网络

流程

1. 创建策略规则：

   1. 创建一个 <policy-name>.yaml 文件，其中 <policy-name> 描述策略规则。

   2. 在刚才创建的文件中，定义一个策略对象，如下例所示：

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: <policy-name> 1
      spec:
        podSelector:
        ingress: []

      1

      为策略对象指定一个名称。

2. 运行以下命令来创建策略对象：

   $ oc create -f <policy-name>.yaml -n <project>

   在以下示例中，在名为 project1 的项目中创建一个新 NetworkPolicy 对象：

   $ oc create -f default-deny.yaml -n project1

   输出示例

   networkpolicy "default-deny" created

流程

1. 可选：列出当前 NetworkPolicy 对象。

   1. 如果要列出特定命名空间中的策略对象，请输入以下命令。将 <namespace> 替换为一个项目的命名空间。

      $ oc get networkpolicy -n <namespace>

   2. 如果要列出整个集群的策略对象，请输入以下命令：

      $ oc get networkpolicy --all-namespaces

2. 编辑 NetworkPolicy 对象

   1. 如果将 NetworkPolicy 保存在一个文件中，编辑该文件并进行必要的更改，然后输入以下命令。将 <policy-file> 替换为包含对象定义的文件名称。

      $ oc apply -f <policy-file>.yaml

   2. 如果需要直接更新 NetworkPolicy 对象，可以输入以下命令。将 <policy-name> 替换为 NetworkPolicy 对象的名称，<namespace> 替换为对象存在的项目的名称。

      $ oc edit <policy-name> -n <namespace>

3. 确认 NetworkPolicy 对象已更新。将 <namespace> 替换为对象存在的项目的名称。

   $ oc get networkpolicy -n <namespace> -o yaml

流程

1. 以具有 cluster-admin 特权的用户身份登录。

2. 生成默认项目模板：

   $ oc adm create-bootstrap-project-template -o yaml > template.yaml

3. 使用文本编辑器，通过添加对象或修改现有对象来修改生成的 template.yaml 文件。

4. 项目模板必须创建在 openshift-config 命名空间中。加载修改后的模板：

   $ oc create -f template.yaml -n openshift-config

5. 使用 Web 控制台或 CLI 编辑项目配置资源。

   • 使用 Web 控制台：

     1. 导航至 Administration → Cluster Settings 页面。
     2. 点击 Global Configuration，查看所有配置资源。
     3. 找到 Project 的条目，并点击 Edit YAML。

   • 使用 CLI：

     1. 编辑 project.config.openshift.io/cluster 资源：

        $ oc edit project.config.openshift.io/cluster

6. 更新 spec 部分，使其包含 projectRequestTemplate 和 name 参数，再设置您上传的项目模板的名称。默认名称为 project-request。

   带有自定义项目模板的项目配置资源

   apiVersion: config.openshift.io/v1
   kind: Project
   metadata:
     ...
   spec:
     projectRequestTemplate:
       name: <template_name>

7. 保存更改后，创建一个新项目来验证是否成功应用了您的更改。

流程

1. 运行以下命令来编辑新项目的默认模板：

   $ oc edit template <project_template> -n openshift-config

   将 <project_template> 替换为您为集群配置的缺省模板的名称。默认模板名称为 project-request。

2. 在模板中，将每个 NetworkPolicy 对象作为一个元素添加到 objects参数中。objects 参数可以是一个或多个对象的集合。

   在以下示例中，objects 参数集合包括几个 NetworkPolicy 对象：

   objects:
   - apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: allow-from-same-namespace
     spec:
       podSelector:
       ingress:
       - from:
         - podSelector: {}
   - apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: allow-from-openshift-ingress
     spec:
       ingress:
       - from:
         - namespaceSelector:
             matchLabels:
               network.openshift.io/policy-group: ingress
       podSelector: {}
       policyTypes:
       - Ingress
   ...

3. 可选：通过运行以下命令创建一个新项目，来确认您的网络策略对象已被成功创建：

   1. 创建一个新项目

      $ oc new-project <project> 1

      1

      将 <project> 替换为您要创建的项目的名称。

   2. 确认新项目模板中的网络策略对象存在于新项目中：

      $ oc get networkpolicy
      NAME                           POD-SELECTOR   AGE
      allow-from-openshift-ingress   <none>         7s
      allow-from-same-namespace      <none>         7s

流程

1. 创建以下 NetworkPolicy 对象：

   1. 名为 allow-from-openshift-ingress 的策略：

      $ cat << EOF| oc create -f -
      apiVersion: networking.k8s.io/v1
      kind: NetworkPolicy
      metadata:
        name: allow-from-openshift-ingress
      spec:
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                network.openshift.io/policy-group: ingress
        podSelector: {}
        policyTypes:
        - Ingress
      EOF

   2. 名为 allow-from-openshift-monitoring 的策略：

      $ cat << EOF| oc create -f -
      apiVersion: networking.k8s.io/v1
      kind: NetworkPolicy
      metadata:
        name: allow-from-openshift-monitoring
      spec:
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                network.openshift.io/policy-group: monitoring
        podSelector: {}
        policyTypes:
        - Ingress
      EOF

   3. 名为 allow-same-namespace 的策略：

      $ cat << EOF| oc create -f -
      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: allow-same-namespace
      spec:
        podSelector:
        ingress:
        - from:
          - podSelector: {}
      EOF

2. 如果 default Ingress Controller 配置设置了 spec.endpointPublishingStrategy: HostNetwork 值，您需要为 default OpenShift Container Platform 命名空间添加一个标记来允许 Ingress Controller 和项目间的网络流量：

   1. 确定您的 default Ingress Controller 是否使用了 HostNetwork 端点发布策略：

      $ oc get --namespace openshift-ingress-operator ingresscontrollers/default \
        --output jsonpath='{.status.endpointPublishingStrategy.type}'

   2. 如果上个命令报告了端点发布策略为 HostNetwork，在 default 命名空间中设置一个标记：

      $ oc label namespace default 'network.openshift.io/policy-group=ingress'

3. 运行以下命令确认当前项目中存在 NetworkPolicy 对象：

   $ oc get networkpolicy <policy-name> -o yaml

   在以下示例中会显示 allow-from-openshift-ingress NetworkPolicy 对象：

   $ oc get -n project1 networkpolicy allow-from-openshift-ingress -o yaml

   输出示例

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: allow-from-openshift-ingress
     namespace: project1
   spec:
     ingress:
     - from:
       - namespaceSelector:
           matchLabels:
             network.openshift.io/policy-group: ingress
     podSelector: {}
     policyTypes:
     - Ingress

流程

1. 为 Pod 对象添加注解。只能使用以下注解格式之一：

   1. 要在没有自定义的情况下附加额外网络，请使用以下格式添加注解。将 <network> 替换为要与 Pod 关联的额外网络的名称：

      metadata:
        annotations:
          k8s.v1.cni.cncf.io/networks: <network>[,<network>,...] 1

      1

      要指定多个额外网络，请使用逗号分隔各个网络。逗号之间不可包括空格。如果您多次指定同一额外网络，则 Pod 会将多个网络接口附加到该网络。

   2. 要通过自定义来附加额外网络，请添加具有以下格式的注解：

      metadata:
        annotations:
          k8s.v1.cni.cncf.io/networks: |-
            [
              {
                "name": "<network>", 1
                "namespace": "<namespace>", 2
                "default-route": ["<default-route>"] 3
              }
            ]

      1

      指定 NetworkAttachmentDefinition CR 定义的额外网络的名称。

      2

      指定定义 NetworkAttachmentDefinition CR 的命名空间。

      3

      可选：为默认路由指定覆盖，如 192.168.17.1。

2. 运行以下命令来创建 Pod。将 <name> 替换为 Pod 的名称。

   $ oc create -f <name>.yaml

3. 可选： 要确认 Pod CR 中是否存在注解，请输入以下命令，将 <name> 替换为 Pod 的名称。

   $ oc get pod <name> -o yaml

   在以下示例中，example-pod Pod 附加到 net1 额外网络：

   $ oc get pod example-pod -o yaml
   apiVersion: v1
   kind: Pod
   metadata:
     annotations:
       k8s.v1.cni.cncf.io/networks: macvlan-bridge
       k8s.v1.cni.cncf.io/networks-status: |- 1
         [{
             "name": "openshift-sdn",
             "interface": "eth0",
             "ips": [
                 "10.128.2.14"
             ],
             "default": true,
             "dns": {}
         },{
             "name": "macvlan-bridge",
             "interface": "net1",
             "ips": [
                 "20.2.2.100"
             ],
             "mac": "22:2f:60:a5:f8:00",
             "dns": {}
         }]
     name: example-pod
     namespace: default
   spec:
     ...
   status:
     ...

   1

   k8s.v1.cni.cncf.io/networks-status 参数是对象的 JSON 数组。每个对象描述附加到 Pod 的额外网络的状态。注解值保存为纯文本值。

1. 运行以下命令来编辑 Pod 资源定义。将 <name> 替换为要编辑的 Pod 的名称。

   $ oc edit pod <name>

2. 通过执行以下操作之一，更新 annotations 映射，以便从 Pod 中删除额外网络：

   • 要从 Pod 中删除所有额外网络，请从 Pod 资源定义中删除 k8s.v1.cni.cncf.io/networks 参数，如下例所示：

     apiVersion: v1
     kind: Pod
     metadata:
       name: example-pod
       annotations: {}
     spec:
       containers:
       - name: example-pod
         command: ["/bin/bash", "-c", "sleep 2000000000000"]
         image: centos/tools

   • 要从 Pod 中删除一个特定的额外网络，请删除这个额外网络的 NetworkAttachmentDefinition 名称，以更新 k8s.v1.cni.cncf.io/networks 参数。

3. 可选：通过运行以下命令，确认 Pod 不再附加到额外网络。将 <name> 替换为 Pod 的名称。

   $ oc describe pod <name>

   在以下示例中，example-pod Pod 仅附加到默认集群网络。

   $ oc describe pod example-pod

   输出示例

   Name:               example-pod
   ...
   Annotations:        k8s.v1.cni.cncf.io/networks-status:
                         [{
                             "name": "openshift-sdn",
                             "interface": "eth0",
                             "ips": [
                                 "10.131.0.13"
                             ],
                             "default": true, 1
                             "dns": {}
                         }]
   Status:             Running
   ...

   1

   只有默认集群网络附加到 Pod。

1. 运行以下命令来编辑 CNO CR：

   $ oc edit networks.operator.openshift.io cluster

2. 通过为要创建的额外网络添加配置来修改您要创建的 CR，如以下示例 CR 中所示。

   以下 YAML 配置 bridge CNI 插件：

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: 1
     - name: test-network-1
       namespace: test-1
       type: Raw
       rawCNIConfig: '{
         "cniVersion": "0.3.1",
         "name": "test-network-1",
         "type": "bridge",
         "ipam": {
           "type": "static",
           "addresses": [
             {
               "address": "191.168.1.7"
             }
           ]
         }
       }'

   1

   指定额外网络附加定义的配置。

3. 保存您的更改，再退出文本编辑器以提交更改。

4. 可选：通过运行以下命令确认 CNO 创建了 NetworkAttachmentDefinition CR。CNO 创建 CR 之前可能会有延迟。

   $ oc get network-attachment-definitions -n <namespace>

   输出示例

   NAME                 AGE
   test-network-1       14m

1. 运行以下命令来编辑 CNO CR：

   $ oc edit networks.operator.openshift.io cluster

2. 通过为要创建的额外网络添加配置来修改您要创建的 CR，如以下示例 CR 中所示。

   以下 YAML 配置 macvlan CNI 插件：

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: 1
     - name: test-network-1
       namespace: test-1
       type: SimpleMacvlan
       simpleMacvlanConfig:
         ipamConfig:
           type: static
           staticIPAMConfig:
             addresses:
             - address: 10.1.1.7

   1

   指定额外网络附加定义的配置。

3. 保存您的更改，再退出文本编辑器以提交更改。

4. 可选：通过运行以下命令确认 CNO 创建了 NetworkAttachmentDefinition CR。CNO 创建 CR 之前可能会有延迟。

   $ oc get network-attachment-definitions -n <namespace>

   输出示例

   NAME                 AGE
   test-network-1       14m

1. 运行以下命令来编辑 CNO CR：

   $ oc edit networks.operator.openshift.io cluster

2. 通过为要创建的额外网络添加配置来修改您要创建的 CR，如以下示例 CR 中所示。

   以下 YAML 配置 ipvlan CNI 插件：

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: 1
     - name: test-network-1
       namespace: test-1
       type: Raw
       rawCNIConfig: '{
         "cniVersion": "0.3.1",
         "name": "test-network-1",
         "type": "ipvlan",
         "master": "eth1",
         "mode": "l2",
         "ipam": {
           "type": "static",
           "addresses": [
             {
               "address": "191.168.1.7"
             }
           ]
         }
       }'

   1

   指定额外网络附加定义的配置。

3. 保存您的更改，再退出文本编辑器以提交更改。

4. 可选：通过运行以下命令确认 CNO 创建了 NetworkAttachmentDefinition CR。CNO 创建 CR 之前可能会有延迟。

   $ oc get network-attachment-definitions -n <namespace>

   输出示例

   NAME                 AGE
   test-network-1       14m

1. 运行以下命令来编辑 CNO CR：

   $ oc edit networks.operator.openshift.io cluster

2. 通过为要创建的额外网络添加配置来修改您要创建的 CR，如以下示例 CR 中所示。

   以下 YAML 配置 host-device CNI 插件：

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: 1
     - name: test-network-1
       namespace: test-1
       type: Raw
       rawCNIConfig: '{
         "cniVersion": "0.3.1",
         "name": "test-network-1",
         "type": "host-device",
         "device": "eth1"
       }'

   1

   指定额外网络附加定义的配置。

3. 保存您的更改，再退出文本编辑器以提交更改。

4. 可选：通过运行以下命令确认 CNO 创建了 NetworkAttachmentDefinition CR。CNO 创建 CR 之前可能会有延迟。

   $ oc get network-attachment-definitions -n <namespace>

   输出示例

   NAME                 AGE
   test-network-1       14m

1. 运行以下命令，在默认文本编辑器中编辑 Cluster Network Operator (CNO) CR：

   $ oc edit networks.operator.openshift.io cluster

2. 在 additionalNetworks 集合中，用您的更改更新额外网络。
3. 保存您的更改，再退出文本编辑器以提交更改。

4. 可选：通过运行以下命令确认 CNO 更新了 NetworkAttachmentDefinition CR。将 <network-name> 替换为要显示的额外网络名称。在 CNO 根据您的更改对 NetworkAttachmentDefinition CR 进行更新前，可能会有一些延迟。

   $ oc get network-attachment-definitions <network-name> -o yaml

   例如，以下控制台输出显示名为 net1 的 NetworkAttachmentDefinition：

   $ oc get network-attachment-definitions net1 -o go-template='{{printf "%s\n" .spec.config}}'
   { "cniVersion": "0.3.1", "type": "macvlan",
   "master": "ens5",
   "mode": "bridge",
   "ipam":       {"type":"static","routes":[{"dst":"0.0.0.0/0","gw":"10.128.2.1"}],"addresses":[{"address":"10.128.2.100/23","gateway":"10.128.2.1"}],"dns":{"nameservers":["172.30.0.10"],"domain":"us-west-2.compute.internal","search":["us-west-2.compute.internal"]}} }

1. 运行以下命令，在默认文本编辑器中编辑 Cluster Network Operator (CNO)：

   $ oc edit networks.operator.openshift.io cluster

2. 从您要删除的网络附加定义的 additionalNetworks 集合中删除配置，以此修改 CR。

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: [] 1

   1

   如果要删除 additionalNetworks 集合中唯一额外网络附加定义的配置映射，您必须指定一个空集合。

3. 保存您的更改，再退出文本编辑器以提交更改。

4. 可选：通过运行以下命令确认删除了额外网络 CR：

   $ oc get network-attachment-definition --all-namespaces

流程

1. 创建以下 PtpConfig CR，然后在 <name>-ptp-config.yaml 文件中保存 YAML。使用配置的实际名称替换 <name>。

   apiVersion: ptp.openshift.io/v1
   kind: PtpConfig
   metadata:
     name: <name> 1
     namespace: openshift-ptp 2
   spec:
     profile: 3
     - name: "profile1" 4
       interface: "ens787f1" 5
       ptp4lOpts: "-s -2" 6
       phc2sysOpts: "-a -r" 7
     recommend: 8
     - profile: "profile1" 9
       priority: 10 10
       match: 11
       - nodeLabel: "node-role.kubernetes.io/worker" 12
         nodeName: "dev-worker-0" 13

   1

   为 PtpConfig CR 指定名称。

   2

   指定安装 PTP Operator 的命名空间。

   3

   指定包括一个或多个 profile 的数组。

   4

   指定用于唯一标识配置集（profile）对象的配置集对象名称。

   5

   指定 ptp4l 服务要使用的网络接口名称，如 ens787f1。

   6

   为 ptp4l 服务指定系统配置选项，如 -s -2。这不应该包含接口名称 -i <interface> 和服务配置文件 -f /etc/ptp4l.conf ，因为这些文件会被自动附加。

   7

   为 phc2sys 服务指定系统配置选项，如 -a -r。

   8

   指定包括一个或多个 recommend 对象的数组，该数组定义了如何将配置集应用到节点的规则。

   9

   指定 profile 部分中定义的 profile 对象名称。

   10

   使用 0 到 99 之间的一个整数值指定 priority。大数值的优先级较低，因此优先级 99 低于优先级 10。如果根据 match 项中定义的规则，节点可以与多个配置集相匹配，具有最高优先级的配置集将被应用到那个节点。

   11

   使用 nodeLabel 或 nodeName 指定 match 规则。

   12

   使用节点对象中的 node.Labels 的 key 指定 nodeLabel。

   13

   使用节点对象的 node.Name 指定 nodeName 。

2. 运行以下命令来创建 CR：

   $ oc create -f <filename> 1

   1

   将 <filename> 替换为您在上一步中创建的文件的名称。

3. 可选：检查 PtpConfig 配置集是否应用到与 nodeLabel 或 nodeName 匹配的节点。

   $ oc get pods -n openshift-ptp -o wide

   输出示例

   NAME                            READY   STATUS    RESTARTS   AGE   IP               NODE           NOMINATED NODE   READINESS GATES
   linuxptp-daemon-4xkbb           1/1     Running   0          43m   192.168.111.15   dev-worker-0   <none>           <none>
   linuxptp-daemon-tdspf           1/1     Running   0          43m   192.168.111.11   dev-master-0   <none>           <none>
   ptp-operator-657bbb64c8-2f8sj   1/1     Running   0          43m   10.128.0.116     dev-master-0   <none>           <none>
   
   $ oc logs linuxptp-daemon-4xkbb -n openshift-ptp
   I1115 09:41:17.117596 4143292 daemon.go:107] in applyNodePTPProfile
   I1115 09:41:17.117604 4143292 daemon.go:109] updating NodePTPProfile to:
   I1115 09:41:17.117607 4143292 daemon.go:110] ------------------------------------
   I1115 09:41:17.117612 4143292 daemon.go:102] Profile Name: profile1 1
   I1115 09:41:17.117616 4143292 daemon.go:102] Interface: ens787f1    2
   I1115 09:41:17.117620 4143292 daemon.go:102] Ptp4lOpts: -s -2       3
   I1115 09:41:17.117623 4143292 daemon.go:102] Phc2sysOpts: -a -r     4
   I1115 09:41:17.117626 4143292 daemon.go:116] ------------------------------------
   I1115 09:41:18.117934 4143292 daemon.go:186] Starting phc2sys...
   I1115 09:41:18.117985 4143292 daemon.go:187] phc2sys cmd: &{Path:/usr/sbin/phc2sys Args:[/usr/sbin/phc2sys -a -r] Env:[] Dir: Stdin:<nil> Stdout:<nil> Stderr:<nil> ExtraFiles:[] SysProcAttr:<nil> Process:<nil> ProcessState:<nil> ctx:<nil> lookPathErr:<nil> finished:false childFiles:[] closeAfterStart:[] closeAfterWait:[] goroutine:[] errch:<nil> waitDone:<nil>}
   I1115 09:41:19.118175 4143292 daemon.go:186] Starting ptp4l...
   I1115 09:41:19.118209 4143292 daemon.go:187] ptp4l cmd: &{Path:/usr/sbin/ptp4l Args:[/usr/sbin/ptp4l -m -f /etc/ptp4l.conf -i ens787f1 -s -2] Env:[] Dir: Stdin:<nil> Stdout:<nil> Stderr:<nil> ExtraFiles:[] SysProcAttr:<nil> Process:<nil> ProcessState:<nil> ctx:<nil> lookPathErr:<nil> finished:false childFiles:[] closeAfterStart:[] closeAfterWait:[] goroutine:[] errch:<nil> waitDone:<nil>}
   ptp4l[102189.864]: selected /dev/ptp5 as PTP clock
   ptp4l[102189.886]: port 1: INITIALIZING to LISTENING on INIT_COMPLETE
   ptp4l[102189.886]: port 0: INITIALIZING to LISTENING on INIT_COMPLETE

   1

   Profile Name 是应用到 dev-worker-0 节点的名称。

   2

   Interface 是在 profile1 的 interface 项中指定的 PTP 设备。在这个接口中运行的 ptp4l 服务。

   3

   ptp4lOpts 是 profile1 中的 ptp4lOpts 项指定的 ptp4l sysconfig 选项。

   4

   Phc2sysOpts 是profile1 中的 Phc2sysOpts 项指定的 phc2sys sysconfig 选项。

流程

1. 创建以下 SriovNetworkNodePolicy CR，然后在 <name>-sriov-node-network.yaml 文件中保存 YAML。使用配置的实际名称替换 <name>。

2. 创建 SriovNetworkNodePolicy CR。使用配置的实际名称替换 <name>。

   $ oc create -f <name>-sriov-node-network.yaml

   在应用配置更新后，sriov-network-operator 命名空间中的所有 Pod 都会变为 Running 状态。

3. 要验证是否已配置了 SR-IOV 网络设备，请输入以下命令。将 <node_name> 替换为带有您刚才配置的 SR-IOV 网络设备的节点名称。

   $ oc get sriovnetworknodestates -n openshift-sriov-network-operator <node_name> -o jsonpath='{.status.syncStatus}'

流程

1. 创建以下 SriovNetwork CR，然后在 <name>-sriov-network.yaml 文件中保存 YAML。用这个额外网络的名称替换 <name> 。

2. 运行以下命令来创建 CR 对象：用这个额外网络的名称替换 <name> 。

   $ oc create -f <name>-sriov-network.yaml

3. 可选：通过输入以下命令，确认与在上一步中创建的 SriovNetwork CR 关联的 NetworkAttachmentDefinition CR 是否存在。将 <namespace> 替换为您在 SriovNetwork CR 中指定的命名空间。

   $ oc get net-attach-def -n <namespace>

流程

1. 为 Pod 对象添加注解。只能使用以下注解格式之一：

   1. 要在没有自定义的情况下附加额外网络，请使用以下格式添加注解。将 <network> 替换为要与 Pod 关联的额外网络的名称：

      metadata:
        annotations:
          k8s.v1.cni.cncf.io/networks: <network>[,<network>,...] 1

      1

      要指定多个额外网络，请使用逗号分隔各个网络。逗号之间不可包括空格。如果您多次指定同一额外网络，则 Pod 会将多个网络接口附加到该网络。

   2. 要通过自定义来附加额外网络，请添加具有以下格式的注解：

      metadata:
        annotations:
          k8s.v1.cni.cncf.io/networks: |-
            [
              {
                "name": "<network>", 1
                "namespace": "<namespace>", 2
                "default-route": ["<default-route>"] 3
              }
            ]

      1

      指定 NetworkAttachmentDefinition CR 定义的额外网络的名称。

      2

      指定定义 NetworkAttachmentDefinition CR 的命名空间。

      3

      可选：为默认路由指定覆盖，如 192.168.17.1。

2. 运行以下命令来创建 Pod。将 <name> 替换为 Pod 的名称。

   $ oc create -f <name>.yaml

3. 可选： 要确认 Pod CR 中是否存在注解，请输入以下命令，将 <name> 替换为 Pod 的名称。

   $ oc get pod <name> -o yaml

   在以下示例中，example-pod Pod 附加到 net1 额外网络：

   $ oc get pod example-pod -o yaml
   apiVersion: v1
   kind: Pod
   metadata:
     annotations:
       k8s.v1.cni.cncf.io/networks: macvlan-bridge
       k8s.v1.cni.cncf.io/networks-status: |- 1
         [{
             "name": "openshift-sdn",
             "interface": "eth0",
             "ips": [
                 "10.128.2.14"
             ],
             "default": true,
             "dns": {}
         },{
             "name": "macvlan-bridge",
             "interface": "net1",
             "ips": [
                 "20.2.2.100"
             ],
             "mac": "22:2f:60:a5:f8:00",
             "dns": {}
         }]
     name: example-pod
     namespace: default
   spec:
     ...
   status:
     ...

   1

   k8s.v1.cni.cncf.io/networks-status 参数是对象的 JSON 数组。每个对象描述附加到 Pod 的额外网络的状态。注解值保存为纯文本值。

流程

1. 创建以下 SR-IOV pod 规格，然后在 <name>-sriov-pod.yaml 文件中保存 YAML。将 <name> 替换为这个 pod 的名称。

   以下示例显示了 SR-IOV pod 规格：

   apiVersion: v1
   kind: Pod
   metadata:
     name: sample-pod
     annotations:
       k8s.v1.cni.cncf.io/networks: <name> 1
   spec:
     containers:
     - name: sample-container
       image: <image> 2
       command: ["sleep", "infinity"]
       resources:
         limits:
           memory: "1Gi" 3
           cpu: "2" 4
         requests:
           memory: "1Gi"
           cpu: "2"

   1

   将 <name> 替换为 SR-IOV 网络附加定义 CR 的名称。

   2

   将 <image> 替换为 sample-pod 镜像的名称。

   3

   要创建带有保证 QoS 的 SR-IOV pod，将 memory limits 设置为与 memory requests 相同的值。

   4

   要创建带有保证 QoS 的 SR-IOV pod，将 cpu limits 设置为与 cpu requests 相同。

2. 运行以下命令来创建 SR-IOV pod 示例：

   $ oc create -f <filename> 1

   1

   将 <filename> 替换为您在上一步中创建的文件的名称。

3. 确认 sample-pod 配置为带有保证 QoS。

   $ oc describe pod sample-pod

4. 确认 sample-pod 被分配了独有的 CPU。

   $ oc exec sample-pod -- cat /sys/fs/cgroup/cpuset/cpuset.cpus

5. 确认为 sample-pod 分配的 SR-IOV 设备和 CPU 位于相同的 NUMA 节点上。

   $ oc exec sample-pod -- cat /sys/fs/cgroup/cpuset/cpuset.cpus

流程

1. 创建一个 SriovNetworkNodePolicy 自定义资源（CR）：

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovNetworkNodePolicy
   metadata:
     name: policy-example
     namespace: openshift-sriov-network-operator
   spec:
     resourceName: example
     nodeSelector:
       feature.node.kubernetes.io/network-sriov.capable: "true"
     numVfs: 4
     nicSelector:
       vendor: "8086"
       pfNames: ['ens803f0']
       rootDevices: ['0000:86:00.0']

2. 创建一个 SriovNetwork CR：

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovNetwork
   metadata:
     name: net-example
     namespace: openshift-sriov-network-operator
   spec:
     networkNamespace: default
     ipam: | 1
       {
         "type": "host-local", 2
         "subnet": "10.56.217.0/24",
         "rangeStart": "10.56.217.171",
         "rangeEnd": "10.56.217.181",
         "routes": [
           {"dst": "224.0.0.0/5"},
           {"dst": "232.0.0.0/5"}
         ],
         "gateway": "10.56.217.1"
       }
     resourceName: example

   1 2

   如果选择将 DHCP 配置为 IPAM，请确保通过 DHCP 服务器提供了以下默认路由： 224.0.0.0/5 和 232.0.0.0/5。这会覆盖由默认网络供应商设置的静态多播路由。

3. 创建带有多播应用程序的 Pod

   apiVersion: v1
   kind: Pod
   metadata:
     name: testpmd
     namespace: default
     annotations:
       k8s.v1.cni.cncf.io/networks: nic1
   spec:
     containers:
     - name: example
       image: rhel7:latest
       securityContext:
         capabilities:
           add: ["NET_ADMIN"] 1
       command: [ "sleep", "infinity"]

   1

   只有在应用程序需要为 SR-IOV 接口分配多播 IP 地址时，才需要 NET_ADMIN 功能。否则，可以省略它。

流程

1. 创建以下 SriovNetworkNodePolicy CR，然后在 intel-dpdk-node-policy.yaml 文件中保存 YAML。

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovNetworkNodePolicy
   metadata:
     name: intel-dpdk-node-policy
     namespace: openshift-sriov-network-operator
   spec:
     resourceName: intelnics
     nodeSelector:
       feature.node.kubernetes.io/network-sriov.capable: "true"
     priority: <priority>
     numVfs: <num>
     nicSelector:
       vendor: "8086"
       deviceID: "158b"
       pfNames: ["<pf_name>", ...]
       rootDevices: ["<pci_bus_id>", "..."]
     deviceType: vfio-pci 1

   1

   将虚拟功能（VF）的驱动器类型指定为 vfio-pci。

   注意

   请参阅 Configuring SR-IOV network devices 一节以了解 SriovNetworkNodePolicy 中的每个选项的信息。

   当应用由 SriovNetworkNodePolicy CR 指定的配置时，SR-IOV Operator 可能会排空节点，并在某些情况下会重启节点。它可能需要几分钟时间来应用配置更改。确保集群中有足够的可用节点，用以预先处理被驱除的工作负载。

   应用配置更新后，openshift-sriov-network-operator 命名空间中的所有 Pod 将变为 Running 状态。

2. 通过运行以下命令来创建 SriovNetworkNodePolicy CR：

   $ oc create -f intel-dpdk-node-policy.yaml

3. 创建以下 SriovNetwork CR，然后在 intel-dpdk-network.yaml 文件中保存 YAML。

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovNetwork
   metadata:
     name: intel-dpdk-network
     namespace: openshift-sriov-network-operator
   spec:
     networkNamespace: <target_namespace>
     ipam: "{}" 1
     vlan: <vlan>
     resourceName: intelnics

   1

   为 ipam CNI 插件指定一个空对象 "{}" 。DPDK 在用户空间模式下工作，不需要 IP 地址。

   注意

   请参阅 Configuring SR-IOV additional network 部分以了解 SriovNetwork 中的每个选项的信息。

4. 通过运行以下命令来创建 SriovNetworkNodePolicy CR：

   $ oc create -f intel-dpdk-network.yaml

5. 创建以下 Pod spec，然后在 intel-dpdk-pod.yaml 文件中保存 YAML。

   apiVersion: v1
   kind: Pod
   metadata:
     name: dpdk-app
     namespace: <target_namespace> 1
     annotations:
       k8s.v1.cni.cncf.io/networks: intel-dpdk-network
   spec:
     containers:
     - name: testpmd
       image: <DPDK_image> 2
       securityContext:
        capabilities:
           add: ["IPC_LOCK"] 3
       volumeMounts:
       - mountPath: /dev/hugepages 4
         name: hugepage
       resources:
         limits:
           openshift.io/intelnics: "1" 5
           memory: "1Gi"
           cpu: "4" 6
           hugepages-1Gi: "4Gi" 7
         requests:
           openshift.io/intelnics: "1"
           memory: "1Gi"
           cpu: "4"
           hugepages-1Gi: "4Gi"
       command: ["sleep", "infinity"]
     volumes:
     - name: hugepage
       emptyDir:
         medium: HugePages

   1

   指定 target_namespace，它与 SriovNetwork CR intel-dpdk-network 创建于的命令空间相同。如果要在其他命名空间中创建 Pod，请在 Pod spec 和 reverseovNetowrk CR 中更改 target_namespace 。

   2

   指定包含应用程序和应用程序使用的 DPDK 库的 DPDK 镜像。

   3

   指定应用程序在容器内分配巨页内存所需的 IPC_LOCK 功能。

   4

   在 /dev/hugepages下将巨页卷挂载到 DPDK Pod 中。巨页卷由 emptyDir 卷类型支持，medium 为Hugepages。

   5

   可选：指定分配给 DPDK Pod 的 DPDK 设备数。如果未明确指定，则此资源请求和限制将被 SR-IOV 网络资源注入程序自动添加。SR-IOV 网络资源注入程序是由 SR-IOV Operator 管理的准入控制器组件。它默认是启用的，可以通过把默认的 SriovOperatorConfig CR 中的 enableInjector 选项设置为 false 来禁用它。

   6

   指定 CPU 数量。DPDK Pod 通常需要从 kubelet 分配专用 CPU。这可以通过将 CPU Manager 策略设置为 static，并创建带有有保障的 QoS 的 Pod 来实现。

   7

   指定巨页大小 hugepages-1Gi 或 hugepages-2Mi 以及分配给 DPDK Pod 的巨页数量。单独配置 2Mi 和 1Gi 巨页。配置 1Gi 巨页需要在节点中添加内核参数。例如：添加内核参数 default_hugepagesz=1GB，hugepagesz=1G 和 hugepages=16 将在系统引导时分配 16*1Gi 巨页。

6. 运行以下命令来创建 DPDK Pod：

   $ oc create -f intel-dpdk-pod.yaml

流程

1. 创建以下 SriovNetworkNodePolicy CR，然后在 mlx-dpdk-node-policy.yaml 文件中保存 YAML。

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovNetworkNodePolicy
   metadata:
     name: mlx-dpdk-node-policy
     namespace: openshift-sriov-network-operator
   spec:
     resourceName: mlxnics
     nodeSelector:
       feature.node.kubernetes.io/network-sriov.capable: "true"
     priority: <priority>
     numVfs: <num>
     nicSelector:
       vendor: "15b3"
       deviceID: "1015" 1
       pfNames: ["<pf_name>", ...]
       rootDevices: ["<pci_bus_id>", "..."]
     deviceType: netdevice 2
     isRdma: true 3

   1

   指定 SR-IOV 网络设备的设备十六进制代码。Mellanox 卡允许的值是 1015，1017。

   2

   指定到 netdevice 的虚拟功能（VF）的驱动器类型。Mellanox SR-IOV VF 可以在 DPDK 模式下工作，而无需使用 vfio-pci 设备类型。VF 设备作为容器内的内核网络接口出现。

   3

   启用 RDMA 模式。Mellanox 卡需要在 DPDK 模式下工作。

   注意

   请参阅 Configuring SR-IOV network devices 一节以了解 SriovNetworkNodePolicy 中的每个选项的信息。

   当应用由 SriovNetworkNodePolicy CR 指定的配置时，SR-IOV Operator 可能会排空节点，并在某些情况下会重启节点。它可能需要几分钟时间来应用配置更改。确保集群中有足够的可用节点，用以预先处理被驱除的工作负载。

   应用配置更新后，openshift-sriov-network-operator 命名空间中的所有 Pod 将变为 Running 状态。

2. 通过运行以下命令来创建 SriovNetworkNodePolicy CR：

   $ oc create -f mlx-dpdk-node-policy.yaml

3. 创建以下 SriovNetwork CR，然后在 mlx-dpdk-network.yaml 文件中保存 YAML。

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovNetwork
   metadata:
     name: mlx-dpdk-network
     namespace: openshift-sriov-network-operator
   spec:
     networkNamespace: <target_namespace>
     ipam: |- 1
       ...
     vlan: <vlan>
     resourceName: mlxnics

   1

   为 ipam CNI 插件指定一个配置对象做为一个 YAML 块 scalar。该插件管理网络附加定义的 IP 地址分配。

   注意

   请参阅 Configuring SR-IOV additional network 部分以了解 SriovNetwork 中的每个选项的信息。

4. 通过运行以下命令来创建 SriovNetworkNodePolicy CR：

   $ oc create -f mlx-dpdk-network.yaml

5. 创建以下 Pod spec，然后在 mlx-dpdk-pod.yaml 文件中保存 YAML。

   apiVersion: v1
   kind: Pod
   metadata:
     name: dpdk-app
     namespace: <target_namespace> 1
     annotations:
       k8s.v1.cni.cncf.io/networks: mlx-dpdk-network
   spec:
     containers:
     - name: testpmd
       image: <DPDK_image> 2
       securityContext:
        capabilities:
           add: ["IPC_LOCK"] 3
       volumeMounts:
       - mountPath: /dev/hugepages 4
         name: hugepage
       resources:
         limits:
           openshift.io/mlxnics: "1" 5
           memory: "1Gi"
           cpu: "4" 6
           hugepages-1Gi: "4Gi" 7
         requests:
           openshift.io/mlxnics: "1"
           memory: "1Gi"
           cpu: "4"
           hugepages-1Gi: "4Gi"
       command: ["sleep", "infinity"]
     volumes:
     - name: hugepage
       emptyDir:
         medium: HugePages

   1

   指定 target_namespace，它与 SriovNetwork CR mlx-dpdk-network 创建于的命令空间相同。如果要在其他命名空间中创建 Pod，请在 Pod spec 和 SriovNetowrk CR 中更改 target_namespace 。

   2

   指定包含应用程序和应用程序使用的 DPDK 库的 DPDK 镜像。

   3

   指定应用程序在容器内分配巨页内存所需的 IPC_LOCK 功能。

   4

   在 /dev/hugepages下将巨页卷挂载到 DPDK Pod 中。巨页卷由 emptyDir 卷类型支持，medium 为Hugepages。

   5

   可选：指定分配给 DPDK Pod 的 DPDK 设备数。如果未明确指定，则此资源请求和限制将被 SR-IOV 网络资源注入程序自动添加。SR-IOV 网络资源注入程序是由 SR-IOV Operator 管理的准入控制器组件。它默认是启用的，可以通过把默认的 SriovOperatorConfig CR 中的 enableInjector 选项设置为 false 来禁用它。

   6

   指定 CPU 数量。DPDK Pod 通常需要从 kubelet 分配专用 CPU。这可以通过将 CPU Manager 策略设置为 static，并创建带有有保障的 QoS 的 Pod 来实现。

   7

   指定巨页大小 hugepages-1Gi 或 hugepages-2Mi 以及分配给 DPDK Pod 的巨页数量。单独配置 2Mi 和 1Gi 巨页。配置 1Gi 巨页需要在节点中添加内核参数。

6. 运行以下命令来创建 DPDK Pod：

   $ oc create -f mlx-dpdk-pod.yaml

流程

1. 创建以下 SriovNetworkNodePolicy CR，然后在 mlx-rdma-node-policy.yaml 文件中保存 YAML。

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovNetworkNodePolicy
   metadata:
     name: mlx-rdma-node-policy
     namespace: openshift-sriov-network-operator
   spec:
     resourceName: mlxnics
     nodeSelector:
       feature.node.kubernetes.io/network-sriov.capable: "true"
     priority: <priority>
     numVfs: <num>
     nicSelector:
       vendor: "15b3"
       deviceID: "1015" 1
       pfNames: ["<pf_name>", ...]
       rootDevices: ["<pci_bus_id>", "..."]
     deviceType: netdevice 2
     isRdma: true 3

   1

   指定 SR-IOV 网络设备的设备十六进制代码。Mellanox 卡允许的值是 1015，1017。

   2

   指定到 netdevice 的虚拟功能（VF）的驱动器类型。

   3

   启用 RDMA 模式。

   注意

   请参阅 Configuring SR-IOV network devices 一节以了解 SriovNetworkNodePolicy 中的每个选项的信息。

   当应用由 SriovNetworkNodePolicy CR 指定的配置时，SR-IOV Operator 可能会排空节点，并在某些情况下会重启节点。它可能需要几分钟时间来应用配置更改。确保集群中有足够的可用节点，用以预先处理被驱除的工作负载。

   应用配置更新后，openshift-sriov-network-operator 命名空间中的所有 Pod 将变为 Running 状态。

2. 通过运行以下命令来创建 SriovNetworkNodePolicy CR：

   $ oc create -f mlx-rdma-node-policy.yaml

3. 创建以下 SriovNetwork CR，然后在 mlx-rdma-network.yaml 文件中保存 YAML。

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovNetwork
   metadata:
     name: mlx-rdma-network
     namespace: openshift-sriov-network-operator
   spec:
     networkNamespace: <target_namespace>
     ipam: |- 1
       ...
     vlan: <vlan>
     resourceName: mlxnics

   1

   为 ipam CNI 插件指定一个配置对象做为一个 YAML 块 scalar。该插件管理网络附加定义的 IP 地址分配。

   注意

   请参阅 Configuring SR-IOV additional network 部分以了解 SriovNetwork 中的每个选项的信息。

4. 通过运行以下命令来创建 SriovNetworkNodePolicy CR：

   $ oc create -f mlx-rdma-network.yaml

5. 创建以下 Pod spec，然后在 mlx-rdma-pod.yaml 文件中保存 YAML。

   apiVersion: v1
   kind: Pod
   metadata:
     name: rdma-app
     namespace: <target_namespace> 1
     annotations:
       k8s.v1.cni.cncf.io/networks: mlx-rdma-network
   spec:
     containers:
     - name: testpmd
       image: <RDMA_image> 2
       securityContext:
        capabilities:
           add: ["IPC_LOCK"] 3
       volumeMounts:
       - mountPath: /dev/hugepages 4
         name: hugepage
       resources:
         limits:
           memory: "1Gi"
           cpu: "4" 5
           hugepages-1Gi: "4Gi" 6
         requests:
           memory: "1Gi"
           cpu: "4"
           hugepages-1Gi: "4Gi"
       command: ["sleep", "infinity"]
     volumes:
     - name: hugepage
       emptyDir:
         medium: HugePages

   1

   指定 target_namespace，它与 SriovNetwork CR mlx-rdma-network 创建于的命令空间相同。如果要在其他命名空间中创建 Pod，请在 Pod spec 和 SriovNetowrk CR 中更改 target_namespace 。

   2

   指定包含应用程序和应用程序使用的 RDMA 库的 RDMA 镜像。

   3

   指定应用程序在容器内分配巨页内存所需的 IPC_LOCK 功能。

   4

   在 /dev/hugepages下将巨页卷挂载到 RDMA Pod。巨页卷由 emptyDir 卷类型支持，medium 为Hugepages。

   5

   指定 CPU 数量。RDMA Pod 通常需要从 kubelet 分配专用 CPU。这可以通过将 CPU Manager 策略设置为 static，并创建带有有保障的 QoS 的 Pod 来实现。

   6

   指定巨页大小 hugepages-1Gi 或 hugepages-2Mi 以及分配给 RDMA Pod 的巨页数量。单独配置 2Mi 和 1Gi 巨页。配置 1Gi 巨页需要在节点中添加内核参数。

6. 运行以下命令来创建 RDMA Pod：

   $ oc create -f mlx-rdma-pod.yaml

流程

1. 使用以下 JSON，用出口 IP 地址更新 NetNamespace 资源：

    $ oc patch netnamespace <project_name> --type=merge -p \ 1
     '{
       "egressIPs": [
         "<ip_address>" 2
       ]
     }'

   1

   指定项目的名称。

   2

   指定单个出口 IP 地址。不支持使用多 IP 地址。

   例如，将 project1 分配给 IP 地址 192.168.1.100，将 project2 分配给 IP 地址 192.168.1.101：

   $ oc patch netnamespace project1 --type=merge -p \
     '{"egressIPs": ["192.168.1.100"]}'
   $ oc patch netnamespace project2 --type=merge -p \
     '{"egressIPs": ["192.168.1.101"]}'

2. 使用以下 JSON 设置每一主机的 egressCIDRs 参数，以指明哪些节点可以托管出口 IP 地址：

   $ oc patch hostsubnet <node_name> --type=merge -p \ 1
     '{
       "egressCIDRs": [
         "<ip_address_range_1>", "<ip_address_range_2>" 2
       ]
     }'

   1

   指定节点名称。

   2

   以 CIDR 格式指定一个或多个 IP 地址范围。

   例如，将 node1 和 node2 设置为托管范围为 192.168.1.0 到 192.168.1.255 的出口 IP 地址：

   $ oc patch hostsubnet node1 --type=merge -p \
     '{"egressCIDRs": ["192.168.1.0/24"]}'
   $ oc patch hostsubnet node2 --type=merge -p \
     '{"egressCIDRs": ["192.168.1.0/24"]}'

   OpenShift Container Platform 会自动以均衡的方式将特定的出口 IP 地址分配给可用的节点。在本例中，它会将出口 IP 地址 192.168.1.100 分配给 node1，并将出口 IP 地址 192.168.1.101 分配给 node2，或反之。

流程

1. 通过使用所需 IP 地址指定以下 JSON 对象，更新 NetNamespace 资源：

   $ oc patch netnamespace <project> --type=merge -p \ 1
     '{
       "egressIPs": [ 2
         "<ip_address>"
         ]
     }'

   1

   指定项目的名称。

   2

   指定一个或多个出口 IP 地址。egressIPs 参数是一个数组。

   例如，将 project1 项目分配给 IP 地址 192.168.1.100：

   $ oc patch netnamespace project1 --type=merge \
     -p '{"egressIPs": ["192.168.1.100"]}'

   您可以将 egressIPs 设置为位于不同节点上的两个或多个 IP 地址，以提供高可用性。如果设置了多个出口 IP 地址，Pod 会将列表中的第一个 IP 用于出口，但如果托管该 IP 地址的节点失败，Pod 会在短暂的延迟后切换到使用列表中的下一个 IP。

2. 手动将出口 IP 分配给节点主机。在节点主机上的 HostSubnet 对象中设置 egressIPs 参数。使用以下 JSON，尽可能纳入您要分配给该节点主机的所有 IP：

   $ oc patch hostsubnet <node_name> --type=merge -p \ 1
     '{
       "egressIPs": [ 2
         "<ip_address_1>",
         "<ip_address_N>"
         ]
     }'

   1

   指定节点的名称。

   2

   指定一个或多个出口 IP 地址。egressIPs 字段是一个数组。

   例如，指定 node1 应具有出口 IP 192.168.1.100、192.168.1.101 和 192.168.1.102：

   $ oc patch hostsubnet node1 --type=merge -p \
     '{"egressIPs": ["192.168.1.100", "192.168.1.101", "192.168.1.102"]}'

   在上例中，project1 的所有出口流量都会被路由到托管指定出口 IP 地址的节点，然后（使用 NAT）连接到那个 IP 地址。

流程

1. 创建策略规则：

   1. 创建一个 <policy-name>.yaml 文件，其中 <policy-name> 描述出口策略规则。
   2. 在您创建的文件中，定义出口策略对象。

2. 运行以下命令来创建策略对象：

   $ oc create -f <policy-name>.yaml -n <project>

   在以下示例中，在名为 project1 的项目中创建一个新的 EgressNetworkPolicy 对象：

   $ oc create -f default-rules.yaml -n project1

   输出示例

   egressnetworkpolicy.network.openshift.io/default-rules created

3. 可选：保存 <policy-name>.yaml ，以便在以后进行修改。

1. 查找项目的 EgressNetworkPolicy 对象的名称。将 <project> 替换为项目的名称。

   $ oc get -n <project> egressnetworkpolicy

2. 可选，如果您在创建出口网络防火墙时没有保存 EgressNetworkPolicy 对象的副本，请输入以下命令来创建副本。

   $ oc get -n <project> \ 1
     egressnetworkpolicy <name> \ 2
     -o yaml > <filename>.yaml 3

   1

   将 <project> 替换为项目的名称

   2

   将 <name> 替换为 Pod 的名称。

   3

   将 <filename> 替换为要保存 YAML 的文件名称。

3. 输入以下命令替换 EgressNetworkPolicy 对象。将 <filename> 替换为包含更新的 EgressNetworkPolicy 对象的文件名称。

   $ oc replace -f <filename>.yaml

1. 查找项目的 EgressNetworkPolicy 对象的名称。将 <project> 替换为项目的名称。

   $ oc get -n <project> egressnetworkpolicy

2. 输入以下命令删除 EgressNetworkPolicy 对象。将 <project> 替换为项目名称，<name> 替换为对象名称。

   $ oc delete -n <project> egressnetworkpolicy <name>

流程

1. 使用以下命令，将项目接合到现有项目网络中：

   $ oc adm pod-network join-projects --to=<project1> <project2> <project3>

   另外，除了指定具体的项目名称，也可以使用 --selector=<project_selector> 选项来基于关联标签指定项目。

2. 可选：运行以下命令来查看您接合在一起的 Pod 网络：

   $ oc get netnamespaces

   在 NETID 列中，同一 Pod 网络中的项目具有相同的网络 ID。

流程

1. 通过运行以下命令，编辑 Network.operator.openshift.io 自定义资源 (CR)：

   $ oc edit network.operator.openshift.io cluster

2. 利用您对 kube-proxy 配置的更改修改 CR 中的 kubeProxyConfig 参数，如以下示例 CR 中所示：

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     kubeProxyConfig:
       iptablesSyncPeriod: 30s
       proxyArguments:
         iptables-min-sync-period: ["30s"]

3. 保存文件并退出文本编辑器。

   保存文件并退出编辑器时，oc 命令会验证其语法。如果您的修改含有语法错误，编辑器会打开该文件并显示错误消息。

4. 运行以下命令来确认配置更新：

   $ oc get networks.operator.openshift.io -o yaml

   输出示例

   apiVersion: v1
   items:
   - apiVersion: operator.openshift.io/v1
     kind: Network
     metadata:
       name: cluster
     spec:
       clusterNetwork:
       - cidr: 10.128.0.0/14
         hostPrefix: 23
       defaultNetwork:
         type: OpenShiftSDN
       kubeProxyConfig:
         iptablesSyncPeriod: 30s
         proxyArguments:
           iptables-min-sync-period:
           - 30s
       serviceNetwork:
       - 172.30.0.0/16
     status: {}
   kind: List

5. 可选：运行以下命令，确认 Cluster Network Operator 已接受配置更改：

   $ oc get clusteroperator network

   输出示例

   NAME      VERSION     AVAILABLE   PROGRESSING   DEGRADED   SINCE
   network   4.1.0-0.9   True        False         False      1m

   成功应用配置更新后，AVAILABLE 字段为 True。

流程

1. 使用 oc annotate 命令，为路由添加超时：

   $ oc annotate route <route_name> \
       --overwrite haproxy.router.openshift.io/timeout=<timeout><time_unit> 1

   1

   支持的时间单位是微秒 (us)、毫秒 (ms)、秒钟 (s)、分钟 (m)、小时 (h)、或天 (d)。

   以下示例在名为 myroute 的路由上设置两秒的超时：

   $ oc annotate route myroute --overwrite haproxy.router.openshift.io/timeout=2s

流程

1. 为您的服务创建一个新项目：

   $ oc new-project <project_name>

   例如：

   $ oc new-project myproject

2. 使用 oc new-app 命令来创建服务。例如：

   $ oc new-app \
       -e MYSQL_USER=admin \
       -e MYSQL_PASSWORD=redhat \
       -e MYSQL_DATABASE=mysqldb \
       registry.redhat.io/rhscl/mysql-80-rhel7

3. 运行以下命令，以查看新服务是否已创建：

   $ oc get svc -n myproject

   输出示例

   NAME             TYPE        CLUSTER-IP     EXTERNAL-IP   PORT(S)    AGE
   mysql-80-rhel7   ClusterIP   172.30.63.31   <none>        3306/TCP   4m55s

   默认情况下，新服务没有外部 IP 地址。

1. 登录 OpenShift Container Platform。

2. 登录您想公开的服务所在的项目。

   $ oc project project1

3. 运行以下命令以公开路由：

   $ oc expose service <service_name>

   例如：

   $ oc expose service mysql-80-rhel7

   输出示例

   route "mysql-80-rhel7" exposed

4. 使用 cURL 等工具来确保您可以使用服务的集群 IP 地址来访问该服务：

   $ curl <pod_ip>:<port>

   例如：

   $ curl 172.30.131.89:3306

   此部分中的示例使用 MySQL 服务，这需要客户端应用程序。如果您得到一串字符并看到 Got packets out of order 消息，则您已连接到该服务。

   如果您有 MySQL 客户端，请使用标准 CLI 命令登录：

   $ mysql -h 172.30.131.89 -u admin -p

   输出示例

   Enter password:
   Welcome to the MariaDB monitor.  Commands end with ; or \g.
   
   MySQL [(none)]>

流程

1. 编辑 router-internal.yaml 文件：

   # cat router-internal.yaml
   apiVersion: v1
   items:
   - apiVersion: operator.openshift.io/v1
     kind: IngressController
     metadata:
       name: sharded
       namespace: openshift-ingress-operator
     spec:
       domain: <apps-sharded.basedomain.example.net>
       nodePlacement:
         nodeSelector:
           matchLabels:
             node-role.kubernetes.io/worker: ""
       routeSelector:
         matchLabels:
           type: sharded
     status: {}
   kind: List
   metadata:
     resourceVersion: ""
     selfLink: ""

2. 应用 Ingress Controller router-internal.yaml 文件：

   # oc apply -f router-internal.yaml

   Ingress Controller 选择具有 type: sharded 标签的任意命名空间中的路由。

流程

1. 编辑 router-internal.yaml 文件：

   # cat router-internal.yaml

   输出示例

   apiVersion: v1
   items:
   - apiVersion: operator.openshift.io/v1
     kind: IngressController
     metadata:
       name: sharded
       namespace: openshift-ingress-operator
     spec:
       domain: <apps-sharded.basedomain.example.net>
       nodePlacement:
         nodeSelector:
           matchLabels:
             node-role.kubernetes.io/worker: ""
       namespaceSelector:
         matchLabels:
           type: sharded
     status: {}
   kind: List
   metadata:
     resourceVersion: ""
     selfLink: ""

2. 应用 Ingress Controller router-internal.yaml 文件：

   # oc apply -f router-internal.yaml

   Ingress Controller 选择由命名空间选择器选择的具有 type: sharded 标签的任意命名空间中的路由。

流程

1. 为您的服务创建一个新项目：

   $ oc new-project <project_name>

   例如：

   $ oc new-project myproject

2. 使用 oc new-app 命令来创建服务。例如：

   $ oc new-app \
       -e MYSQL_USER=admin \
       -e MYSQL_PASSWORD=redhat \
       -e MYSQL_DATABASE=mysqldb \
       registry.redhat.io/rhscl/mysql-80-rhel7

3. 运行以下命令，以查看新服务是否已创建：

   $ oc get svc -n myproject

   输出示例

   NAME             TYPE        CLUSTER-IP     EXTERNAL-IP   PORT(S)    AGE
   mysql-80-rhel7   ClusterIP   172.30.63.31   <none>        3306/TCP   4m55s

   默认情况下，新服务没有外部 IP 地址。

1. 登录 OpenShift Container Platform。

2. 登录您想公开的服务所在的项目。

   $ oc project project1

3. 运行以下命令以公开路由：

   $ oc expose service <service_name>

   例如：

   $ oc expose service mysql-80-rhel7

   输出示例

   route "mysql-80-rhel7" exposed

4. 使用 cURL 等工具来确保您可以使用服务的集群 IP 地址来访问该服务：

   $ curl <pod_ip>:<port>

   例如：

   $ curl 172.30.131.89:3306

   此部分中的示例使用 MySQL 服务，这需要客户端应用程序。如果您得到一串字符并看到 Got packets out of order 消息，则您已连接到该服务。

   如果您有 MySQL 客户端，请使用标准 CLI 命令登录：

   $ mysql -h 172.30.131.89 -u admin -p

   输出示例

   Enter password:
   Welcome to the MariaDB monitor.  Commands end with ; or \g.
   
   MySQL [(none)]>

1. 登录 OpenShift Container Platform。

2. 加载您要公开的服务所在的项目。

   $ oc project project1

3. 在 master 节点上打开一个文本文件并粘贴以下文本，根据需要编辑该文件：

   负载均衡器配置文件示例

   apiVersion: v1
   kind: Service
   metadata:
     name: egress-2 1
   spec:
     ports:
     - name: db
       port: 3306 2
     loadBalancerIP:
     type: LoadBalancer 3
     selector:
       name: mysql 4

   1

   为负载均衡器服务输入一个描述性名称。

   2

   输入您要公开的服务所侦听的同一个端口

   3

   输入 loadbalancer 作为类型。

   4

   输入服务的名称。

4. 保存并退出文件。

5. 运行以下命令来创建服务：

   $ oc create -f <file-name>

   例如：

   $ oc create -f mysql-lb.yaml

6. 执行以下命令以查看新服务：

   $ oc get svc

   输出示例

   NAME       TYPE           CLUSTER-IP      EXTERNAL-IP                             PORT(S)          AGE
   egress-2   LoadBalancer   172.30.22.226   ad42f5d8b303045-487804948.example.com   3306:30357/TCP   15m

   如果启用了云供应商，该服务会自动分配到一个外部 IP 地址。

7. 在 master 上，使用 cURL 等工具来确保您可以通过公共 IP 地址访问该服务：

   $ curl <public-ip>:<port>

   例如：

   $ curl 172.29.121.74:3306

   此部分中的示例使用 MySQL 服务，这需要客户端应用程序。如果您得到一串字符并看到 Got packets out of order 消息，则您已连接到该服务。

   如果您有 MySQL 客户端，请使用标准 CLI 命令登录：

   $ mysql -h 172.30.131.89 -u admin -p

   输出示例

   Enter password:
   Welcome to the MariaDB monitor.  Commands end with ; or \g.
   
   MySQL [(none)]>