oc create -f <policy_name>.yaml -n <project>
```
Copy to Clipboard Toggle word wrap
以下の例では、新規の EgressNetworkPolicy オブジェクトが project1 という名前のプロジェクトに作成されます。
```
oc create -f default.yaml -n project1
```
```
$ oc create -f default.yaml -n project1
```
Copy to Clipboard Toggle word wrap
出力例
```
egressnetworkpolicy.network.openshift.io/v1 created
```
```
egressnetworkpolicy.network.openshift.io/v1 created
```
Copy to Clipboard Toggle word wrap
オプション: 後に変更できるように <policy_name>.yaml ファイルを保存します。

トップに戻る

15.3. プロジェクトの egress ファイアウォールの設定

15.3.1. egress ファイアウォールのプロジェクトでの機能
リンクのコピー

15.3.1.1. egress ファイアウォールの制限
リンクのコピー

15.3.1.2. egress ポリシールールのマッチング順序
リンクのコピー

15.3.1.3. DNS (Domain Name Server) 解決の仕組み
リンクのコピー

15.3.2. EgressNetworkPolicy カスタムリソース (CR) オブジェクト
リンクのコピー

15.3.2.1. EgressNetworkPolicy ルール
リンクのコピー

15.3.2.2. EgressNetworkPolicy CR オブジェクトの例
リンクのコピー

15.3.3. egress ファイアウォールポリシーオブジェクトの作成
リンクのコピー

詳細情報

試用、購入および販売

コミュニティー

Red Hat ドキュメントについて

多様性を受け入れるオープンソースの強化

会社概要

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links

15.3. プロジェクトの egress ファイアウォールの設定

15.3.1. egress ファイアウォールのプロジェクトでの機能リンクのコピーリンクがクリップボードにコピーされました!

15.3.1.1. egress ファイアウォールの制限リンクのコピーリンクがクリップボードにコピーされました!

15.3.1.2. egress ポリシールールのマッチング順序リンクのコピーリンクがクリップボードにコピーされました!

15.3.1.3. DNS (Domain Name Server) 解決の仕組みリンクのコピーリンクがクリップボードにコピーされました!

15.3.2. EgressNetworkPolicy カスタムリソース (CR) オブジェクトリンクのコピーリンクがクリップボードにコピーされました!

15.3.2.1. EgressNetworkPolicy ルールリンクのコピーリンクがクリップボードにコピーされました!

15.3.2.2. EgressNetworkPolicy CR オブジェクトの例リンクのコピーリンクがクリップボードにコピーされました!

15.3.3. egress ファイアウォールポリシーオブジェクトの作成リンクのコピーリンクがクリップボードにコピーされました!

詳細情報

試用、購入および販売

コミュニティー

Red Hat ドキュメントについて

多様性を受け入れるオープンソースの強化

会社概要

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links

15.3.1. egress ファイアウォールのプロジェクトでの機能
リンクのコピー

15.3.1.1. egress ファイアウォールの制限
リンクのコピー

15.3.1.2. egress ポリシールールのマッチング順序
リンクのコピー

15.3.1.3. DNS (Domain Name Server) 解決の仕組み
リンクのコピー

15.3.2. EgressNetworkPolicy カスタムリソース (CR) オブジェクト
リンクのコピー

15.3.2.1. EgressNetworkPolicy ルール
リンクのコピー

15.3.2.2. EgressNetworkPolicy CR オブジェクトの例
リンクのコピー

15.3.3. egress ファイアウォールポリシーオブジェクトの作成
リンクのコピー