25.14. 使用 OpenShift SDN 配置网络隔离
从 OpenShift Container Platform 4.14 开始，OpenShift SDN CNI 已被弃用。自 OpenShift Container Platform 4.15 起，网络插件不是新安装的选项。在以后的发行版本中，计划删除 OpenShift SDN 网络插件，并不再被支持。红帽将在删除前对这个功能提供程序错误修正和支持，但不会再改进这个功能。作为 OpenShift SDN CNI 的替代选择，您可以使用 OVN Kubernetes CNI。如需更多信息，请参阅 OpenShift SDN CNI 删除。
当集群配置为使用 OpenShift SDN 网络插件的多租户隔离模式时，每个项目会被默认隔离。在多租户隔离模式下，不同项目中的 pod 或服务间不允许网络流量。
您可以通过两种方式更改项目的多租户隔离行为：
- 您可以接合一个或多个项目，允许不同项目中的 pod 和服务间的网络流量。
- 您可以对项目禁用网络隔离。它可全局访问，接受所有其他项目中的 pod 和服务的网络流量。可全局访问的项目可以访问所有其他项目中的 pod 和服务。
25.14.1. 先决条件
- 您必须将集群配置为在多租户隔离模式中使用 OpenShift SDN 网络插件。
25.14.2. 接合项目
您可以接合两个或多个项目，以允许不同项目中的 Pod 和服务间的网络流量。
先决条件
-
安装 OpenShift CLI（
oc）。 -
您必须作为
cluster-admin角色用户登录集群。
流程
使用以下命令，将项目接合到现有项目网络中：
$ oc adm pod-network join-projects --to=<project1> <project2> <project3>
另外，除了指定具体的项目名称，也可以使用
--selector=<project_selector>选项来基于关联标签指定项目。可选：运行以下命令来查看您接合在一起的 Pod 网络：
$ oc get netnamespaces
在 NETID 列中，同一 Pod 网络中的项目具有相同的网络 ID。
25.14.3. 隔离项目
您可以隔离项目，使其他项目中的 pod 和服务无法访问这个项目中的 pod 和服务。
先决条件
-
安装 OpenShift CLI（
oc）。 -
您必须作为
cluster-admin角色用户登录集群。
流程
要隔离集群中的项目，请运行以下命令：
$ oc adm pod-network isolate-projects <project1> <project2>
另外，除了指定具体的项目名称，也可以使用
--selector=<project_selector>选项来基于关联标签指定项目。
25.14.4. 对项目禁用网络隔离
您可以对项目禁用网络隔离。
先决条件
-
安装 OpenShift CLI（
oc）。 -
您必须作为
cluster-admin角色用户登录集群。
流程
对项目运行以下命令：
$ oc adm pod-network make-projects-global <project1> <project2>
另外，除了指定具体的项目名称，也可以使用
--selector=<project_selector>选项来基于关联标签指定项目。
