5장. 네트워크 포트 및 프로토콜
Red Hat Ansible Automation Platform은 여러 포트를 사용하여 서비스와 통신합니다. 이러한 포트가 열려 있어야 하며 Red Hat Ansible Automation Platform 서버 연결에서 사용할 수 있어야 합니다. 이러한 포트를 사용할 수 있고 서버 방화벽에 의해 차단되지 않았는지 확인합니다.
다음 아키텍처 다이어그램은 가능한 모든 구성 요소가 포함된 완전히 배포된 Ansible Automation Platform의 예입니다.
그림 5.1. Ansible Automation Platform 네트워크 포트 및 프로토콜
다음 표는 대상 포트와 네트워크 트래픽 방향을 나타냅니다.
나열된 다음 기본 대상 포트 및 설치 프로그램 인벤토리는 구성할 수 있습니다. 환경에 맞게 구성하도록 선택하는 경우 동작 변화가 발생할 수 있습니다.
| 포트 | 프로토콜 | Service | 소스 | 대상 | 필수 항목 | 설치 프로그램 인벤토리 변수 |
|---|---|---|---|---|---|---|
| 22 | TCP | SSH | 설치 프로그램 노드 | 자동화 허브 | 설치(임시) |
|
| 22 | TCP | SSH | 설치 프로그램 노드 | 컨트롤러 노드 | 설치(임시) |
|
| 22 | TCP | SSH | 설치 프로그램 노드 | EDA 노드 | 설치(임시) |
|
| 22 | TCP | SSH | 설치 프로그램 노드 | 실행 노드 | 설치(임시) |
|
| 22 | TCP | SSH | 설치 프로그램 노드 | 홉 노드 | 설치(임시) |
|
| 22 | TCP | SSH | 설치 프로그램 노드 | 하이브리드 노드 | 설치(임시) |
|
| 22 | TCP | SSH | 설치 프로그램 노드 | PostgreSQL 데이터베이스 | 설치 중 원격 액세스(임시) |
|
| 80/443 | TCP | HTTP/HTTPS | 설치 프로그램 노드 | 자동화 허브 | 번들 설치 프로그램을 사용할 때 설치 관리자 노드에서 실행 환경 이미지를 자동화 허브로 푸시할 수 있습니다. | 고정된 값 |
| 80/443 | TCP | HTTP/HTTPS | 실행 노드 | 자동화 허브 | 실행 노드에서 자동화 허브에서 실행 환경 이미지를 가져올 수 있습니다. | 고정된 값 |
| 80/443 | TCP | HTTP/HTTPS | 자동화 컨트롤러 | 자동화 허브 | 컬렉션 및/또는 컨테이너 이미지 실행 환경을 가져오는 경우입니다. | 고정된 값 |
| 443 | TCP | HTTPS | 컨트롤러 노드 | 클라이언트 | 웹 UI/API |
|
| 443 | TCP | HTTPS | 컨트롤러 노드 | OpenShift Container Platform | 컨테이너 그룹을 사용하여 작업을 실행하는 경우에만 필요합니다. | OpenShift API 서버의 호스트 이름 |
| 5432 | TCP | PostgreSQL | 컨트롤러 노드 | PostgreSQL 데이터베이스 | 내부 데이터베이스가 다른 구성 요소와 함께 사용되는 경우에만 엽니다. 그렇지 않으면 이 포트가 열려서는 안 됩니다. |
|
| 5432 | TCP | PostgreSQL | EDA 노드 | PostgreSQL 데이터베이스 | 내부 데이터베이스가 다른 구성 요소와 함께 사용되는 경우에만 엽니다. 그렇지 않으면 이 포트가 열려서는 안 됩니다. |
|
| 5432 | TCP | PostgreSQL | 자동화 허브 | PostgreSQL 데이터베이스 | 내부 데이터베이스가 다른 구성 요소와 함께 사용되는 경우에만 엽니다. 그렇지 않으면 이 포트가 열려서는 안 됩니다. |
|
| 27199 | TCP | 수신기 | 컨트롤러 노드 | 실행 노드 | 구성 가능 컨트롤러와 직접 피어링된 노드를 메시합니다. 관련된 직접 노드입니다. 27199 통신은 실행 노드의 두 가지 방법(설치 인벤토리에 따라 다름)일 수 있습니다. |
|
| 27199 | TCP | 수신기 | 컨트롤러 노드 | 홉 노드 | 구성 가능 홉 노드를 통해 릴레이한 경우 홉 노드에서 수신기 포트로의 ENABLE 연결. |
|
| 27199 | TCP | 수신기 | 컨트롤러 노드 | 하이브리드 노드 | 구성 가능 홉이 아닌 노드를 통해 릴레이하는 경우 컨트롤러에서 Receptor 포트로의 ENABLE 연결 |
|
| 27199 | TCP | 수신기 | 실행 노드 | 홉 노드 | 구성 가능 메시 27199 통신은 실행 노드의 두 가지 방법(설치 인벤토리에 따라 다름)일 수 있습니다. 컨트롤러에서 수신기 포트로 ALLOW 연결 |
|
| 27199 | TCP | 수신기 | 실행 노드 | 컨트롤러 노드 | 구성 가능 메시 27199 통신은 실행 노드의 두 가지 방법(설치 인벤토리에 따라 다름)일 수 있습니다. 컨트롤러에서 수신기 포트로 ALLOW 연결 |
|
- 하이브리드 노드는 컨트롤 및 실행 노드의 조합으로 작동하므로 하이브리드 노드는 두 노드의 연결을 모두 공유합니다.
-
receiver
_listener_port가 정의된 경우 시스템은 인바운드 TCP 연결을 설정하기 위해 사용 가능한 오픈 포트(예: 27199)도 필요합니다. 일부 서버가 수신기 포트에서 수신 대기하지 않는 경우일 수 있습니다(기본값은 27199임).
A, B, C, D 노드가 있는 컨트롤 플레인이 있다고 가정합니다.
RPM 설치 프로그램은 최소 권한 있는 접근 방식을 사용하여 컨트롤 플레인 노드 간에 강력하게 연결된 피어링을 생성하고 필요한 노드에서만 tcp 리스너를 엽니다. 모든 수용체 연결은 양방향이므로 연결이 생성되면 수신기가 두 방향으로 통신할 수 있습니다.
다음은 세 개의 컨트롤러 노드에 설정된 피어링 예제입니다.
컨트롤러 노드 A - Cryostat 컨트롤러 노드 B
컨트롤러 노드 A - Cryostat 컨트롤러 노드 C
컨트롤러 노드 B - Cryostat 컨트롤러 노드 C
설정을 설정하여 리스너를 강제 수행할 수 있습니다.
receptor_listener=True그러나 연결 컨트롤러 B - Cryostat A는 해당 연결이 이미 존재하므로 거부될 수 있습니다.
즉, 컨트롤러 A에 컨트롤러 A에 연결하지 않고 다른 노드에 대한 연결을 생성하고 다음 명령은 컨트롤러 A에서 아무것도 반환하지 않습니다.
[root@controller1 ~]# ss -ntlp | grep 27199 [root@controller1 ~]#
| URL | 필수 항목 |
|---|---|
| 일반 계정 서비스, 서브스크립션 | |
| Insights 데이터 업로드 | |
| 인벤토리 업로드 및 클라우드 커넥터 연결 | |
| Insights 대시보드에 액세스 |
| URL | 필수 항목 |
|---|---|
| 일반 계정 서비스, 서브스크립션 | |
| 인덱싱 실행 환경 | |
| TCP | |
| https://automation-hub-prd.s3.amazonaws.com:443 https://automation-hub-prd.s3.us-east-2.amazonaws.com:443 | 방화벽 액세스 |
| Ansible Community curated Ansible 콘텐츠 | |
| https://ansible-galaxy-ng.s3.dualstack.us-east-1.amazonaws.com:443 | 커뮤니티 큐레이션 Ansible 콘텐츠 리포지토리를 위한 듀얼 스택 IPv6 끝점 |
| Red Hat 및 파트너가 제공하는 컨테이너 이미지에 액세스 | |
| Red Hat 및 파트너 선별된 Ansible 컬렉션 |
| URL | 필수 항목 |
|---|---|
| Red Hat 및 파트너가 제공하는 컨테이너 이미지에 액세스 | |
|
| Red Hat 및 파트너가 제공하는 컨테이너 이미지에 액세스 |
|
| Red Hat 및 파트너가 제공하는 컨테이너 이미지에 액세스 |
|
| Red Hat 및 파트너가 제공하는 컨테이너 이미지에 액세스 |
|
| Red Hat 및 파트너가 제공하는 컨테이너 이미지에 액세스 |
2025년 4월 1일부터 quay.io 는 3개의 추가 엔드포인트를 추가하고 있습니다. 따라서 고객은 다음 엔드포인트를 포함하도록 방화벽 시스템 목록 내의 허용/블록 목록을 조정해야 합니다.
-
cdn04.quay.io -
cdn05.quay.io -
cdn06.quay.io
컨테이너 이미지를 가져오는 문제를 방지하려면 고객은 다음 호스트 이름에 대한 아웃 바운드 TCP 연결(포트 80 및 443)을 허용해야 합니다.
-
cdn.quay.io -
cdn01.quay.io -
cdn02.quay.io -
cdn03.quay.io -
cdn04.quay.io -
cdn05.quay.io -
cdn06.quay.io
registry.redhat.io 또는 registry.access.redhat.com 에 대한 아웃 바운드 연결을 구체적으로 활성화하는 방화벽 구성을 변경해야 합니다.
방화벽 규칙을 구성할 때 IP 주소 대신 호스트 이름을 사용합니다.
이 변경 후 registry.redhat.io 또는 registry.access.redhat.com 에서 이미지를 계속 가져올 수 있습니다. quay.io 로그인이 필요하지 않거나 Red Hat 컨테이너 이미지를 계속 가져오려면 quay.io 레지스트리와 직접 상호 작용할 필요가 없습니다.
자세한 내용은 컨테이너 이미지 가져오기 2024/2025에 대한 방화벽 변경을 참조하십시오.