8.6. 송신 방화벽을 사용하여 외부 리소스에 대한 액세스 제한

다음을 사용하여 Pod 구성을 생성합니다.

apiVersion: v1
kind: Pod
metadata:
  name: egress-1
  labels:
    name: egress-1
  annotations:
    pod.network.openshift.io/assign-macvlan: "true" 1
spec:
  initContainers:
  - name: egress-router
    image: registry.redhat.io/openshift3/ose-egress-router
    securityContext:
      privileged: true
    env:
    - name: EGRESS_SOURCE 2
      value: 192.168.12.99/24
    - name: EGRESS_GATEWAY 3
      value: 192.168.12.1
    - name: EGRESS_DESTINATION 4
      value: 203.0.113.25
    - name: EGRESS_ROUTER_MODE 5
      value: init
  containers:
  - name: egress-router-wait
    image: registry.redhat.io/openshift3/ose-pod
  nodeSelector:
    site: springfield-1 6

위의 정의를 사용하여 Pod를 생성합니다.

$ oc create -f <pod_name>.json

Pod가 생성되었는지 확인하려면 다음을 수행합니다.

$ oc get pod <pod_name>

송신 라우터를 가리키도록 서비스를 생성하여 다른 Pod에서 Pod의 IP 주소를 찾을 수 있는지 확인합니다.

apiVersion: v1
kind: Service
metadata:
  name: egress-1
spec:
  ports:
  - name: http
    port: 80
  - name: https
    port: 443
  type: ClusterIP
  selector:
    name: egress-1

이제 Pod에서 이 서비스에 연결할 수 있습니다. 이러한 연결은 예약된 송신 IP 주소를 사용하여 외부 서버의 해당 포트로 리디렉션됩니다.

EGRESS_DESTINATION 데이터가 포함된 파일을 생성합니다.

$ cat my-egress-destination.txt
# Egress routes for Project "Test", version 3

80   tcp 203.0.113.25

8080 tcp 203.0.113.26 80
8443 tcp 203.0.113.26 443

# Fallback
203.0.113.27

빈 줄과 주석을 이 파일에 넣을 수 있습니다.

파일에서 ConfigMap 오브젝트를 생성합니다.

$ oc delete configmap egress-routes --ignore-not-found
$ oc create configmap egress-routes \
  --from-file=destination=my-egress-destination.txt

여기서 egress-routes 는 생성되는 ConfigMap 오브젝트의 이름이고 my-egress-destination.txt 는 데이터를 읽을 파일의 이름입니다.

위와 같이 송신 라우터 Pod 정의를 생성하되 환경 섹션에서 EGRESS_DESTINATION 에 대한 ConfigMap을 지정합니다.

    ...
    env:
    - name: EGRESS_SOURCE 1
      value: 192.168.12.99/24
    - name: EGRESS_GATEWAY
      value: 192.168.12.1
    - name: EGRESS_DESTINATION
      valueFrom:
        configMapKeyRef:
          name: egress-routes
          key: destination
    - name: EGRESS_ROUTER_MODE
      value: init
    ...

예를 들어 다음을 사용하여 Pod를 생성합니다.

apiVersion: v1
kind: Pod
metadata:
  name: egress-http-proxy
  labels:
    name: egress-http-proxy
  annotations:
    pod.network.openshift.io/assign-macvlan: "true" 1
spec:
  initContainers:
  - name: egress-router-setup
    image: registry.redhat.io/openshift3/ose-egress-router
    securityContext:
      privileged: true
    env:
    - name: EGRESS_SOURCE 2
      value: 192.168.12.99/24
    - name: EGRESS_GATEWAY 3
      value: 192.168.12.1
    - name: EGRESS_ROUTER_MODE 4
      value: http-proxy
  containers:
  - name: egress-router-proxy
    image: registry.redhat.io/openshift3/ose-egress-http-proxy
    env:
    - name: EGRESS_HTTP_PROXY_DESTINATION 5
      value: |
        !*.example.com
        !192.168.1.0/24
        *

EGRESS_HTTP_PROXY_DESTINATION 값에 대해 다음 중 하나를 지정할 수 있습니다. * 를 사용할 수도 있습니다. 즉, "모든 원격 대상에 대한 연결을 허용"할 수 있습니다. 구성의 각 줄은 허용 또는 거부할 하나의 연결 그룹을 지정합니다.

송신 라우터를 가리키도록 서비스를 생성하여 다른 Pod에서 Pod의 IP 주소를 찾을 수 있는지 확인합니다.

apiVersion: v1
kind: Service
metadata:
  name: egress-1
spec:
  ports:
  - name: http-proxy
    port: 8080 1
  type: ClusterIP
  selector:
    name: egress-1

http_proxy 또는 https_proxy 변수를 설정하여 HTTP 프록시를 사용하도록 클라이언트 Pod( 송신 프록시 Pod가 아님)를 구성합니다.

    ...
    env:
    - name: http_proxy
      value: http://egress-1:8080/ 1
    - name: https_proxy
      value: http://egress-1:8080/
    ...

예를 들어 다음을 사용하여 Pod를 생성합니다.

apiVersion: v1
kind: Pod
metadata:
  name: egress-dns-proxy
  labels:
    name: egress-dns-proxy
  annotations:
    pod.network.openshift.io/assign-macvlan: "true" 1
spec:
  initContainers:
  - name: egress-router-setup
    image: registry.redhat.io/openshift3/ose-egress-router
    securityContext:
      privileged: true
    env:
    - name: EGRESS_SOURCE 2
      value: 192.168.12.99/24
    - name: EGRESS_GATEWAY 3
      value: 192.168.12.1
    - name: EGRESS_ROUTER_MODE 4
      value: dns-proxy
  containers:
  - name: egress-dns-proxy
    image: registry.redhat.io/openshift3/ose-egress-dns-proxy
    env:
    - name: EGRESS_DNS_PROXY_DEBUG 5
      value: "1"
    - name: EGRESS_DNS_PROXY_DESTINATION 6
      value: |
        # Egress routes for Project "Foo", version 5

        80  203.0.113.25

        100 example.com

        8080 203.0.113.26 80

        8443 foobar.com 443

송신 라우터를 가리키도록 서비스를 생성하여 다른 Pod에서 Pod의 IP 주소를 찾을 수 있는지 확인합니다.

apiVersion: v1
kind: Service
metadata:
  name: egress-dns-svc
spec:
  ports:
  - name: con1
    protocol: TCP
    port: 80
    targetPort: 80
  - name: con2
    protocol: TCP
    port: 100
    targetPort: 100
  - name: con3
    protocol: TCP
    port: 8080
    targetPort: 8080
  - name: con4
    protocol: TCP
    port: 8443
    targetPort: 8443
  type: ClusterIP
  selector:
    name: egress-dns-proxy

이제 Pod에서 이 서비스에 연결할 수 있습니다. 해당 연결은 예약된 송신 IP 주소를 사용하여 외부 서버의 해당 포트에 프록시됩니다.

다음을 사용하여 복제 컨트롤러 구성 파일을 생성합니다.

apiVersion: v1
kind: ReplicationController
metadata:
  name: egress-demo-controller
spec:
  replicas: 1 1
  selector:
    name: egress-demo
  template:
    metadata:
      name: egress-demo
      labels:
        name: egress-demo
      annotations:
        pod.network.openshift.io/assign-macvlan: "true"
    spec:
      initContainers:
      - name: egress-demo-init
        image: registry.redhat.io/openshift3/ose-egress-router
        env:
        - name: EGRESS_SOURCE 2
          value: 192.168.12.99/24
        - name: EGRESS_GATEWAY
          value: 192.168.12.1
        - name: EGRESS_DESTINATION
          value: 203.0.113.25
        - name: EGRESS_ROUTER_MODE
          value: init
        securityContext:
          privileged: true
      containers:
      - name: egress-demo-wait
        image: registry.redhat.io/openshift3/ose-pod
      nodeSelector:
        site: springfield-1

정의를 사용하여 Pod를 생성합니다.

$ oc create -f <replication_controller>.json

확인하려면 복제 컨트롤러 Pod가 생성되었는지 확인합니다.

$ oc describe rc <replication_controller>