ネットワーク

手順

1. ovn.yaml ファイルを作成するには、次のコマンドを実行します。

   $ sudo cp /etc/microshift/ovn.yaml.default /etc/microshift/ovn.yaml

2. 作成した設定ファイルの内容を一覧表示するには、次のコマンドを実行します。

   $ cat /etc/microshift/ovn.yaml.default

   デフォルト値を含む yaml 設定ファイルの例

   ovsInit:
     disableOVSInit: false
     gatewayInterface: "" 1
   mtu: 1400

   1

   デフォルト値は、未指定を意味する空の文字列です。CNI ネットワークプラグインは、デフォルトの経路とのインターフェイスを自動検出します。

3. 設定をカスタマイズするには、使用できる有効な値を一覧表示した次の表を使用します。

   表1.1 サポート対象の Red Hat build of MicroShift の OVN-Kubernetes 設定 (任意)

   フィールド	型	デフォルト	説明	例
   ovsInit.disableOVSInit	bool	false	microshift-ovs-init.service における OVS ブリッジの br-ex 設定をスキップします	true [1]
   ovsInit.gatewayInterface	Alpha	eth0	API ゲートウェイである Ingress	eth0
   mtu	uint32	auto	Pod に使用される MTU 値	1300

   1. OVS ブリッジが必要です。disableOVSInit が true の場合は、OVS ブリッジ br-ex を手動で設定する必要があります。

      重要

      ovn.yaml ファイルの mtu 設定値を変更した場合に、更新された設定を適用するには、Red Hat build of MicroShift が実行しているホストを再起動する必要があります。

1. 次のコマンドを実行して、リモートクラスターにアクセスします。

   $ export KUBECONFIG=$PWD/kubeconfig

2. 次のコマンドを実行して、再起動する ovnkube-master Pod の名前を見つけます。

   $ pod=$(oc get pods -n openshift-ovn-kubernetes | awk -F " " '/ovnkube-master/{print $1}')

3. 次のコマンドを実行して、ovnkube-master Pod を削除します。

   $ oc -n openshift-ovn-kubernetes delete pod $pod

4. 次のコマンドを使用して、新しい ovnkube-master Pod が実行されていることを確認します。

   $ oc get pods -n openshift-ovn-kubernetes

   実行中の Pod のリストには、新しい ovnkube-master Pod の名前と経過時間が表示されます。

手順

1. 次のコマンドを実行して、この設定を /etc/systemd/system/rpm-ostreed.service.d/00-proxy.conf ファイルに追加します。

   Environment="http_proxy=http://$PROXY_USER:$PROXY_PASSWORD@$PROXY_SERVER:$PROXY_PORT/"

2. 次に、設定をリロードして、サービスを再起動して変更を適用します。

   1. 次のコマンドを実行して、設定をリロードします。

      $ sudo systemctl daemon-reload

   2. 次のコマンドを実行して、rpm-ostree サービスを再起動します。

      $ sudo systemctl restart rpm-ostreed.service

手順

1. 次の設定を /etc/systemd/system/crio.service.d/00-proxy.conf ファイルに追加します。

   Environment=NO_PROXY="localhost,127.0.0.1"
   Environment=HTTP_PROXY="http://$PROXY_USER:$PROXY_PASSWORD@$PROXY_SERVER:$PROXY_PORT/"
   Environment=HTTPS_PROXY="http://$PROXY_USER:$PROXY_PASSWORD@$PROXY_SERVER:$PROXY_PORT/"

2. 設定を再読み込みします。

   $ sudo systemctl daemon-reload

3. CRI-O サービスを再起動して設定を適用します。

   $ sudo systemctl restart crio

手順

1. 次のコマンドを実行して、Pod が実行していることを確認します。

   $ oc get pods -A

2. 次のコマンドを実行して、サンプルの名前空間を作成します。

   $ NAMESPACE=nginx-lb-test

   $ oc create ns $NAMESPACE

3. 次の例では、テスト nginx アプリケーションの 3 つのレプリカを名前空間にデプロイします。

   $ oc apply -n $NAMESPACE -f - <<EOF
   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: nginx
   data:
     headers.conf: |
       add_header X-Server-IP  \$server_addr always;
   ---
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: nginx
   spec:
     replicas: 3
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx
       spec:
         containers:
         - image: quay.io/packit/nginx-unprivileged
           imagePullPolicy: Always
           name: nginx
           ports:
           - containerPort: 8080
           volumeMounts:
           - name: nginx-configs
             subPath: headers.conf
             mountPath: /etc/nginx/conf.d/headers.conf
           securityContext:
             allowPrivilegeEscalation: false
             seccompProfile:
               type: RuntimeDefault
             capabilities:
               drop: ["ALL"]
             runAsNonRoot: true
         volumes:
           - name: nginx-configs
             configMap:
               name: nginx
               items:
                 - key: headers.conf
                   path: headers.conf
   EOF

4. 次のコマンドを実行すると、3 つのサンプルレプリカが正常に開始したことを確認できます。

   $ oc get pods -n $NAMESPACE

5. 次のサンプルコマンドを使用して、nginx テストアプリケーションの LoadBalancer サービスを作成します。

   $ oc create -n $NAMESPACE -f - <<EOF
   apiVersion: v1
   kind: Service
   metadata:
     name: nginx
   spec:
     ports:
     - port: 81
       targetPort: 8080
     selector:
       app: nginx
     type: LoadBalancer
   EOF

   注記

   port パラメーターが、他の LoadBalancer サービスまたは Red Hat build of MicroShift コンポーネントによって占有されていないホストポートであることを確認する必要があります。

6. サービスファイルが存在し、外部 IP アドレスが適切に割り当てられていること、および外部 IP がノード IP と同一であることを確認するには、次のコマンドを実行します。

   $ oc get svc -n $NAMESPACE

   出力例

   NAME    TYPE           CLUSTER-IP      EXTERNAL-IP     PORT(S)        AGE
   nginx   LoadBalancer   10.43.183.104   192.168.1.241   81:32434/TCP   2m

手順

1. 次のコマンドを実行して、NODEPORT 変数を Kubernetes NodePort サービスに割り当てられたホストポート番号に変更します。

   # export NODEPORT=30700

2. INTERFACE_IP 値を、ブロックするホストインターフェイスの IP アドレスに変更します。以下に例を示します。

   # export INTERFACE_IP=192.168.150.33

3. nat テーブル PREROUTING チェーンに新しいルールを挿入して、宛先ポートと IP アドレスに一致するすべてのパケットをドロップします。以下に例を示します。

   $ sudo nft -a insert rule ip nat PREROUTING tcp dport $NODEPORT ip daddr $INTERFACE_IP drop

4. 次のコマンドを実行して、新しいルールをリスト表示します。

   $ sudo nft -a list chain ip nat PREROUTING
   table ip nat {
   	chain PREROUTING { # handle 1
   		type nat hook prerouting priority dstnat; policy accept;
   		tcp dport 30700 ip daddr 192.168.150.33 drop # handle 134
   		counter packets 108 bytes 18074 jump OVN-KUBE-ETP # handle 116
   		counter packets 108 bytes 18074 jump OVN-KUBE-EXTERNALIP # handle 114
   		counter packets 108 bytes 18074 jump OVN-KUBE-NODEPORT # handle 112
   	}
   }

   注記

   新しく追加したルールの handle 番号をメモします。次の手順で handle 番号を削除する必要があります

5. 次のサンプルコマンドを使用してカスタムルールを削除します。

   $ sudo nft -a delete rule ip nat PREROUTING handle 134

手順

1. オプション：以下のコマンドを実行して、システムで firewalld を確認します。

   $ rpm -q firewalld

2. firewalld サービスがインストールされていない場合は、次のコマンドを実行します。

   $ sudo dnf install -y firewalld

3. ファイアウォールを開始するには、次のコマンドを実行します。

   $ sudo systemctl enable firewalld --now

手順

1. 次のコマンドのいずれかを使用して、IP アドレス範囲を設定します。

   1. 次のコマンドを実行して、IP アドレス範囲をデフォルト値で設定します。

      $ sudo firewall-offline-cmd --permanent --zone=trusted --add-source=10.42.0.0/16

   2. 次のコマンドを実行して、カスタム値を使用して IP アドレス範囲を設定します。

      $ sudo firewall-offline-cmd --permanent --zone=trusted --add-source=<custom IP range>

2. Pod からの内部トラフィックがネットワークゲートウェイを通過できるようにするには、次のコマンドを実行します。

   $ sudo firewall-offline-cmd --permanent --zone=trusted --add-source=169.254.169.1