6.6. IPsec 암호화 활성화
클러스터 관리자는 pod-to-pod IPsec 암호화, 클러스터 간 IPsec 암호화 및 외부 IPsec 끝점을 활성화할 수 있습니다.
다음 모드 중 하나로 IPsec을 구성할 수 있습니다.
-
full
: pod-to-pod 및 외부 트래픽에 대한 암호화 -
External
: 외부 트래픽의 암호화
전체
모드에서 IPsec을 구성하는 경우 "외부 트래픽용 IPsec 암호화 구성" 절차도 완료해야 합니다.
사전 요구 사항
-
OpenShift CLI(
oc
)를 설치합니다. -
cluster-admin
권한이 있는 사용자로 클러스터에 로그인합니다. -
IPsec ESP 헤더의 오버헤드를 허용하도록 클러스터 MTU의 크기를
46
바이트 감소했습니다.
프로세스
IPsec 암호화를 활성화하려면 다음 명령을 입력합니다.
Copy to Clipboard Copied! Toggle word wrap Toggle overflow - 1
외부
호스트에 대한 트래픽을 암호화하거나 Pod 간 트래픽을 암호화하고 선택적으로 외부 호스트로의 트래픽을 암호화하도록Full
을 지정합니다. 기본적으로 IPsec은 비활성화되어 있습니다.
- "외부 트래픽용 IPsec 암호화 구성" 절차를 완료하여 IPsec으로 외부 트래픽을 암호화합니다.
검증
OVN-Kubernetes 데이터 플레인 Pod의 이름을 찾으려면 다음 명령을 입력합니다.
oc get pods -n openshift-ovn-kubernetes -l=app=ovnkube-node
$ oc get pods -n openshift-ovn-kubernetes -l=app=ovnkube-node
Copy to Clipboard Copied! Toggle word wrap Toggle overflow 출력 예
Copy to Clipboard Copied! Toggle word wrap Toggle overflow 다음 명령을 실행하여 클러스터에서 IPsec을 활성화했는지 확인합니다.
참고클러스터 관리자는
전체
모드에서 IPsec을 구성할 때 클러스터의 Pod 간에 IPsec을 활성화했는지 확인할 수 있습니다. 이 단계에서는 클러스터와 외부 호스트 간에 IPsec이 작동하는지 확인하지 않습니다.oc -n openshift-ovn-kubernetes rsh ovnkube-node-<XXXXX> ovn-nbctl --no-leader-only get nb_global . ipsec
$ oc -n openshift-ovn-kubernetes rsh ovnkube-node-<XXXXX> ovn-nbctl --no-leader-only get nb_global . ipsec
1 Copy to Clipboard Copied! Toggle word wrap Toggle overflow 여기서 &
lt;XXXXX
>는 이전 단계에서 Pod의 임의의 문자 시퀀스를 지정합니다.명령의 성공적인 출력에는 상태가
true
로 표시됩니다.