ネットワーク

1. 設定されていない場合、デフォルト値はサービスネットワークのすぐ後のサブネットに設定されます。たとえば、サービスネットワークが 10.43.0.0/16 の場合、advertiseAddress は、10.44.0.0/32 に設定されます。
2. マルチキャスト DNS プロトコル (mDNS) を使用することで、5353/UDP ポートで公開されているマルチキャストを使用した、ローカルエリアネットワーク (LAN) 内で名前解決とサービス検出が可能になります。
3. MicroShift には、Egress トラフィックをプロキシーする、埋め込みの透過的機能はありません。Egress は手動で設定する必要があります。
4. firewalld サービスのセットアップは、RHEL for Edge でサポートされています。
5. IPv6 はどの設定でも使用できません。

手順

1. ovn.yaml ファイルを作成するには、次のコマンドを実行します。

   $ sudo cp /etc/microshift/ovn.yaml.default /etc/microshift/ovn.yaml

2. 作成した設定ファイルの内容を一覧表示するには、次のコマンドを実行します。

   $ cat /etc/microshift/ovn.yaml.default

   デフォルトの最大伝送単位 (MTU) 値を含む YAML ファイルの例

   mtu: 1400

3. 設定をカスタマイズするには、MTU 値を変更します。以下の表で詳細を記載します。

   表2.1 サポート対象の MicroShift の OVN-Kubernetes 設定 (任意)

   フィールド	タイプ	デフォルト	説明	例
   mtu	uint32	auto	Pod に使用される MTU 値	1300

   重要

   ovn.yaml ファイルの mtu 設定値を変更した場合に、更新された設定を適用するには、Red Hat build of MicroShift が実行しているホストを再起動する必要があります。

   カスタム ovn.yaml 設定ファイルの例

   mtu: 1300

1. 次のコマンドを実行して、リモートクラスターにアクセスします。

   $ export KUBECONFIG=$PWD/kubeconfig

2. 次のコマンドを実行して、再起動する ovnkube-master Pod の名前を見つけます。

   $ pod=$(oc get pods -n openshift-ovn-kubernetes | awk -F " " '/ovnkube-master/{print $1}')

3. 次のコマンドを実行して、ovnkube-master Pod を削除します。

   $ oc -n openshift-ovn-kubernetes delete pod $pod

4. 次のコマンドを使用して、新しい ovnkube-master Pod が実行されていることを確認します。

   $ oc get pods -n openshift-ovn-kubernetes

   実行中の Pod のリストには、新しい ovnkube-master Pod の名前と経過時間が表示されます。

手順

1. 次の設定を /etc/systemd/system/rpm-ostreed.service.d/00-proxy.conf ファイルに追加します。

   [Service]
   Environment="http_proxy=http://$PROXY_USER:$PROXY_PASSWORD@$PROXY_SERVER:$PROXY_PORT/"

2. 次に、設定をリロードして、サービスを再起動して変更を適用します。

   1. 次のコマンドを実行して、設定をリロードします。

      $ sudo systemctl daemon-reload

   2. 次のコマンドを実行して、rpm-ostreed サービスを再起動します。

      $ sudo systemctl restart rpm-ostreed.service

手順

1. 設定ファイル用のディレクトリーが存在しない場合は、作成します。

   $ sudo mkdir /etc/systemd/system/crio.service.d/

2. 次の設定を /etc/systemd/system/crio.service.d/00-proxy.conf ファイルに追加します。

   [Service]
   Environment=NO_PROXY="localhost,127.0.0.1"
   Environment=HTTP_PROXY="http://$PROXY_USER:$PROXY_PASSWORD@$PROXY_SERVER:$PROXY_PORT/"
   Environment=HTTPS_PROXY="http://$PROXY_USER:$PROXY_PASSWORD@$PROXY_SERVER:$PROXY_PORT/"

   重要

   環境変数の設定ファイルの Service セクションを定義する必要があります。定義しないと、プロキシー設定が適用されません。

3. 設定を再読み込みします。

   $ sudo systemctl daemon-reload

4. CRI-O サービスを再起動します。

   $ sudo systemctl restart crio

5. MicroShift サービスを再起動して設定を適用します。

   $ sudo systemctl restart microshift

検証

1. 次のコマンドを実行し、出力を調べて、Pod が起動していることを確認します。

   $ oc get all -A

2. 次のコマンドを実行し、出力を調べて、MicroShift がコンテナーイメージをプルできることを確認します。

   $ sudo crictl images

手順

1. 次のコマンドを実行して、Pod が実行していることを確認します。

   $ oc get pods -A

2. 次のコマンドを実行して、サンプルの namespace を作成します。

   $ NAMESPACE=nginx-lb-test

   $ oc create ns $NAMESPACE

3. 次の例では、テスト nginx アプリケーションの 3 つのレプリカを namespace にデプロイします。

   $ oc apply -n $NAMESPACE -f - <<EOF
   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: nginx
   data:
     headers.conf: |
       add_header X-Server-IP  \$server_addr always;
   ---
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: nginx
   spec:
     replicas: 3
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx
       spec:
         containers:
         - image: quay.io/packit/nginx-unprivileged
           imagePullPolicy: Always
           name: nginx
           ports:
           - containerPort: 8080
           volumeMounts:
           - name: nginx-configs
             subPath: headers.conf
             mountPath: /etc/nginx/conf.d/headers.conf
           securityContext:
             allowPrivilegeEscalation: false
             seccompProfile:
               type: RuntimeDefault
             capabilities:
               drop: ["ALL"]
             runAsNonRoot: true
         volumes:
           - name: nginx-configs
             configMap:
               name: nginx
               items:
                 - key: headers.conf
                   path: headers.conf
   EOF

4. 次のコマンドを実行すると、3 つのサンプルレプリカが正常に開始したことを確認できます。

   $ oc get pods -n $NAMESPACE

5. 次のサンプルコマンドを使用して、nginx テストアプリケーションの LoadBalancer サービスを作成します。

   $ oc create -n $NAMESPACE -f - <<EOF
   apiVersion: v1
   kind: Service
   metadata:
     name: nginx
   spec:
     ports:
     - port: 81
       targetPort: 8080
     selector:
       app: nginx
     type: LoadBalancer
   EOF

   注記

   port パラメーターが、他の LoadBalancer サービスまたは Red Hat build of MicroShift コンポーネントによって占有されていないホストポートであることを確認する必要があります。

6. サービスファイルが存在し、外部 IP アドレスが適切に割り当てられていること、および外部 IP がノード IP と同一であることを確認するには、次のコマンドを実行します。

   $ oc get svc -n $NAMESPACE

   出力例

   NAME    TYPE           CLUSTER-IP      EXTERNAL-IP     PORT(S)        AGE
   nginx   LoadBalancer   10.43.183.104   192.168.1.241   81:32434/TCP   2m

手順

1. 次のコマンドを実行して、NODEPORT 変数を Kubernetes NodePort サービスに割り当てられたホストポート番号に変更します。

   # export NODEPORT=30700

2. INTERFACE_IP 値を、ブロックするホストインターフェイスの IP アドレスに変更します。以下に例を示します。

   # export INTERFACE_IP=192.168.150.33

3. nat テーブル PREROUTING チェーンに新しいルールを挿入して、宛先ポートと IP アドレスに一致するすべてのパケットをドロップします。以下に例を示します。

   $ sudo nft -a insert rule ip nat PREROUTING tcp dport $NODEPORT ip daddr $INTERFACE_IP drop

4. 次のコマンドを実行して、新しいルールをリスト表示します。

   $ sudo nft -a list chain ip nat PREROUTING
   table ip nat {
   	chain PREROUTING { # handle 1
   		type nat hook prerouting priority dstnat; policy accept;
   		tcp dport 30700 ip daddr 192.168.150.33 drop # handle 134
   		counter packets 108 bytes 18074 jump OVN-KUBE-ETP # handle 116
   		counter packets 108 bytes 18074 jump OVN-KUBE-EXTERNALIP # handle 114
   		counter packets 108 bytes 18074 jump OVN-KUBE-NODEPORT # handle 112
   	}
   }

   注記

   新しく追加したルールの handle 番号をメモします。次の手順で handle 番号を削除する必要があります

5. 次のサンプルコマンドを使用してカスタムルールを削除します。

   $ sudo nft -a delete rule ip nat PREROUTING handle 134

手順

1. オプション: 以下のコマンドを実行して、システムで firewalld があるかを確認します。

   $ rpm -q firewalld

2. firewalld サービスがインストールされていない場合は、次のコマンドを実行します。

   $ sudo dnf install -y firewalld

3. ファイアウォールを開始するには、次のコマンドを実行します。

   $ sudo systemctl enable firewalld --now

手順

1. オプション: 次のコマンドを実行すると、firewalld 内のすべての事前定義サービスを表示できます。

   $ sudo firewall-cmd --get-services

2. デフォルトのポートで必要なサービスを開くには、次のコマンド例を実行します。

   $ sudo firewall-cmd --add-service=mdns

手順

1. 次のコマンドのいずれかを使用して、IP アドレス範囲を設定します。

   1. 次のコマンドを実行して、IP アドレス範囲をデフォルト値で設定します。

      $ sudo firewall-offline-cmd --permanent --zone=trusted --add-source=10.42.0.0/16

   2. 次のコマンドを実行して、カスタム値を使用して IP アドレス範囲を設定します。

      $ sudo firewall-offline-cmd --permanent --zone=trusted --add-source=<custom IP range>

2. Pod からの内部トラフィックがネットワークゲートウェイを通過できるようにするには、次のコマンドを実行します。

   $ sudo firewall-offline-cmd --permanent --zone=trusted --add-source=169.254.169.1

手順

1. 次のコマンドを実行して、MicroShift サービスを停止します。

   $ sudo systemctl stop microshift

2. 次のコマンドを実行して、kubepods.slice systemd ユニットを停止します。

   $ sudo systemctl stop kubepods.slice

3. MicroShift は、OVN-K によって加えられたネットワークの変更を元に戻すためのヘルパースクリプトをインストールします。次のコマンドを入力して、クリーンアップスクリプトを実行します。

   $ sudo /usr/bin/microshift-cleanup-data --ovn

手順

1. 次のコマンドを実行して、偽の IP アドレスをループバックインターフェイスに追加します。

   $ IP="10.44.0.1" 1
   $ sudo nmcli con add type loopback con-name stable-microshift ifname lo ip4 ${IP}/32

   1

   この例で使用される偽の IP アドレスは “10.44.0.1” です。

   注記

   MicroShift の内部 IP の競合と今後使用される外部 IP の潜在的な競合の両方を回避できるのであれば、有効な IP はどれでも使用できます。たとえば、MicroShift ノードのサブネットと衝突しない、またはデバイス上の他のサービスによってアクセスされる任意のサブネットを使用することができます。

2. 自動 DNS を無視し、ローカルネームサーバーにリセットするように設定を変更して、ローカルネームサーバーを使用するように DNS インターフェイスを設定します。

   1. 次のコマンドを実行して自動 DNS をバイパスします。

      $ sudo nmcli conn modify stable-microshift ipv4.ignore-auto-dns yes

   2. DNS インターフェイスがローカルネームサーバーを使用するように指示します。

      $ sudo nmcli conn modify stable-microshift ipv4.dns "10.44.1.1"

3. 次のコマンドを実行して、デバイスのホスト名を取得します。

   $ NAME="$(hostnamectl hostname)"

4. 次のコマンドを実行して、/etc/hosts ファイルにノードのホスト名のエントリーを追加します。

   $ echo "$IP $NAME" | sudo tee -a /etc/hosts >/dev/null

5. 次の YAML スニペットを /etc/microshift/config.yaml に追加して、MicroShift 設定ファイルを更新します。

   sudo tee /etc/microshift/config.yaml > /dev/null <<EOF
   node:
     hostnameOverride: $(echo $NAME)
     nodeIP: $(echo $IP)
   EOF

6. これで、MicroShift はクラスター通信にループバックデバイスを使用できるようになりました。オフラインで使用するためのデバイスの準備を完了します。

   1. 現在デバイスに NIC がアタッチされている場合は、デバイスをネットワークから切断します。
   2. デバイスをシャットダウンし、NIC を切断します。
   3. オフライン設定を有効にするには、デバイスを再起動します。

7. 次のコマンドを実行して、MicroShift ホストを再起動し、設定の変更を適用します。

   $ sudo systemctl reboot 1

   1

   この手順によりクラスターが再起動されます。検証を実装する前に、Greenboot ヘルスチェックによってシステムが正常であると報告されるまで待ちます。

1. 次のコマンドを入力して、MicroShift クラスターが実行されていることを確認します。

   $ export KUBECONFIG=/var/lib/microshift/resources/kubeadmin/kubeconfig
   $ sudo -E oc get pods -A

   出力例

   NAMESPACE                  NAME                                       READY   STATUS    RESTARTS      AGE
   kube-system                csi-snapshot-controller-74d566564f-66n2f   1/1     Running   0             1m
   kube-system                csi-snapshot-webhook-69bdff8879-xs6mb      1/1     Running   0             1m
   openshift-dns              dns-default-dxglm                          2/2     Running   0             1m
   openshift-dns              node-resolver-dbf5v                        1/1     Running   0             1m
   openshift-ingress          router-default-8575d888d8-xmq9p            1/1     Running   0             1m
   openshift-ovn-kubernetes   ovnkube-master-gcsx8                       4/4     Running   1             1m
   openshift-ovn-kubernetes   ovnkube-node-757mf                         1/1     Running   1             1m
   openshift-service-ca       service-ca-7d7c579f54-68jt4                1/1     Running   0             1m
   openshift-storage          topolvm-controller-6d777f795b-bx22r        5/5     Running   0             1m
   openshift-storage          topolvm-node-fcf8l                         4/4     Running   0             1m