第 2 章 配置防火墙

流程

1. 允许为集群安装和升级以下容器 registry URL：

   Expand

   URL	port	功能
   registry.redhat.io	443	提供核心容器镜像
   access.redhat.com	443	托管签名存储，容器客户端需要验证从 registry.access.redhat.com 中拉取的镜像。在防火墙环境中，确保此资源位于允许列表中。
   registry.access.redhat.com	443	托管存储在 Red Hat Ecosytem Catalog 中的所有容器镜像，包括核心容器镜像。
   quay.io	443	提供核心容器镜像
   cdn.quay.io	443	提供核心容器镜像
   cdn01.quay.io	443	提供核心容器镜像
   cdn02.quay.io	443	提供核心容器镜像
   cdn03.quay.io	443	提供核心容器镜像
   cdn04.quay.io	443	提供核心容器镜像
   cdn05.quay.io	443	提供核心容器镜像
   cdn06.quay.io	443	提供核心容器镜像
   icr.io	443	提供 IBM Cloud Pak 容器镜像。只有在使用 IBM Cloud Paks 时，才需要这个域。
   cp.icr.io	443	提供 IBM Cloud Pak 容器镜像。只有在使用 IBM Cloud Paks 时，才需要这个域。

   Show more
   • 您可以在 allowlist 中使用通配符 *.quay.io 来替代 cdn.quay.io 和 cdn0[1-6].quay.io
   • 您可以使用通配符 *.access.redhat.com 来简化配置，并确保所有子域（包括 registry.access.redhat.com ）都被允许。
   • 在允许列表中添加 quay.io 等站点时，不要在您的 denylist 中添加通配符条目，如 dcquay.io。在大多数情况下，镜像 registry 使用内容交付网络（CDN）来提供镜像。如果防火墙阻止访问，则初始下载请求重定向到一个主机名（如 cdn01.quay.io ）时，镜像下载将被拒绝。

2. 允许以下 URL 来启用集群访问、身份验证和更新：

   Expand

   URL	port	功能
   *.apps.<cluster_name>.<base_domain>	443	允许这些 URL 启用集群访问、身份验证和更新。
   api.openshift.com	443	集群令牌的 API 端点并更新检查。
   console.redhat.com	443	集群令牌的身份验证服务。
   sso.redhat.com	443	https://console.redhat.com 站点使用来自 sso.redhat.com 的身份验证

   Show more

   对于出口流量，Operator 需要路由访问权限来执行健康检查，以建立连接以到达端点。身份验证和 Web 控制台 Operator 连接到两个路由，以验证功能。不允许 dc apps.<cluster_name>.<base_domain&gt; 的集群管理员必须允许以下路由：

   • oauth-openshift.apps.<cluster_name>.<base_domain>
   • canary-openshift-ingress-canary.apps.<cluster_name>.<base_domain>
   • console-openshift-console.apps.<cluster_name>.<base_domain>，或在 consoles.operator/cluster 对象中的 spec.route.hostname 项指定的主机名（如果这个项不为空）。

3. 允许列出以下 registry URL，用于为集群安装和升级托管相关工件，如安装内容、发行镜像和客户端工具：

   Expand

   URL	port	功能
   mirror.openshift.com	443	需要此项以访问镜像安装内容和镜像。此站点也是发行版本镜像签名的来源，但 Cluster Version Operator 只需要一个可正常工作的源。
   quayio-production-s3.s3.amazonaws.com	443	需要此项以访问 AWS 中的 Quay 镜像内容。
   rhcos.mirror.openshift.com	443	下载 Red Hat Enterprise Linux CoreOS (RHCOS) 镜像需要此项。
   storage.googleapis.com/openshift-release	443	发行版本镜像签名源，但 Cluster Version Operator 只需要一个可正常工作的源。

   Show more
4. 将防火墙的允许列表设置为包含为构建所需的语言或框架提供资源的任何站点。

5. 如果不禁用 Telemetry，您必须授予对以下 URL 的访问权限，以访问 Telemetry 和红帽 Lightspeed：

   Expand

   URL	port	功能
   cert-api.access.redhat.com	443	Telemetry 所需
   api.access.redhat.com	443	Telemetry 所需
   infogw.api.openshift.com	443	Telemetry 所需
   console.redhat.com	443	Telemetry 和 insights-operator需要

   Show more

6. 如果使用 Alibaba Cloud、Amazon Web Services (AWS)、Microsoft Azure 或 Google Cloud 来托管您的集群，您必须授予对为该云提供云供应商 API 和 DNS 的 URL 的访问权限：

   Expand

   云	URL	port	功能
   Alibaba	*.aliyuncs.com	443	需要此项以访问 Alibaba Cloud 服务和资源。查看 Alibaba endpoint_config.go 文件，以查找您使用的区域所允许的确切端点。
   AWS	aws.amazon.com	443	用于在 AWS 环境中安装和管理集群。
   	*.amazonaws.com 另外，如果您选择不对 AWS API 使用通配符，则必须在允许列表中包含以下 URL：	443	需要此项以访问 AWS 服务和资源。请参阅 AWS 文档中的 AWS Service Endpoints，以查找您使用的区域所允许的确切端点。
   	ec2.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	events.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	iam.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	route53.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	*.s3.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	*.s3.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	*.s3.dualstack.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	sts.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	sts.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	tagging.us-east-1.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。此端点始终为 us-east-1，无论集群要部署到的区域。
   	ec2.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	elasticloadbalancing.<aws_region>.amazonaws.com	443	用于在 AWS 环境中安装和管理集群。
   	servicequotas.<aws_region>.amazonaws.com	443	必需。用于确认用于部署该服务的配额。
   	tagging.<aws_region>.amazonaws.com	443	允许以标签的形式分配 AWS 资源的元数据。
   	*.cloudfront.net	443	用于提供对 CloudFront 的访问。如果使用 AWS 安全令牌服务(STS)和私有 S3 存储桶，您必须提供对 CloudFront 的访问。
   GCP	*.googleapis.com	443	需要此项以访问 Google Cloud 服务和资源。请参阅 Google Cloud 文档中的 Cloud Endpoints，以查找您的 API 所允许的端点。
   	accounts.google.com	443	需要此项以访问 Google Cloud 帐户。
   Microsoft Azure	management.azure.com	443	需要此项以访问 Microsoft Azure 服务和资源。请参阅 Microsoft Azure 文档中的 Microsoft Azure REST API 参考，以查找允许您 API 的端点。
   	*.blob.core.windows.net	443	需要下载 Ignition 文件。
   	login.microsoftonline.com	443	需要此项以访问 Microsoft Azure 服务和资源。请参阅 Microsoft Azure 文档中的 Azure REST API 参考，以查找您的 API 允许的端点。

   Show more

7. 将以下 URL 列入允许的可选第三方内容：

   Expand

   URL	port	功能
   registry.connect.redhat.com	443	所有第三方镜像和认证操作器必填.

   Show more

8. 如果您使用默认的 Red Hat Network Time Protocol (NTP)服务器，请允许以下 URL：NTP 在用户数据报协议(UDP)端口 123 上运行，因此在防火墙上必须打开此端口。

   Expand

   URL	port	功能
   1.rhel.pool.ntp.org	123	为时间同步提供 NTP 服务。
   2.rhel.pool.ntp.org	123	为时间同步提供 NTP 服务。
   3.rhel.pool.ntp.org	123	为时间同步提供 NTP 服务。

   Show more
   注意

   如果您不使用默认的 Red Hat NTP 服务器，请验证您的平台的 NTP 服务器并在防火墙中允许它。