1.3. 高级网络配置

当使用 Infrastructure Operator 安装裸机受管集群时，请参阅 Kubernetes operator 的多集群引擎文档中的网络配置以了解额外网络要求。

使用 Submariner 的集群需要三个打开的端口。下表显示了您可以使用的端口：

方向	协议	连接	端口（如果指定）
出站和入站	UDP	每个受管集群	4800
出站和入站	UDP	每个受管集群	4500、500 以及网关节点上 IPSec 流量的任何其他端口
入站	TCP	每个受管集群	8080

当使用中央基础架构管理（包括使用中央基础架构管理）安装裸机受管集群时，您必须在 hub 集群和 libvirt 置备主机之间配置第 2 层或第 3 层端口连接。在使用 Hive 创建基本集群的过程中，需要它们来与置备主机进行连接。如需更多信息，请参阅下表：

方向	协议	连接	端口（如果指定）
到 `libvirt` 置备主机的 hub 集群的内向和外向流量	IP	将 hub 集群（Hive operator 安装的位置）连接到 `libvirt` 置备主机（在创建裸机集群时作为一个 bootstrap）

注：这些要求只适用于安装时，在升级使用 Infrastructure Operator 安装的集群时不需要。

通常，应用程序部署通信是从受管集群到 hub 集群的一种方法。连接使用 kubeconfig，后者由受管集群上的代理配置。受管集群中的应用程序部署需要访问 hub 集群中的以下命名空间：

应用程序生命周期连接：
- 命名空间 open-cluster-management 需要访问端口 4000 上的控制台 API。
- 命名空间 open-cluster-management 需要在端口 3001 上公开 Application UI。
应用程序生命周期后端组件(pod)：
在 hub 集群中，所有应用程序生命周期 pod 都安装在 open-cluster-management 命名空间中，包括以下 pod：
- multicluster-operators-hub-subscription
- multicluster-operators-standalone-subscription
- multicluster-operators-channel
- multicluster-operators-application
- multicluster-integrations
  由于这些 pod 位于 open-cluster-management 命名空间中：
- 命名空间 open-cluster-management 需要通过端口 6443 访问 Kube API。
在受管集群中，只有 klusterlet-addon-appmgr 应用程序生命周期 pod 安装在 open-cluster-management-agent-addon 命名空间中：
- 命名空间 open-cluster-management-agent-addon 需要通过端口 6443 访问 Kube API。
监管和风险：
在 hub 集群中，需要以下访问权限：
- 命名空间 open-cluster-management 需要通过端口 6443 访问 Kube API。
- 命名空间 open-cluster-management 需要访问端口 5353 上的 OpenShift DNS。
在受管集群中，需要以下访问权限：
- 命名空间 open-cluster-management-addon 需要通过端口 6443 访问 Kube API。