네트워크 설정 구성

프로세스

1. 다음 콘텐츠를 사용하여 tuning-example.yaml 과 같은 네트워크 연결 정의를 생성합니다.

   apiVersion: "k8s.cni.cncf.io/v1"
   kind: NetworkAttachmentDefinition
   metadata:
     name: <name> 

   1

   
     namespace: default 

   2

   
   spec:
     config: '{
       "cniVersion": "0.4.0", 

   3

   
       "name": "<name>", 

   4

   
       "plugins": [{
          "type": "<main_CNI_plugin>" 

   5

   
         },
         {
          "type": "tuning", 

   6

   
          "sysctl": {
               "net.ipv4.conf.IFNAME.accept_redirects": "1" 

   7

   
           }
         }
        ]
   }

   Copy to Clipboard Toggle word wrap

   1

   생성할 추가 네트워크 연결의 이름을 지정합니다. 이름은 지정된 네임스페이스 내에서 고유해야 합니다.

   2

   오브젝트가 연결된 네임스페이스를 지정합니다.

   3

   CNI 사양 버전을 지정합니다.

   4

   구성 이름을 지정합니다. 구성 이름과 네트워크 연결 정의의 name 값과 일치하는 것이 좋습니다.

   5

   구성할 기본 CNI 플러그인의 이름을 지정합니다.

   6

   CNI 메타 플러그인의 이름을 지정합니다.

   7

   설정할 sysctl을 지정합니다. 인터페이스 이름은 IFNAME 토큰으로 표시되고 런타임 시 인터페이스의 실제 이름으로 교체됩니다.

   YAML 파일의 예는 다음과 같습니다.

   apiVersion: "k8s.cni.cncf.io/v1"
   kind: NetworkAttachmentDefinition
   metadata:
     name: tuningnad
     namespace: default
   spec:
     config: '{
       "cniVersion": "0.4.0",
       "name": "tuningnad",
       "plugins": [{
         "type": "bridge"
         },
         {
         "type": "tuning",
         "sysctl": {
            "net.ipv4.conf.IFNAME.accept_redirects": "1"
           }
       }
     ]
   }'

   Copy to Clipboard Toggle word wrap

2. 다음 명령을 실행하여 YAML을 적용합니다.

   $ oc apply -f tuning-example.yaml

   Copy to Clipboard Toggle word wrap

   출력 예

   networkattachmentdefinition.k8.cni.cncf.io/tuningnad created

   Copy to Clipboard Toggle word wrap

3. 다음과 유사한 네트워크 연결 정의를 사용하여 examplepod.yaml 과 같은 Pod를 생성합니다.

   apiVersion: v1
   kind: Pod
   metadata:
     name: tunepod
     namespace: default
     annotations:
       k8s.v1.cni.cncf.io/networks: tuningnad 

   1

   
   spec:
     containers:
     - name: podexample
       image: centos
       command: ["/bin/bash", "-c", "sleep INF"]
       securityContext:
         runAsUser: 2000 

   2

   
         runAsGroup: 3000 

   3

   
         allowPrivilegeEscalation: false 

   4

   
         capabilities: 

   5

   
           drop: ["ALL"]
     securityContext:
       runAsNonRoot: true 

   6

   
       seccompProfile: 

   7

   
         type: RuntimeDefault

   Copy to Clipboard Toggle word wrap

   1

   구성된 NetworkAttachmentDefinition 의 이름을 지정합니다.

   2

   runAsUser 는 컨테이너가 실행되는 사용자 ID를 제어합니다.

   3

   runAsGroup 은 컨테이너가 실행되는 기본 그룹 ID를 제어합니다.

   4

   allowPrivilegeEscalation 은 Pod에서 권한 에스컬레이션을 허용하도록 요청할 수 있는지 여부를 결정합니다. 지정되지 않은 경우 기본값은 true입니다. 이 부울은 no_new_privs 플래그가 컨테이너 프로세스에 설정되는지 여부를 직접 제어합니다.

   5

   기능을 사용하면 전체 root 액세스 권한을 부여하지 않고 권한 있는 작업을 수행할 수 있습니다. 이 정책은 모든 기능이 Pod에서 삭제되도록 합니다.

   6

   runAsNonRoot: true 를 사용하려면 컨테이너가 0 이외의 UID가 있는 사용자로 실행해야 합니다.

   7

   RuntimeDefault 는 Pod 또는 컨테이너 워크로드에 대한 기본 seccomp 프로필을 활성화합니다.

4. 다음 명령을 실행하여 yaml을 적용합니다.

   $ oc apply -f examplepod.yaml

   Copy to Clipboard Toggle word wrap

5. 다음 명령을 실행하여 Pod가 생성되었는지 확인합니다.

   $ oc get pod

   Copy to Clipboard Toggle word wrap

   출력 예

   NAME      READY   STATUS    RESTARTS   AGE
   tunepod   1/1     Running   0          47s

   Copy to Clipboard Toggle word wrap

6. 다음 명령을 실행하여 Pod에 로그인합니다.

   $ oc rsh tunepod

   Copy to Clipboard Toggle word wrap

7. 구성된 sysctl 플래그의 값을 확인합니다. 예를 들어 다음 명령을 실행하여 net.ipv4.conf.net1.accept_redirects 값을 찾습니다.

   sh-4.4# sysctl net.ipv4.conf.net1.accept_redirects

   Copy to Clipboard Toggle word wrap

   예상 출력

   net.ipv4.conf.net1.accept_redirects = 1

   Copy to Clipboard Toggle word wrap

프로세스

1. 다음 콘텐츠를 사용하여 tuning-example.yaml 과 같은 네트워크 연결 정의를 생성합니다.

   apiVersion: "k8s.cni.cncf.io/v1"
   kind: NetworkAttachmentDefinition
   metadata:
     name: <name> 

   1

   
     namespace: default 

   2

   
   spec:
     config: '{
       "cniVersion": "0.4.0", 

   3

   
       "name": "<name>", 

   4

   
       "plugins": [{
          "type": "<main_CNI_plugin>" 

   5

   
         },
         {
          "type": "tuning", 

   6

   
          "allmulti": true 

   7

   
           }
         }
        ]
   }

   Copy to Clipboard Toggle word wrap

   1

   생성할 추가 네트워크 연결의 이름을 지정합니다. 이름은 지정된 네임스페이스 내에서 고유해야 합니다.

   2

   오브젝트가 연결된 네임스페이스를 지정합니다.

   3

   CNI 사양 버전을 지정합니다.

   4

   구성 이름을 지정합니다. 구성 이름을 네트워크 연결 정의의 name 값과 일치시킵니다.

   5

   구성할 기본 CNI 플러그인의 이름을 지정합니다.

   6

   CNI 메타 플러그인의 이름을 지정합니다.

   7

   인터페이스의 all-multicast 모드를 변경합니다. 활성화하면 네트워크의 모든 멀티 캐스트 패킷이 인터페이스에서 수신됩니다.

   YAML 파일의 예는 다음과 같습니다.

   apiVersion: "k8s.cni.cncf.io/v1"
   kind: NetworkAttachmentDefinition
   metadata:
     name: setallmulti
     namespace: default
   spec:
     config: '{
       "cniVersion": "0.4.0",
       "name": "setallmulti",
       "plugins": [
         {
           "type": "bridge"
         },
         {
           "type": "tuning",
           "allmulti": true
         }
       ]
     }'

   Copy to Clipboard Toggle word wrap

2. 다음 명령을 실행하여 YAML 파일에 지정된 설정을 적용합니다.

   $ oc apply -f tuning-allmulti.yaml

   Copy to Clipboard Toggle word wrap

   출력 예

   networkattachmentdefinition.k8s.cni.cncf.io/setallmulti created

   Copy to Clipboard Toggle word wrap

3. 다음 examplepod.yaml 샘플 파일에 지정된 것과 유사한 네트워크 연결 정의를 사용하여 Pod를 생성합니다.

   apiVersion: v1
   kind: Pod
   metadata:
     name: allmultipod
     namespace: default
     annotations:
       k8s.v1.cni.cncf.io/networks: setallmulti 

   1

   
   spec:
     containers:
     - name: podexample
       image: centos
       command: ["/bin/bash", "-c", "sleep INF"]
       securityContext:
         runAsUser: 2000 

   2

   
         runAsGroup: 3000 

   3

   
         allowPrivilegeEscalation: false 

   4

   
         capabilities: 

   5

   
           drop: ["ALL"]
     securityContext:
       runAsNonRoot: true 

   6

   
       seccompProfile: 

   7

   
         type: RuntimeDefault

   Copy to Clipboard Toggle word wrap

   1

   구성된 NetworkAttachmentDefinition 의 이름을 지정합니다.

   2

   컨테이너가 실행되는 사용자 ID를 지정합니다.

   3

   컨테이너가 실행되는 기본 그룹 ID를 지정합니다.

   4

   Pod에서 권한 에스컬레이션을 요청할 수 있는지 여부를 지정합니다. 지정되지 않은 경우 기본값은 true 입니다. 이 부울은 no_new_privs 플래그가 컨테이너 프로세스에 설정되는지 여부를 직접 제어합니다.

   5

   컨테이너 기능을 지정합니다. drop: ["ALL"] 설명은 모든 Linux 기능이 Pod에서 삭제되어 보다 제한적인 보안 프로필을 제공합니다.

   6

   컨테이너가 0 이외의 UID가 있는 사용자로 실행되도록 지정합니다.

   7

   컨테이너의 seccomp 프로필을 지정합니다. 이 경우 유형은 RuntimeDefault 로 설정됩니다. seccomp는 프로세스에서 사용할 수 있는 시스템 호출을 제한하여 공격 면적을 최소화하여 보안을 강화하는 Linux 커널 기능입니다.

4. 다음 명령을 실행하여 YAML 파일에 지정된 설정을 적용합니다.

   $ oc apply -f examplepod.yaml

   Copy to Clipboard Toggle word wrap

5. 다음 명령을 실행하여 Pod가 생성되었는지 확인합니다.

   $ oc get pod

   Copy to Clipboard Toggle word wrap

   출력 예

   NAME          READY   STATUS    RESTARTS   AGE
   allmultipod   1/1     Running   0          23s

   Copy to Clipboard Toggle word wrap

6. 다음 명령을 실행하여 Pod에 로그인합니다.

   $ oc rsh allmultipod

   Copy to Clipboard Toggle word wrap

7. 다음 명령을 실행하여 Pod와 관련된 모든 인터페이스를 나열합니다.

   sh-4.4# ip link

   Copy to Clipboard Toggle word wrap

   출력 예

   1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000
       link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
   2: eth0@if22: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 8901 qdisc noqueue state UP mode DEFAULT group default
       link/ether 0a:58:0a:83:00:10 brd ff:ff:ff:ff:ff:ff link-netnsid 0 

   1

   
   3: net1@if24: <BROADCAST,MULTICAST,ALLMULTI,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP mode DEFAULT group default
       link/ether ee:9b:66:a4:ec:1d brd ff:ff:ff:ff:ff:ff link-netnsid 0 

   2

   Copy to Clipboard Toggle word wrap

   1

   eth0@if22 는 기본 인터페이스입니다.

   2

   net1@if24 는 all-multicast 모드(ALLMULTI 플래그)를 지원하는 network-attachment-definition으로 구성된 보조 인터페이스입니다.

프로세스

1. 클러스터의 클러스터 네트워크 범위 및 호스트 접두사를 가져오려면 다음 명령을 입력합니다.

   $ oc get network.operator.openshift.io \
     -o jsonpath="{.items[0].spec.clusterNetwork}"

   Copy to Clipboard Toggle word wrap

   출력 예

   [{"cidr":"10.217.0.0/22","hostPrefix":23}]

   Copy to Clipboard Toggle word wrap

2. 클러스터 네트워크 IP 주소 범위를 확장하려면 다음 명령을 입력합니다. 이전 명령의 출력에서 반환된 CIDR IP 주소 범위와 호스트 접두사를 사용합니다.

   $ oc patch Network.config.openshift.io cluster --type='merge' --patch \
     '{
       "spec":{
         "clusterNetwork": [ {"cidr":"<network>/<cidr>","hostPrefix":<prefix>} ],
         "networkType": "OVNKubernetes"
       }
     }'

   Copy to Clipboard Toggle word wrap

   다음과 같습니다.

   <network>

   이전 단계에서 얻은 cidr 필드의 네트워크 부분을 지정합니다. 이 값은 변경할 수 없습니다.

   <cidr>

   네트워크 접두사 길이를 지정합니다. 예를 들면 14 입니다. 클러스터 네트워크 범위를 확장하려면 이 값을 이전 단계의 출력 값보다 적은 수로 변경합니다.

   <prefix>

   클러스터의 현재 호스트 접두사를 지정합니다. 이 값은 이전 단계에서 얻은 hostPrefix 필드의 값과 동일해야 합니다.

   명령 예

   $ oc patch Network.config.openshift.io cluster --type='merge' --patch \
     '{
       "spec":{
         "clusterNetwork": [ {"cidr":"10.217.0.0/14","hostPrefix": 23} ],
         "networkType": "OVNKubernetes"
       }
     }'

   Copy to Clipboard Toggle word wrap

   출력 예

   network.config.openshift.io/cluster patched

   Copy to Clipboard Toggle word wrap

3. 구성이 활성 상태인지 확인하려면 다음 명령을 입력합니다. 이 변경 사항을 적용하는 데 최대 30분이 걸릴 수 있습니다.

   $ oc get network.operator.openshift.io \
     -o jsonpath="{.items[0].spec.clusterNetwork}"

   Copy to Clipboard Toggle word wrap

   출력 예

   [{"cidr":"10.217.0.0/14","hostPrefix":23}]

   Copy to Clipboard Toggle word wrap

프로세스

1. IP 페일오버 서비스 계정을 생성합니다.

   $ oc create sa ipfailover

   Copy to Clipboard Toggle word wrap

2. hostNetwork의 SCC(보안 컨텍스트 제약 조건)를 업데이트합니다.

   $ oc adm policy add-scc-to-user privileged -z ipfailover

   Copy to Clipboard Toggle word wrap

   $ oc adm policy add-scc-to-user hostnetwork -z ipfailover

   Copy to Clipboard Toggle word wrap

3. RHOSP(Red Hat OpenStack Platform)만 해당: RHOSP 포트에서 장애 조치 VIP 주소에 연결할 수 있도록 다음 단계를 완료합니다.

   1. RHOSP CLI를 사용하여 RHOSP 클러스터의 allowed_address_pairs 매개변수에 기본 RHOSP API 및 VIP 주소를 표시합니다.

      $ openstack port show <cluster_name> -c allowed_address_pairs

      Copy to Clipboard Toggle word wrap

      출력 예

      *Field*                  *Value*
      allowed_address_pairs    ip_address='192.168.0.5', mac_address='fa:16:3e:31:f9:cb'
                               ip_address='192.168.0.7', mac_address='fa:16:3e:31:f9:cb'

      Copy to Clipboard Toggle word wrap

   2. IP 페일오버 배포의 다른 VIP 주소를 설정하고 RHOSP CLI에 다음 명령을 입력하여 RHOSP 포트에서 주소에 연결할 수 있도록 합니다. 기본 RHOSP API 및 VIP 주소를 IP 페일오버 배포의 페일오버 VIP 주소로 설정하지 마십시오.

      1.1.1.1 페일오버 IP 주소를 RHOSP 포트에서 허용된 주소로 추가하는 예.

      $ openstack port set <cluster_name> --allowed-address ip-address=1.1.1.1,mac-address=fa:fa:16:3e:31:f9:cb

      Copy to Clipboard Toggle word wrap

   3. 배포 YAML 파일을 생성하여 배포에 대한 IP 페일오버를 구성합니다. 이후 단계에서 "IP 페일오버 구성용 배포 YAML 예"를 참조하십시오.

   4. 장애 조치(failover) VIP 주소를 OPENSHIFT_HA_VIRTUAL_IPS 환경 변수에 전달하도록 IP 페일오버 배포에서 다음 사양을 지정합니다.

      OPENSHIFT_HA_VIRTUAL_IPS에 1.1.1.1 VIP 주소를 추가하는 예

      apiVersion: apps/v1
      kind: Deployment
      metadata:
        name: ipfailover-keepalived
      # ...
            spec:
                env:
                - name: OPENSHIFT_HA_VIRTUAL_IPS
                value: "1.1.1.1"
      # ...

      Copy to Clipboard Toggle word wrap

4. 배포 YAML 파일을 생성하여 IP 페일오버를 구성합니다.

   참고

   RHOSP(Red Hat OpenStack Platform)의 경우 배포 YAML 파일을 다시 생성할 필요가 없습니다. 이전 명령의 일부로 이 파일을 이미 생성하셨습니다.

   IP 페일오버 구성을 위한 배포 YAML의 예

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: ipfailover-keepalived 

   1

   
     labels:
       ipfailover: hello-openshift
   spec:
     strategy:
       type: Recreate
     replicas: 2
     selector:
       matchLabels:
         ipfailover: hello-openshift
     template:
       metadata:
         labels:
           ipfailover: hello-openshift
       spec:
         serviceAccountName: ipfailover
         privileged: true
         hostNetwork: true
         nodeSelector:
           node-role.kubernetes.io/worker: ""
         containers:
         - name: openshift-ipfailover
           image: registry.redhat.io/openshift4/ose-keepalived-ipfailover-rhel9:v4.18
           ports:
           - containerPort: 63000
             hostPort: 63000
           imagePullPolicy: IfNotPresent
           securityContext:
             privileged: true
           volumeMounts:
           - name: lib-modules
             mountPath: /lib/modules
             readOnly: true
           - name: host-slash
             mountPath: /host
             readOnly: true
             mountPropagation: HostToContainer
           - name: etc-sysconfig
             mountPath: /etc/sysconfig
             readOnly: true
           - name: config-volume
             mountPath: /etc/keepalive
           env:
           - name: OPENSHIFT_HA_CONFIG_NAME
             value: "ipfailover"
           - name: OPENSHIFT_HA_VIRTUAL_IPS 

   2

   
             value: "1.1.1.1-2"
           - name: OPENSHIFT_HA_VIP_GROUPS 

   3

   
             value: "10"
           - name: OPENSHIFT_HA_NETWORK_INTERFACE 

   4

   
             value: "ens3" #The host interface to assign the VIPs
           - name: OPENSHIFT_HA_MONITOR_PORT 

   5

   
             value: "30060"
           - name: OPENSHIFT_HA_VRRP_ID_OFFSET 

   6

   
             value: "0"
           - name: OPENSHIFT_HA_REPLICA_COUNT 

   7

   
             value: "2" #Must match the number of replicas in the deployment
           - name: OPENSHIFT_HA_USE_UNICAST
             value: "false"
           #- name: OPENSHIFT_HA_UNICAST_PEERS
             #value: "10.0.148.40,10.0.160.234,10.0.199.110"
           - name: OPENSHIFT_HA_IPTABLES_CHAIN 

   8

   
             value: "INPUT"
           #- name: OPENSHIFT_HA_NOTIFY_SCRIPT 

   9

   
           #  value: /etc/keepalive/mynotifyscript.sh
           - name: OPENSHIFT_HA_CHECK_SCRIPT 

   10

   
             value: "/etc/keepalive/mycheckscript.sh"
           - name: OPENSHIFT_HA_PREEMPTION 

   11

   
             value: "preempt_delay 300"
           - name: OPENSHIFT_HA_CHECK_INTERVAL 

   12

   
             value: "2"
           livenessProbe:
             initialDelaySeconds: 10
             exec:
               command:
               - pgrep
               - keepalived
         volumes:
         - name: lib-modules
           hostPath:
             path: /lib/modules
         - name: host-slash
           hostPath:
             path: /
         - name: etc-sysconfig
           hostPath:
             path: /etc/sysconfig
         # config-volume contains the check script
         # created with `oc create configmap keepalived-checkscript --from-file=mycheckscript.sh`
         - configMap:
             defaultMode: 0755
             name: keepalived-checkscript
           name: config-volume
         imagePullSecrets:
           - name: openshift-pull-secret 

   13

   Copy to Clipboard Toggle word wrap

   1

   IP 페일오버 배포의 이름입니다.

   2

   복제할 IP 주소 범위 목록입니다. 이 정보를 제공해야 합니다. 예: 1.2.3.4-6,1.2.3.9.

   3

   VRRP에 대해 생성할 그룹 수입니다. 설정하지 않으면 OPENSHIFT_HA_VIP_GROUPS 변수로 지정된 각 가상 IP 범위에 대해 그룹이 생성됩니다.

   4

   IP 페일오버가 VRRP 트래픽을 보내는 데 사용하는 인터페이스 이름입니다. 기본적으로 eth0이 사용됩니다.

   5

   IP 페일오버 pod는 각 VIP에서 이 포트에 대한 TCP 연결을 열려고 합니다. 연결이 설정되면 서비스가 실행 중인 것으로 간주됩니다. 이 포트가 0으로 설정되면 테스트가 항상 통과합니다. 기본값은 80입니다.

   6

   가상 라우터 ID를 설정하는 데 사용되는 오프셋 값입니다. 다른 오프셋 값을 사용하면 동일한 클러스터 내에 여러 IP 페일오버 구성이 존재할 수 있습니다. 기본 오프셋은 0이며 허용되는 범위는 0에서 255 사이입니다.

   7

   생성할 복제본 수입니다. 이는 IP 페일오버 배포 구성의 spec.replicas 값과 일치해야 합니다. 기본값은 2입니다.

   8

   VRRP 트래픽을 허용하는 iptables 규칙을 자동으로 추가하는 iptables 체인의 이름입니다. 값을 설정하지 않으면 iptables 규칙이 추가되지 않습니다. 체인이 존재하지 않으면 이 체인이 생성되지 않으며 Keepalived는 유니캐스트 모드로 작동합니다. 기본값은 INPUT입니다.

   9

   상태가 변경될 때마다 실행되는 스크립트의 Pod 파일 시스템의 전체 경로 이름입니다.

   10

   애플리케이션이 작동하는지 확인하기 위해 정기적으로 실행되는 스크립트의 Pod 파일 시스템에 있는 전체 경로 이름입니다.

   11

   더 높은 우선 순위의 호스트를 처리하는 전략입니다. 기본값은 preempt_delay 300으로, 우선순위가 낮은 마스터가 VIP를 보유하는 경우 Keepalived 인스턴스가 5분 후에 VIP를 넘겨받습니다.

   12

   확인 스크립트가 실행되는 기간(초)입니다. 기본값은 2입니다.

   13

   배포를 만들기 전에 풀 시크릿을 생성합니다. 그렇지 않으면 배포를 생성할 때 오류가 발생합니다.

프로세스

1. 원하는 스크립트를 생성하고 저장할 ConfigMap 오브젝트를 생성합니다. 스크립트에는 입력 인수가 없으며 OK의 경우 0을fail의 경우 1을 반환해야 합니다.

   검사 스크립트, mycheckscript.sh:

   #!/bin/bash
       # Whatever tests are needed
       # E.g., send request and verify response
   exit 0

   Copy to Clipboard Toggle word wrap

2. ConfigMap 오브젝트를 생성합니다.

   $ oc create configmap mycustomcheck --from-file=mycheckscript.sh

   Copy to Clipboard Toggle word wrap

3. pod에 스크립트를 추가합니다. 마운트된 ConfigMap 오브젝트 파일의 defaultMode 는 oc 명령을 사용하거나 배포 구성을 편집하여 실행할 수 있어야 합니다. 0755, 493 10진수 값이 일반적입니다.

   $ oc set env deploy/ipfailover-keepalived \
       OPENSHIFT_HA_CHECK_SCRIPT=/etc/keepalive/mycheckscript.sh

   Copy to Clipboard Toggle word wrap

   $ oc set volume deploy/ipfailover-keepalived --add --overwrite \
       --name=config-volume \
       --mount-path=/etc/keepalive \
       --source='{"configMap": { "name": "mycustomcheck", "defaultMode": 493}}'

   Copy to Clipboard Toggle word wrap
   참고

   oc set env 명령은 공백 문자를 구분합니다. = 기호 양쪽에 공백이 없어야 합니다.

   작은 정보

   또는 ipfailover-keepalived 배포 구성을 편집할 수 있습니다.

   $ oc edit deploy ipfailover-keepalived

   Copy to Clipboard Toggle word wrap

       spec:
         containers:
         - env:
           - name: OPENSHIFT_HA_CHECK_SCRIPT  

   1

   
             value: /etc/keepalive/mycheckscript.sh
   ...
           volumeMounts: 

   2

   
           - mountPath: /etc/keepalive
             name: config-volume
         dnsPolicy: ClusterFirst
   ...
         volumes: 

   3

   
         - configMap:
             defaultMode: 0755 

   4

   
             name: customrouter
           name: config-volume
   ...

   Copy to Clipboard Toggle word wrap

   1

   spec.container.env 필드에서 마운트된 스크립트 파일을 가리키도록 OPENSHIFT_HA_CHECK_SCRIPT 환경 변수를 추가합니다.

   2

   spec.container.volumeMounts 필드를 추가하여 마운트 지점을 생성합니다.

   3

   새 spec.volumes 필드를 추가하여 구성 맵을 언급합니다.

   4

   파일에 대한 실행 권한을 설정합니다. 다시 읽으면 10진수 493으로 표시됩니다.

   변경 사항을 저장하고 편집기를 종료합니다. 이렇게 하면 ipfailover-keepalived가 다시 시작됩니다.

프로세스

1. 선택 사항: 구성 맵으로 저장된 점검 및 알림 스크립트를 식별하고 삭제합니다.

   1. IP 페일오버에 대한 Pod가 구성 맵을 볼륨으로 사용하는지 여부를 확인합니다.

      $ oc get pod -l ipfailover \
        -o jsonpath="\
      {range .items[?(@.spec.volumes[*].configMap)]}
      {'Namespace: '}{.metadata.namespace}
      {'Pod:       '}{.metadata.name}
      {'Volumes that use config maps:'}
      {range .spec.volumes[?(@.configMap)]}  {'volume:    '}{.name}
        {'configMap: '}{.configMap.name}{'\n'}{end}
      {end}"

      Copy to Clipboard Toggle word wrap

      출력 예

      Namespace: default
      Pod:       keepalived-worker-59df45db9c-2x9mn
      Volumes that use config maps:
        volume:    config-volume
        configMap: mycustomcheck

      Copy to Clipboard Toggle word wrap

   2. 이전 단계에서 볼륨으로 사용되는 구성 맵의 이름을 제공한 경우 구성 맵을 삭제합니다.

      $ oc delete configmap <configmap_name>

      Copy to Clipboard Toggle word wrap

2. IP 페일오버를 위한 기존 배포를 식별합니다.

   $ oc get deployment -l ipfailover

   Copy to Clipboard Toggle word wrap

   출력 예

   NAMESPACE   NAME         READY   UP-TO-DATE   AVAILABLE   AGE
   default     ipfailover   2/2     2            2           105d

   Copy to Clipboard Toggle word wrap

3. 배포를 삭제합니다.

   $ oc delete deployment <ipfailover_deployment_name>

   Copy to Clipboard Toggle word wrap

4. ipfailover 서비스 계정을 제거합니다.

   $ oc delete sa ipfailover

   Copy to Clipboard Toggle word wrap

5. IP 페일오버를 처음 구성할 때 추가된 IP 테이블 규칙을 제거하는 작업을 실행합니다.

   1. 다음 예와 유사한 콘텐츠를 사용하여 remove-ipfailover-job.yaml과 같은 파일을 생성합니다.

      apiVersion: batch/v1
      kind: Job
      metadata:
        generateName: remove-ipfailover-
        labels:
          app: remove-ipfailover
      spec:
        template:
          metadata:
            name: remove-ipfailover
          spec:
            containers:
            - name: remove-ipfailover
              image: registry.redhat.io/openshift4/ose-keepalived-ipfailover-rhel9:v4.18
              command: ["/var/lib/ipfailover/keepalived/remove-failover.sh"]
            nodeSelector: 

      1

      
              kubernetes.io/hostname: <host_name>  

      2

      
            restartPolicy: Never

      Copy to Clipboard Toggle word wrap

      1

      nodeSelector 는 이전 IP 페일오버 배포에 사용된 선택기와 같을 수 있습니다.

      2

      IP 페일오버용으로 구성된 클러스터의 각 노드에 대해 작업을 실행하고 매번 호스트 이름을 바꿉니다.

   2. 작업을 실행합니다.

      $ oc create -f remove-ipfailover-job.yaml

      Copy to Clipboard Toggle word wrap

      출력 예

      job.batch/remove-ipfailover-2h8dm created

      Copy to Clipboard Toggle word wrap

프로세스

1. HTTPS 연결을 프록시하는 데 필요한 추가 CA 인증서가 포함된 구성 맵을 생성합니다.

   참고

   프록시의 ID 인증서가 RHCOS(Red Hat Enterprise Linux CoreOS) 신뢰 번들의 기관에서 서명한 경우 이 단계를 건너뛸 수 있습니다.

   1. user-ca-bundle.yaml 이라는 파일을 생성하고 PEM 인코딩 인증서 값을 제공합니다.

      apiVersion: v1
      data:
        ca-bundle.crt: | 

      1

      
          <MY_PEM_ENCODED_CERTS> 

      2

      
      kind: ConfigMap
      metadata:
        name: user-ca-bundle 

      3

      
        namespace: openshift-config 

      4

      Copy to Clipboard Toggle word wrap

      1

      이 데이터 키의 이름은 ca-bundle.crt여야 합니다.

      2

      프록시의 ID 인증서 서명에 사용되는 하나 이상의 PEM 인코딩 X.509 인증서입니다.

      3

      프록시 오브젝트에서 참조하는 구성 맵 이름입니다.

      4

      구성 맵은 openshift-config 네임스페이스에 있어야 합니다.

   2. 다음 명령을 입력하여 user-ca-bundle.yaml 파일에서 구성 맵을 생성합니다.

      $ oc create -f user-ca-bundle.yaml

      Copy to Clipboard Toggle word wrap

2. oc edit 명령을 사용하여 프록시 오브젝트를 수정합니다.

   $ oc edit proxy/cluster

   Copy to Clipboard Toggle word wrap

3. 프록시에 필요한 필드를 구성합니다.

   apiVersion: config.openshift.io/v1
   kind: Proxy
   metadata:
     name: cluster
   spec:
     httpProxy: http://<username>:<pswd>@<ip>:<port> 

   1

   
     httpsProxy: https://<username>:<pswd>@<ip>:<port> 

   2

   
     noProxy: example.com 

   3

   
     readinessEndpoints:
     - http://www.google.com 

   4

   
     - https://www.google.com
     trustedCA:
       name: user-ca-bundle 

   5

   Copy to Clipboard Toggle word wrap

   1

   클러스터 외부에서 HTTP 연결을 구축하는 데 사용할 프록시 URL입니다. URL 스키마는 http여야 합니다.

   2

   클러스터 외부에서 HTTPS 연결을 구축하는 데 사용할 프록시 URL입니다. URL 스키마는 http 또는 https 여야 합니다. URL 스키마를 지원하는 프록시의 URL을 지정합니다. 예를 들어 대부분의 프록시는 https 를 사용하도록 구성된 경우 오류를 보고하지만 http 만 지원합니다. 이 실패 메시지는 로그에 전파되지 않을 수 있으며 대신 네트워크 연결 실패로 표시될 수 있습니다. 클러스터에서 https 연결을 수신하는 프록시를 사용하는 경우 프록시에서 사용하는 CA 및 인증서를 수락하도록 클러스터를 구성해야 할 수 있습니다.

   3

   대상 도메인 이름, 도메인, IP 주소(또는 기타 네트워크 CIDR) 및 프록시를 제외할 포트 번호의 쉼표로 구분된 목록입니다.

   참고

   포트 번호는 IPv6 주소를 구성할 때만 지원됩니다. IPv4 주소를 구성할 때 포트 번호는 지원되지 않습니다.

   하위 도메인과 일치하려면 도메인 앞에 .을 입력합니다. 예를 들어, .y.com은 x.y.com과 일치하지만 y.com은 일치하지 않습니다. *를 사용하여 모든 대상에 대해 프록시를 바이패스합니다.

   noproxy 필드에 도메인 주소를 포함해야 하는 경우 noproxy 필드에 해당 FQDN 또는 접두사 일치 하위 도메인을 명시적으로 지정해야 합니다. 도메인을 캡슐화하는 IP 주소 또는 CIDR 범위는 사용할 수 없습니다. 이는 클러스터가 DNS가 경로 연결을 할당하기 전에 IP 주소를 반환하고 생성되는 요청에 대해 명시적으로 확인하기 위해 기다리지 않기 때문입니다. 예를 들어 noproxy 필드에 대해 10.0.0.0/24 와 같은 CIDR 블록 값이 있고 필드가 https://10.0.0.11 에 액세스하려고 하면 주소가 성공적으로 일치합니다. 그러나 A 레코드 항목이 10.0.0.11 인 https://exampleserver.externaldomain.com 에 액세스하려고 하면 실패합니다. noproxy 필드의 경우 .externaldomain.com 의 추가 값이 필요합니다.

   networking.machineNetwork[].cidr 필드에 의해 정의된 네트워크에 포함되지 않은 컴퓨팅 노드를 설치 구성에서 확장하려면 연결 문제가 발생하지 않도록 이 목록에 추가해야 합니다.

   httpProxy와 httpsProxy 필드가 모두 설정되지 않은 경우 이 필드는 무시됩니다.

   4

   httpProxy 및 httpsProxy 값을 상태에 쓰기 전에 준비 검사를 수행하는 데 사용할 하나 이상의 클러스터 외부 URL입니다.

   5

   HTTPS 연결을 프록시하는 데 필요한 추가 CA 인증서가 포함된 openshift-config 네임스페이스의 구성 맵에 대한 참조입니다. 여기에서 구성 맵을 참조하기 전에 구성 맵이 이미 있어야 합니다. 프록시의 ID 인증서를 RHCOS 트러스트 번들에 있는 기관에서 서명하지 않은 경우 이 필드가 있어야 합니다.

4. 파일을 저장하여 변경 사항을 적용합니다.

프로세스

1. 프록시를 수정하려면 oc edit 명령을 사용합니다.

   $ oc edit proxy/cluster

   Copy to Clipboard Toggle word wrap

2. 프록시 오브젝트에서 모든 spec 필드를 제거합니다. 예를 들면 다음과 같습니다.

   apiVersion: config.openshift.io/v1
   kind: Proxy
   metadata:
     name: cluster
   spec: {}

   Copy to Clipboard Toggle word wrap
3. 파일을 저장하여 변경 사항을 적용합니다.

프로세스

1. oc 명령을 사용하여 프록시 구성 상태를 확인합니다.

   $ oc get proxy/cluster -o yaml

   Copy to Clipboard Toggle word wrap
2. 출력의 프록시 필드를 확인하여 구성과 일치하는지 확인합니다. 특히 spec.httpProxy,spec.httpsProxy,spec.noProxy, spec.trustedCA 필드를 확인합니다.

3. 프록시 오브젝트의 상태를 검사합니다.

   $ oc get proxy/cluster -o jsonpath='{.status}'

   Copy to Clipboard Toggle word wrap

   출력 예

   {
   status:
       httpProxy: http://user:xxx@xxxx:3128
       httpsProxy: http://user:xxx@xxxx:3128
       noProxy: .cluster.local,.svc,10.0.0.0/16,10.128.0.0/14,127.0.0.1,169.254.169.254,172.30.0.0/16,localhost,test.no-proxy.com
   }

   Copy to Clipboard Toggle word wrap

4. MCO(Machine Config Operator)의 로그를 확인하여 구성 변경 사항이 성공적으로 적용되었는지 확인합니다.

   $ oc logs -n openshift-machine-config-operator $(oc get pods -n openshift-machine-config-operator -l k8s-app=machine-config-operator -o name)

   Copy to Clipboard Toggle word wrap
5. 프록시 설정이 적용되고 필요한 경우 노드가 재부팅되었음을 나타내는 메시지를 찾습니다.

6. CVO(Cluster Version Operator)와 같은 외부 요청을 수행하는 구성 요소의 로그를 확인하여 시스템 구성 요소가 프록시를 사용하고 있는지 확인합니다.

   $ oc logs -n openshift-cluster-version $(oc get pods -n openshift-cluster-version -l k8s-app=machine-config-operator -o name)

   Copy to Clipboard Toggle word wrap
7. 외부 요청이 프록시를 통해 라우팅되었음을 보여주는 로그 항목을 찾습니다.

프로세스

1. install-config.yaml 파일을 편집하고 프록시 설정을 추가합니다. 예를 들면 다음과 같습니다.

   apiVersion: v1
   baseDomain: my.domain.com
   proxy:
     httpProxy: http://<username>:<pswd>@<ip>:<port> 

   1

   
     httpsProxy: https://<username>:<pswd>@<ip>:<port> 

   2

   
     noProxy: example.com 

   3

   
   additionalTrustBundle: | 

   4

   
       -----BEGIN CERTIFICATE-----
       <MY_TRUSTED_CA_CERT>
       -----END CERTIFICATE-----
   additionalTrustBundlePolicy: <policy_to_add_additionalTrustBundle> 

   5

   Copy to Clipboard Toggle word wrap

   1

   클러스터 외부에서 HTTP 연결을 구축하는 데 사용할 프록시 URL입니다. URL 스키마는 http여야 합니다.

   2

   클러스터 외부에서 HTTPS 연결을 구축하는 데 사용할 프록시 URL입니다.

   3

   대상 도메인 이름, IP 주소 또는 프록시에서 제외할 기타 네트워크 CIDR로 이루어진 쉼표로 구분된 목록입니다. 하위 도메인과 일치하려면 도메인 앞에 .을 입력합니다. 예를 들어, .y.com은 x.y.com과 일치하지만 y.com은 일치하지 않습니다. *를 사용하여 모든 대상에 대해 프록시를 바이패스합니다.

   4

   이 값을 제공하면 설치 프로그램에서 HTTPS 연결을 프록시하는 데 필요한 추가 CA 인증서가 하나 이상 포함된 openshift-config 네임스페이스에 user-ca-bundle이라는 이름으로 구성 맵을 생성합니다. 그러면 CNO(Cluster Network Operator)에서 이러한 콘텐츠를 RHCOS(Red Hat Enterprise Linux CoreOS) 신뢰 번들과 병합하는 trusted-ca-bundle 구성 맵을 생성합니다. 이 구성 맵은 Proxy 오브젝트의 trustedCA 필드에서 참조됩니다. 프록시의 ID 인증서를 RHCOS 트러스트 번들에 있는 기관에서 서명하지 않은 경우 additionalTrustBundle 필드가 있어야 합니다.

   5

   선택 사항: trustedCA 필드에서 user-ca-bundle 구성 맵을 참조할 프록시 오브젝트의 구성을 결정하는 정책입니다. 허용되는 값은 Proxyonly 및 Always 입니다. http/https 프록시가 구성된 경우에만 user-ca-bundle 구성 맵을 참조하려면 Proxyonly 를 사용합니다. Always를 사용하여 user-ca-bundle 구성 맵을 항상 참조합니다. 기본값은 Proxyonly 입니다.

   참고

   설치 프로그램에서 프록시 adinessEndpoints 필드를 지원하지 않습니다.

   참고

   설치 프로그램이 시간 초과되면 설치 프로그램의 wait-for 명령을 사용하여 배포를 다시 시작한 다음 완료합니다. 예를 들면 다음과 같습니다.

   $ ./openshift-install wait-for install-complete --log-level debug

   Copy to Clipboard Toggle word wrap
2. 파일을 저장해 놓고 OpenShift Container Platform을 설치할 때 참조하십시오.

프로세스

1. HTTPS 연결을 프록시하는 데 필요한 추가 CA 인증서가 포함된 구성 맵을 생성합니다.

   참고

   프록시의 ID 인증서가 RHCOS(Red Hat Enterprise Linux CoreOS) 신뢰 번들의 기관에서 서명한 경우 이 단계를 건너뛸 수 있습니다.

   1. user-ca-bundle.yaml 이라는 파일을 생성하고 PEM 인코딩 인증서 값을 제공합니다.

      apiVersion: v1
      data:
        ca-bundle.crt: | 

      1

      
          <MY_PEM_ENCODED_CERTS> 

      2

      
      kind: ConfigMap
      metadata:
        name: user-ca-bundle 

      3

      
        namespace: openshift-config 

      4

      Copy to Clipboard Toggle word wrap

      1

      이 데이터 키의 이름은 ca-bundle.crt여야 합니다.

      2

      프록시의 ID 인증서 서명에 사용되는 하나 이상의 PEM 인코딩 X.509 인증서입니다.

      3

      프록시 오브젝트에서 참조하는 구성 맵 이름입니다.

      4

      구성 맵은 openshift-config 네임스페이스에 있어야 합니다.

   2. 다음 명령을 입력하여 user-ca-bundle.yaml 파일에서 구성 맵을 생성합니다.

      $ oc create -f user-ca-bundle.yaml

      Copy to Clipboard Toggle word wrap

2. oc edit 명령을 사용하여 프록시 오브젝트를 수정합니다.

   $ oc edit proxy/cluster

   Copy to Clipboard Toggle word wrap

3. 프록시에 필요한 필드를 구성합니다.

   apiVersion: config.openshift.io/v1
   kind: Proxy
   metadata:
     name: cluster
   spec:
     httpProxy: http://<username>:<pswd>@<ip>:<port> 

   1

   
     httpsProxy: https://<username>:<pswd>@<ip>:<port> 

   2

   
     noProxy: example.com 

   3

   
     readinessEndpoints:
     - http://www.google.com 

   4

   
     - https://www.google.com
     trustedCA:
       name: user-ca-bundle 

   5

   Copy to Clipboard Toggle word wrap

   1

   클러스터 외부에서 HTTP 연결을 구축하는 데 사용할 프록시 URL입니다. URL 스키마는 http여야 합니다.

   2

   클러스터 외부에서 HTTPS 연결을 구축하는 데 사용할 프록시 URL입니다. URL 스키마는 http 또는 https 여야 합니다. URL 스키마를 지원하는 프록시의 URL을 지정합니다. 예를 들어 대부분의 프록시는 https 를 사용하도록 구성된 경우 오류를 보고하지만 http 만 지원합니다. 이 실패 메시지는 로그에 전파되지 않을 수 있으며 대신 네트워크 연결 실패로 표시될 수 있습니다. 클러스터에서 https 연결을 수신하는 프록시를 사용하는 경우 프록시에서 사용하는 CA 및 인증서를 수락하도록 클러스터를 구성해야 할 수 있습니다.

   3

   대상 도메인 이름, 도메인, IP 주소(또는 기타 네트워크 CIDR) 및 프록시를 제외할 포트 번호의 쉼표로 구분된 목록입니다.

   참고

   포트 번호는 IPv6 주소를 구성할 때만 지원됩니다. IPv4 주소를 구성할 때 포트 번호는 지원되지 않습니다.

   하위 도메인과 일치하려면 도메인 앞에 .을 입력합니다. 예를 들어, .y.com은 x.y.com과 일치하지만 y.com은 일치하지 않습니다. *를 사용하여 모든 대상에 대해 프록시를 바이패스합니다.

   noproxy 필드에 도메인 주소를 포함해야 하는 경우 noproxy 필드에 해당 FQDN 또는 접두사 일치 하위 도메인을 명시적으로 지정해야 합니다. 도메인을 캡슐화하는 IP 주소 또는 CIDR 범위는 사용할 수 없습니다. 이는 클러스터가 DNS가 경로 연결을 할당하기 전에 IP 주소를 반환하고 생성되는 요청에 대해 명시적으로 확인하기 위해 기다리지 않기 때문입니다. 예를 들어 noproxy 필드에 대해 10.0.0.0/24 와 같은 CIDR 블록 값이 있고 필드가 https://10.0.0.11 에 액세스하려고 하면 주소가 성공적으로 일치합니다. 그러나 A 레코드 항목이 10.0.0.11 인 https://exampleserver.externaldomain.com 에 액세스하려고 하면 실패합니다. noproxy 필드의 경우 .externaldomain.com 의 추가 값이 필요합니다.

   networking.machineNetwork[].cidr 필드에 의해 정의된 네트워크에 포함되지 않은 컴퓨팅 노드를 설치 구성에서 확장하려면 연결 문제가 발생하지 않도록 이 목록에 추가해야 합니다.

   httpProxy와 httpsProxy 필드가 모두 설정되지 않은 경우 이 필드는 무시됩니다.

   4

   httpProxy 및 httpsProxy 값을 상태에 쓰기 전에 준비 검사를 수행하는 데 사용할 하나 이상의 클러스터 외부 URL입니다.

   5

   HTTPS 연결을 프록시하는 데 필요한 추가 CA 인증서가 포함된 openshift-config 네임스페이스의 구성 맵에 대한 참조입니다. 여기에서 구성 맵을 참조하기 전에 구성 맵이 이미 있어야 합니다. 프록시의 ID 인증서를 RHCOS 트러스트 번들에 있는 기관에서 서명하지 않은 경우 이 필드가 있어야 합니다.

4. 파일을 저장하여 변경 사항을 적용합니다.