服务

在 Microsoft Azure 环境中创建入站和出站防火墙规则，以打开 IP 安全 NAT 遍历端口（默认为 4500/UDP）以启用 Submariner 通信：

# create inbound nat rule
$ az network lb inbound-nat-rule create --lb-name <lb-name> \
--resource-group <res-group> \
--name <name> \
--protocol Udp --frontend-port <ipsec-port> \
--backend-port <ipsec-port> \
--frontend-ip-name <frontend-ip-name>

# add your vm network interface to the created inbound nat rule
$ az network nic ip-config inbound-nat-rule add \
--lb-name <lb-name> --resource-group <res-group> \
--inbound-nat-rule <nat-name> \
--nic-name <nic-name> --ip-config-name <pipConfig>

将 lb-name 替换为您的负载均衡器名称。

将 res-group 替换为您的资源组名称。

使用负载平衡入站 NAT 规则名称替换替换 nat-name。

使用您的 IPsec 端口替换 ipsec-port。

将 pipConfig 替换为集群前端 IP 配置名称。

将 nic-name 替换为您的网卡（NIC）。

创建一个负载均衡入站 NAT 规则以转发 Submariner 网关指标服务请求：

# create inbound nat rule
$ az network lb inbound-nat-rule create --lb-name <lb-name> \
--resource-group <res-group> \
--name <name> \
--protocol Tcp --frontend-port 8080 --backend-port 8080 \
--frontend-ip-name <frontend-ip-name>

# add your vm network interface to the created inbound nat rule
$ az network nic ip-config inbound-nat-rule add \
--lb-name <lb-name> --resource-group <res-group> \
--inbound-nat-rule <nat-name> \
--nic-name <nic-name> --ip-config-name <pipConfig>

将 lb-name 替换为您的负载均衡器名称。

将 res-group 替换为您的资源组名称。

使用负载平衡入站 NAT 规则名称替换替换 nat-name。

将 pipConfig 替换为集群前端 IP 配置名称。

将 nic-name 替换为您的网卡（NIC）。

在 Azure 上创建网络安全组 {NSG）安全规则，为 Submariner 打开 NAT 遍历端口（默认为 4500/UDP）：

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Inbound --access Allow \
--protocol Udp --destination-port-ranges <ipsec-port>

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Outbound --access Allow \
--protocol Udp --destination-port-ranges <ipsec-port>
Replace `res-group` with your resource group name.
+
Replace `nsg-name` with your NSG name.
+
Replace `priority` with your rule priority.
+
Replace `name` with your rule name.
+
Replace `ipsec-port` with your IPsec port.

创建 NSG 规则以打开 4800/UDP 端口，将来自 worker 和 master 节点的 pod 流量封装到 Submariner 网关节点：

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Inbound --access Allow \
--protocol Udp --destination-port-ranges 4800 \

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Outbound --access Allow \
--protocol Udp --destination-port-ranges 4800

将 res-group 替换为您的资源组名称。

使用您的 NSG 名称替换 nsg-name。

将 priority 替换为您的规则优先级。

使用您的规则名称替换 name。

创建 NSG 规则以打开 8080/TCP 端口，从 Submariner Gateway 节点导出指标服务：

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Inbound --access Allow \
--protocol Tcp --destination-port-ranges 8080 \

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Outbound --access Allow \
--protocol Udp --destination-port-ranges 8080

将 res-group 替换为您的资源组名称。

使用您的 NSG 名称替换 nsg-name。

将 priority 替换为您的规则优先级。

使用您的规则名称替换 name。

按照 Creating and managing ManagedClusterSets 中的信息在 hub 集群中创建一个 ManagedClusterSet。ManagedClusterSet 的条目应类似以下内容：

apiVersion: cluster.open-cluster-management.io/v1alpha1
kind: ManagedClusterSet
metadata:
  name: <managed-cluster-set-name>

将 managed-cluster-set-name 替换为您要创建的 ManagedClusterSet 的名称。

注：Kubernetes 命名空间名称的最大长度为 63 个字符，因此 <managed-cluster-set-name> 的最大长度为 56 个字符。如果 <managed-cluster-set-name> 的长度超过 56，则 <managed-cluster-set-name> 将从头截断。

创建 ManagedClusterSet 后，submariner-addon 会创建一个名为 <managed-cluster-set-name>-broker 的命名空间，并将 Submariner 代理部署到其中。

输入以下命令在 ManagedClusterSet 中添加一个受管集群：

oc label managedclusters <managed-cluster-name> "cluster.open-cluster-management.io/clusterset=<managed-cluster-set-name>" --overwrite

将 <managed-cluster-name> 替换为您要添加到 ManagedClusterSet 的受管集群的名称。

将 <managed-cluster-set-name> 替换为您要添加受管集群的 ManagedClusterSet 的名称。

输入以下命令在受管集群中部署 Submariner：

cat << EOF | oc apply -f -
apiVersion: addon.open-cluster-management.io/v1alpha1
kind: ManagedClusterAddOn
metadata:
     name: submariner
     namespace: <managed-cluster-name>
spec:
     installNamespace: submariner-operator

将 managed-cluster-name 替换为您要使用 Submariner 的受管集群的名称。

ManagedClusterAddOn 的 spec 中的 installNamespace 字段是在受管集群上安装 Submariner 的命名空间。目前，Submariner 必须安装到 submariner-operator 命名空间中。

创建 ManagedClusterAddOn 后，submariner-addon 将 Submariner 部署到受管集群上的 submariner-operator 命名空间。您可以从这个 ManagedClusterAddOn 的状态查看 Submariner 的部署状态。

注： ManagedClusterAddOn 的名称必须是 submariner。

在受管集群中部署了 Submariner 后，您可以通过输入以下命令检查 submarinerr ManagedClusterAddOn 的状态来验证 Submariner 部署状态：

oc -n <managed-cluster-name> get managedclusteraddons submariner -oyaml

将 managed-cluster-name 替换为受管集群的名称。

在 Submariner ManagedClusterAddOn 的状态中，三个条件代表 Submariner 的部署状态：