ネットワーク

手順

1. オプション: 次のコマンド例を使用して、hostNetwork:true パラメーターが ovnkube-node Pod に設定されていることを確認できます。

   $ sudo oc get pod -n openshift-ovn-kubernetes <ovnkube-node-pod-name> -o json | jq -r '.spec.hostNetwork' true

   Copy to Clipboard

2. 次のコマンドを実行して、firewalld ログのデバッグを有効にします。

   $ sudo vi /etc/sysconfig/firewalld
   FIREWALLD_ARGS=--debug=10

   Copy to Clipboard

3. firewalld サービスを再起動します。

   $ sudo systemctl restart firewalld.service

   Copy to Clipboard

4. デバッグオプションが適切に追加されたことを確認するには、次のコマンドを実行します。

   $ sudo systemd-cgls -u firewalld.service

   Copy to Clipboard

   firewalld デバッグログは、/var/log/firewalld パスに保存されます。

   ポートオープンルールが追加されたときのログの例:

   2023-06-28 10:46:37 DEBUG1: config.getZoneByName('public')
   2023-06-28 10:46:37 DEBUG1: config.zone.7.addPort('8080', 'tcp')
   2023-06-28 10:46:37 DEBUG1: config.zone.7.getSettings()
   2023-06-28 10:46:37 DEBUG1: config.zone.7.update('...')
   2023-06-28 10:46:37 DEBUG1: config.zone.7.Updated('public')

   Copy to Clipboard

   ポートオープンルールが削除されたときのログの例:

   2023-06-28 10:47:57 DEBUG1: config.getZoneByName('public')
   2023-06-28 10:47:57 DEBUG2: config.zone.7.Introspect()
   2023-06-28 10:47:57 DEBUG1: config.zone.7.removePort('8080', 'tcp')
   2023-06-28 10:47:57 DEBUG1: config.zone.7.getSettings()
   2023-06-28 10:47:57 DEBUG1: config.zone.7.update('...')
   2023-06-28 10:47:57 DEBUG1: config.zone.7.Updated('public')

   Copy to Clipboard

手順

1. ovnkube-master Pod の名前にアクセスするには、次のコマンドを実行します。

   $ oc get pods -n openshift-ovn-kubernetes | awk '/ovnkube-master/{print $1}'

   Copy to Clipboard

   ovnkube-master Pod 名の例

   ovnkube-master-n2shv

   Copy to Clipboard

2. ovnkube-master Pod を使用し、次のコマンド例を実行すると、NodePort および LoadBalancer サービスのログにアクセスできます。

   $ oc logs -n openshift-ovn-kubernetes <ovnkube-master-pod-name> ovnkube-master | grep -E "OVN-KUBE-NODEPORT|OVN-KUBE-EXTERNALIP"

   Copy to Clipboard

   NodePort サービス:

   ホストポートが開いている場合の ovnkube-master Pod の ovnkube-master コンテナー内のログの例:

   $ I0625 09:07:00.992980 2118395 iptables.go:27] Adding rule in table: nat, chain: OVN-KUBE-NODEPORT with args: "-p TCP -m addrtype --dst-type LOCAL --dport 32718 -j DNAT --to-destination 10.96.178.142:8081" for protocol: 0

   Copy to Clipboard

   ホストポートが閉じている場合の ovnkube-master Pod の ovnkube-master コンテナー内のログの例:

   $ Deleting rule in table: nat, chain: OVN-KUBE-NODEPORT with args: "-p TCP -m addrtype --dst-type LOCAL --dport 32718 -j DNAT --to-destination 10.96.178.142:8081" for protocol: 0

   Copy to Clipboard

   LoadBalancer サービス:

   ホストポートが開いている場合の ovnkube-master Pod の ovnkube-master コンテナー内のログの例:

   $ I0625 09:34:10.406067  128902 iptables.go:27] Adding rule in table: nat, chain: OVN-KUBE-EXTERNALIP with args: "-p TCP -d 172.16.47.129 --dport 8081 -j DNAT --to-destination 10.43.114.94:8081" for protocol: 0

   Copy to Clipboard

   ホストポートが閉じている場合の ovnkube-master Pod の ovnkube-master コンテナー内のログの例:

   $ I0625 09:37:00.976953  128902 iptables.go:63] Deleting rule in table: nat, chain: OVN-KUBE-EXTERNALIP with args: "-p TCP -d 172.16.47.129 --dport 8081 -j DNAT --to-destination 10.43.114.94:8081" for protocol: 0

   Copy to Clipboard

手順

1. ingress.ports.http および ingress.ports.https フィールドの MicroShift config.yaml ポート値を、使用するポートに更新します。

   config.yaml ルーター設定の例

   # ...
   ingress:
     ports: 

   1

   
       http: 80
       https: 443
     routeAdmissionPolicy:
       namespaceOwnership: InterNamespaceAllowed
     status: Managed 

   2

   
   # ...

   Copy to Clipboard

   1

   デフォルトのポートが表示されます。カスタマイズ可能です。両方のポートエントリーの有効な値は、1 - 65535 の範囲にある単一の一意のポートです。ports.http および ports.https フィールドの値は、同じにすることはできません。

   2

   デフォルトの値です。Ingress ポートを開いたままにするには、Managed が必要です。

2. 次のコマンドを実行して、MicroShift サービスを再起動します。

   $ sudo systemctl restart microshift

   Copy to Clipboard

手順

1. 要件に応じて、次の例に示すように、MicroShift config.yaml の ingress.listenAddress フィールドのリストを更新します。

   デフォルトのルーター IP アドレスリスト

   # ...
   ingress:
     listenAddress:
       - "<host_network>" 

   1

   
   # ...

   Copy to Clipboard

   1

   ingress.listenAddress の値は、デフォルトでホストのネットワーク全体に設定されます。デフォルトのリストを引き続き使用するには、MicroShift config.yaml ファイルから listen.Address フィールドを削除します。このパラメーターをカスタマイズするには、リストを使用します。リストには、単一の IP アドレスまたは NIC 名、あるいは複数の IP アドレスと NIC 名を含めることができます。

   重要

   config.yaml ファイルを使用する場合は、listenAddress パラメーターを削除するか、リスト形式で値を追加する必要があります。フィールドを空白のままにしないでください。空白のままにすると、再起動時に MicroShift がクラッシュします。

   単一のホスト IP アドレスを持つルーターの設定例

   # ...
   ingress:
     listenAddress:
       - 10.2.1.100
   # ...

   Copy to Clipboard

   IP アドレスと NIC 名を組み合わせたルーター設定の例

   # ...
   ingress:
     listenAddress:
       - 10.2.1.100
       - 10.2.2.10
       - ens3
   # ...

   Copy to Clipboard

2. 次のコマンドを実行して、MicroShift サービスを再起動します。

   $ sudo systemctl restart microshift

   Copy to Clipboard

前提条件

1. ホストへの root アクセス権限がある。

手順

1. 次のコマンドを実行して、Multus RPM パッケージをインストールします。

   $ sudo dnf install microshift-multus

   Copy to Clipboard
   ヒント

   ここで追加のネットワーク用のカスタムリソース (CR) を作成すると、1 回の再起動でインストールを完了し、設定を適用できます。

2. パッケージマニフェストをアクティブなクラスターに適用するには、次のコマンドを実行してホストを再起動します。

   $ sudo systemctl restart

   Copy to Clipboard

検証

1. 再起動後、次のコマンドを実行して、Multus CNI プラグインコンポーネントが作成されていることを確認します。

   $ oc get pod -A | grep multus

   Copy to Clipboard

   出力例

   openshift-multus      dhcp-daemon-ktzqf     1/1   Running   0     45h
   openshift-multus      multus-4frf4          1/1   Running   0     45h

   Copy to Clipboard

次のステップ

1. まだ行っていない場合は、使用する追加のネットワークを設定して適用します。
2. 作成された CR を使用するアプリケーションをデプロイします。

手順

1. オプション: 次のコマンドを実行して、MicroShift クラスターが Multus CNI で実行されていることを確認します。

   $ oc get pods -n openshift-multus

   Copy to Clipboard

   出力例

   NAME                READY   STATUS    RESTARTS   AGE
   dhcp-daemon-dfbzw   1/1     Running   0          5h
   multus-rz8xc        1/1     Running   0          5h

   Copy to Clipboard

2. 次のコマンドを実行し、次のサンプルファイルを参照して NetworkAttachmentDefinition 設定ファイルを作成します。

   $ oc apply -f network-attachment-definition.yaml

   Copy to Clipboard

   NetworkAttachmentDefinition のファイルの例

   apiVersion: "k8s.cni.cncf.io/v1"
   kind: NetworkAttachmentDefinition
   metadata:
     name: bridge-conf
   spec:
     config: '{
         "cniVersion": "0.4.0",
         "type": "bridge", 

   1

   
         "bridge": "br-test", 

   2

   
         "mode": "bridge",
         "ipam": {
           "type": "host-local", 

   3

   
           "ranges": [
             [
               {
                 "subnet": "10.10.0.0/24",
                 "rangeStart": "10.10.0.20",
                 "rangeEnd": "10.10.0.50",
                 "gateway": "10.10.0.254"
                }
             ],
             [
               {
                 "subnet": "fd00:IJKL:MNOP:10::0/64", 

   4

   
                 "rangeStart": "fd00:IJKL:MNOP:10::1",
                 "rangeEnd": "fd00:IJKL:MNOP:10::9"
           "dataDir": "/var/lib/cni/br-test"
         }
       }'

   Copy to Clipboard

   1

   type 値は CNI プラグインの名前を指定します。この例では bridge タイプを使用します。

   2

   bridge 値は、使用されている MicroShift ホスト上のブリッジの名前です。Pod の追加インターフェイスはそのブリッジに接続されます。ホスト上にインターフェイスが存在しない場合は、Bridge CNI によって作成されます。インターフェイスがすでに存在する場合は再利用されます。以下の例では、インターフェイスの名前は br-test です。

   3

   IPAM タイプ。

   4

   IPv6 アドレスをセカンダリーインターフェイスに追加できます。

   注記

   ブリッジの名前の使用は、プラグインの bridge タイプに固有です。他のプラグインは NetworkAttachmentDefinitions で異なるフィールドを使用します。たとえば、macvlan および ipvlan 設定は master を使用して、割り当てるホストインターフェイスを指定します。

手順

1. Pod YAML ファイルにアノテーションを追加します。以下のアノテーション形式のいずれかのみを使用できます。

   1. カスタマイズせずに追加ネットワークを割り当てるには、以下の形式でアノテーションを追加します。<network> を、Pod に関連付ける追加ネットワークの名前に置き換えます。

      apiVersion: v1
      kind: Pod
      metadata:
        annotations:
          k8s.v1.cni.cncf.io/networks: <network>[,<network>,...] 

      1

      
      # ...

      Copy to Clipboard

      1

      <network> は、Pod に関連付ける各追加ネットワークの名前に置き換えます。複数の追加ネットワークを指定するには、各ネットワークをコンマで区切ります。コンマの間に空白を入れないでください。同じ追加ネットワークを複数回指定すると、その Pod にはそのネットワークに接続された複数のネットワークインターフェイスが存在することになります。

      ブリッジタイプの追加ネットワークのアノテーションの例

      apiVersion: v1
      kind: Pod
      metadata:
        annotations:
          k8s.v1.cni.cncf.io/networks: bridge-conf
      # ...

      Copy to Clipboard

   2. カスタマイズして追加のネットワークを割り当てるには、以下の形式でアノテーションを追加します。

      apiVersion: v1
      kind: Pod
      metadata:
        annotations:
          k8s.v1.cni.cncf.io/networks: |-
            [
              {
                "name": "<network>", 

      1

      
                "namespace": "<namespace>", 

      2

      
                "default-route": ["<default-route>"] 

      3

      
              }
            ]
      # ...

      Copy to Clipboard

      1

      NetworkAttachmentDefinition オブジェクトによって定義される追加のネットワークの名前を指定します。

      2

      NetworkAttachmentDefinition オブジェクトが定義される namespace を指定します。

      3

      オプション: 192.168.17.1 などのデフォルトルートのオーバーライドを指定します。

2. Pod YAML ファイルを作成し、追加のネットワークの NetworkAttachmentDefinition アノテーションを追加するには、次のコマンドを実行し、サンプル YAML を使用します。

   $ oc apply -f ./<test_bridge>.yaml 

   1

   Copy to Clipboard

   1

   <test-bridge> を、使用する Pod 名に置き換えます。

   出力例

   pod/test-bridge created

   Copy to Clipboard

   test-bridge Pod YAML の例

   apiVersion: v1
   kind: Pod
   metadata:
     name: test-bridge
     annotations:
       k8s.v1.cni.cncf.io/networks: bridge-conf
     labels:
       app: test-bridge
   spec:
     terminationGracePeriodSeconds: 0
     containers:
     - name: hello-microshift
       image: quay.io/microshift/busybox:1.36
       command: ["/bin/sh"]
       args: ["-c", "while true; do echo -ne \"HTTP/1.0 200 OK\r\nContent-Length: 16\r\n\r\nHello MicroShift\" | nc -l -p 8080 ; done"]
       ports:
       - containerPort: 8080
         protocol: TCP
       securityContext:
         allowPrivilegeEscalation: false
         capabilities:
           drop:
           - ALL
         runAsNonRoot: true
         runAsUser: 1001
         runAsGroup: 1001
         seccompProfile:
           type: RuntimeDefault

   Copy to Clipboard

3. NetworkAttachmentDefinition アノテーションが正しいことを確認します。

   NetworkAttachmentDefinition アノテーションの例

   apiVersion: v1
   kind: Pod
   metadata:
     annotations:
       k8s.v1.cni.cncf.io/networks: bridge-conf
   # ...

   Copy to Clipboard

4. オプション: NetworkAttachmentDefinition アノテーションが Pod YAML に存在することを確認するには、<name> を Pod の名前に置き換えて次のコマンドを実行します。

   $ oc get pod <name> -o yaml 

   1

   Copy to Clipboard

   1

   <name> を、使用する Pod 名に置き換えます。以下の例では、test-bridge が使用されます。

   出力例

   apiVersion: v1
   kind: Pod
   metadata:
     annotations:
       k8s.v1.cni.cncf.io/networks: bridge-conf
       k8s.v1.cni.cncf.io/network-status: |- 

   1

   
         [{
             "name": "ovn-kubernetes",
             "interface": "eth0",
             "ips": [
                 "10.42.0.18"
             ],
             "default": true,
             "dns": {}
         },{
             "name": "bridge-conf",
             "interface": "net1",
             "ips": [
                 "20.2.2.100"
             ],
             "mac": "22:2f:60:a5:f8:00",
             "dns": {}
         }]
     name: pod
     namespace: default
   spec:
   # ...
   status:
   # ...

   Copy to Clipboard

   1

   k8s.v1.cni.cncf.io/network-status パラメーターは、オブジェクトの JSON 配列です。各オブジェクトは、Pod に割り当てられる追加のネットワークのステータスを説明します。アノテーションの値はプレーンテキストの値として保存されます。

5. 以下のコマンドを使用して、Pod が実行されていることを確認します。

   $ oc get pod

   Copy to Clipboard

   出力例

   NAME          READY   STATUS    RESTARTS   AGE
   test-bridge   1/1     Running   0          81s

   Copy to Clipboard

前提条件

1. NetworkAttachmentDefinition オブジェクト設定を作成して適用しました。

手順

1. 以下のコマンドを実行して、ブリッジがホストに作成されていることを確認します。

   $ ip a show br-test

   Copy to Clipboard

   出力例

   22: br-test: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
       link/ether 96:bf:ca:be:1d:15 brd ff:ff:ff:ff:ff:ff
       inet6 fe80::34e2:bbff:fed2:31f2/64 scope link
          valid_lft forever preferred_lft forever

   Copy to Clipboard

2. 次のコマンドを実行して、ブリッジの IP アドレスを設定します。

   $ sudo ip addr add 10.10.0.10/24 dev br-test

   Copy to Clipboard

3. 次のコマンドを実行して、IP アドレス設定がブリッジに追加されたことを確認します。

   $ ip a show br-test

   Copy to Clipboard

   出力例

   22: br-test: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
       link/ether 96:bf:ca:be:1d:15 brd ff:ff:ff:ff:ff:ff
       inet 10.10.0.10/24 scope global br-test 

   1

   
          valid_lft forever preferred_lft forever
       inet6 fe80::34e2:bbff:fed2:31f2/64 scope link
          valid_lft forever preferred_lft forever

   Copy to Clipboard

   1

   IP アドレスは想定どおりに設定されています。

4. 次のコマンドを実行して、Pod の IP アドレスを確認します。

   $ oc get pod test-bridge --output=jsonpath='{.metadata.annotations.k8s\.v1\.cni\.cncf\.io/network-status}'

   Copy to Clipboard

   出力例

   [{
       "name": "ovn-kubernetes",
       "interface": "eth0",
       "ips": [
           "10.42.0.17"
       ],
       "mac": "0a:58:0a:2a:00:11",
       "default": true,
       "dns": {}
   },{
       "name": "default/bridge-conf", 

   1

   
       "interface": "net1",
       "ips": [
           "10.10.0.20"
       ],
       "mac": "82:01:98:e5:0c:b7",
       "dns": {}

   Copy to Clipboard

   1

   ブリッジの追加ネットワークは想定どおりに接続されます。

5. オプション: oc exec を使用して Pod にアクセスし、ip コマンドを使用してそのインターフェイスを確認できます。

   $ oc exec -ti test-bridge -- ip a

   Copy to Clipboard

   出力例

   1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue qlen 1000
       link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
       inet 127.0.0.1/8 scope host lo
          valid_lft forever preferred_lft forever
       inet6 ::1/128 scope host
          valid_lft forever preferred_lft forever
   2: eth0@if21: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue
       link/ether 0a:58:0a:2a:00:11 brd ff:ff:ff:ff:ff:ff
       inet 10.42.0.17/24 brd 10.42.0.255 scope global eth0
          valid_lft forever preferred_lft forever
       inet6 fe80::858:aff:fe2a:11/64 scope link
          valid_lft forever preferred_lft forever
   3: net1@if23: <BROADCAST,MULTICAST,UP,LOWER_UP,M-DOWN> mtu 1500 qdisc noqueue
       link/ether 82:01:98:e5:0c:b7 brd ff:ff:ff:ff:ff:ff
       inet 10.10.0.20/24 brd 10.10.0.255 scope global net1 

   1

   
          valid_lft forever preferred_lft forever
       inet6 fe80::8001:98ff:fee5:cb7/64 scope link
          valid_lft forever preferred_lft forever

   Copy to Clipboard

   1

   予想どおり、Pod は net1 インターフェイス 上の 10.10.0.20 IP アドレスに接続されます。

6. MicroShift ホストから Pod 内の HTTP サーバーにアクセスして、接続が期待どおりに機能していることを確認します。以下のコマンドを使用します。

   $ curl 10.10.0.20:8080

   Copy to Clipboard

   出力例

   Hello MicroShift

   Copy to Clipboard

検証

1. すべてのルートのアノテーションをクエリーするには、以下のコマンドを入力します。

   $ oc get route  --all-namespaces -o go-template='{{range .items}}{{if .metadata.annotations}}{{$a := index .metadata.annotations "haproxy.router.openshift.io/hsts_header"}}{{$n := .metadata.name}}{{with $a}}Name: {{$n}} HSTS: {{$a}}{{"\n"}}{{else}}{{""}}{{end}}{{end}}{{end}}'

   Copy to Clipboard

   出力例

   Name: routename HSTS: max-age=0

   Copy to Clipboard

手順

1. 指定される cookie 名でルートにアノテーションを付けます。

   $ oc annotate route <route_name> router.openshift.io/cookie_name="<cookie_name>"

   Copy to Clipboard

   ここでは、以下のようになります。

   <route_name>

   ルートの名前を指定します。

   <cookie_name>

   cookie の名前を指定します。

   たとえば、ルート my_route に cookie 名 my_cookie でアノテーションを付けるには、以下を実行します。

   $ oc annotate route my_route router.openshift.io/cookie_name="my_cookie"

   Copy to Clipboard

2. 変数でルートのホスト名を取得します。

   $ ROUTE_NAME=$(oc get route <route_name> -o jsonpath='{.spec.host}')

   Copy to Clipboard

   ここでは、以下のようになります。

   <route_name>

   ルートの名前を指定します。

3. cookie を保存してからルートにアクセスします。

   $ curl $ROUTE_NAME -k -c /tmp/cookie_jar

   Copy to Clipboard

   ルートに接続する際に、直前のコマンドによって保存される cookie を使用します。

   $ curl $ROUTE_NAME -k -b /tmp/cookie_jar

   Copy to Clipboard