9.6. IPsec 암호화 구성
IPsec이 활성화되면 OVN-Kubernetes 네트워크 플러그인의 노드 간 모든 네트워크 트래픽이 암호화된 터널을 통해 이동합니다.
IPsec은 기본적으로 비활성화되어 있습니다.
9.6.1. 사전 요구 사항
- 클러스터에서 OVN-Kubernetes 네트워크 플러그인을 사용해야 합니다.
9.6.1.1. pod-to-pod IPsec 암호화 활성화
클러스터 관리자는 클러스터 설치 후 pod-to-pod IPsec 암호화를 활성화할 수 있습니다.
사전 요구 사항
-
OpenShift CLI(
oc
)를 설치합니다. -
cluster-admin
권한이 있는 사용자로 클러스터에 로그인합니다. -
IPsec ESP 헤더의 오버헤드를 허용하도록 클러스터 MTU의 크기를
46
바이트 감소했습니다.
프로세스
IPsec 암호화를 활성화하려면 다음 명령을 입력합니다.
$ oc patch networks.operator.openshift.io cluster --type=merge \ -p '{"spec":{"defaultNetwork":{"ovnKubernetesConfig":{"ipsecConfig":{ }}}}}'
9.6.1.2. IPsec이 활성화되었는지 확인
클러스터 관리자는 IPsec이 활성화되었는지 확인할 수 있습니다.
검증
OVN-Kubernetes 데이터 플레인 Pod의 이름을 찾으려면 다음 명령을 입력합니다.
$ oc get pods -n openshift-ovn-kubernetes -l=app=ovnkube-node
출력 예
ovnkube-node-5xqbf 8/8 Running 0 28m ovnkube-node-6mwcx 8/8 Running 0 29m ovnkube-node-ck5fr 8/8 Running 0 31m ovnkube-node-fr4ld 8/8 Running 0 26m ovnkube-node-wgs4l 8/8 Running 0 33m ovnkube-node-zfvcl 8/8 Running 0 34m
클러스터에서 IPsec이 활성화되어 있는지 확인합니다.
$ oc -n openshift-ovn-kubernetes -c nbdb rsh ovnkube-node-<XXXXX> ovn-nbctl --no-leader-only get nb_global . ipsec
다음과 같습니다.
<XXXXX>
- 이전 단계에서 Pod의 임의의 문자 시퀀스를 지정합니다.
출력 예
true