网络

流程

1. 要创建 ovn.yaml 文件，请运行以下命令：

   $ sudo cp /etc/microshift/ovn.yaml.default /etc/microshift/ovn.yaml

   Copy to Clipboard Toggle word wrap

2. 要列出您创建的配置文件的内容，请运行以下命令：

   $ cat /etc/microshift/ovn.yaml.default

   Copy to Clipboard Toggle word wrap

   带有默认值的 'yaml' 配置文件示例

   ovsInit:
     disableOVSInit: false
     gatewayInterface: "" 

   1

   
   mtu: 1400

   Copy to Clipboard Toggle word wrap

   1

   默认值为空字符串，表示 "not-specified"。CNI 网络插件会自动探测到带有默认路由的接口。

3. 要自定义配置，请使用列出您可以使用的有效值：

   Expand

   表 1.1. 支持红帽构建的 MicroShift 的可选 OVN-Kubernetes 配置

   字段	类型	Default（默认）	描述	示例
   ovsInit.disableOVSInit	bool	false	跳过在 microshift-ovs-init.service中配置 OVS 网桥 br-ex	true [1]
   ovsInit.gatewayInterface	Alpha	eth0	Ingress，即 API 网关	eth0
   mtu	uint32	auto	用于 pod 的 MTU 值	1300

   Show more

   1. 需要 OVS 网桥。当 disableOVSInit 为 true 时，必须手动配置 OVS 网桥 br-ex。

      重要

      如果更改了 ovn.yaml 文件中的 mtu 配置值，您必须重启红帽构建的 MicroShift 运行的主机以应用更新的设置。

1. 运行以下命令来访问远程集群：

   $ export KUBECONFIG=$PWD/kubeconfig

   Copy to Clipboard Toggle word wrap

2. 运行以下命令，查找您要重启的 ovnkube-master pod 的名称：

   $ pod=$(oc get pods -n openshift-ovn-kubernetes | awk -F " " '/ovnkube-master/{print $1}')

   Copy to Clipboard Toggle word wrap

3. 运行以下命令来删除 ovnkube-master pod：

   $ oc -n openshift-ovn-kubernetes delete pod $pod

   Copy to Clipboard Toggle word wrap

4. 使用以下命令确认新的 ovnkube-master pod 正在运行：

   $ oc get pods -n openshift-ovn-kubernetes

   Copy to Clipboard Toggle word wrap

   正在运行的 Pod 列表显示新的 ovnkube-master pod 名称和年龄。

流程

1. 运行以下命令，将此设置添加到 /etc/systemd/system/rpm-ostreed.service.d/00-proxy.conf 文件中：

   Environment="http_proxy=http://$PROXY_USER:$PROXY_PASSWORD@$PROXY_SERVER:$PROXY_PORT/"

   Copy to Clipboard Toggle word wrap

2. 接下来，重新加载配置设置并重新启动服务以应用您的更改。

   1. 运行以下命令来重新载入配置设置：

      $ sudo systemctl daemon-reload

      Copy to Clipboard Toggle word wrap

   2. 运行以下命令重启 rpm-ostree 服务：

      $ sudo systemctl restart rpm-ostreed.service

      Copy to Clipboard Toggle word wrap

流程

1. 在 /etc/systemd/system/crio.service.d/00-proxy.conf 文件中添加以下设置：

   Environment=NO_PROXY="localhost,127.0.0.1"
   Environment=HTTP_PROXY="http://$PROXY_USER:$PROXY_PASSWORD@$PROXY_SERVER:$PROXY_PORT/"
   Environment=HTTPS_PROXY="http://$PROXY_USER:$PROXY_PASSWORD@$PROXY_SERVER:$PROXY_PORT/"

   Copy to Clipboard Toggle word wrap

2. 重新载入配置设置：

   $ sudo systemctl daemon-reload

   Copy to Clipboard Toggle word wrap

3. 重启 CRI-O 服务以应用设置：

   $ sudo systemctl restart crio

   Copy to Clipboard Toggle word wrap

流程

1. 运行以下命令验证您的 pod 是否正在运行：

   $ oc get pods -A

   Copy to Clipboard Toggle word wrap

2. 运行以下命令来创建示例命名空间：

   $ NAMESPACE=nginx-lb-test

   Copy to Clipboard Toggle word wrap

   $ oc create ns $NAMESPACE

   Copy to Clipboard Toggle word wrap

3. 以下示例在命名空间中部署测试 nginx 应用程序的三个副本：

   $ oc apply -n $NAMESPACE -f - <<EOF
   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: nginx
   data:
     headers.conf: |
       add_header X-Server-IP  \$server_addr always;
   ---
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: nginx
   spec:
     replicas: 3
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx
       spec:
         containers:
         - image: quay.io/packit/nginx-unprivileged
           imagePullPolicy: Always
           name: nginx
           ports:
           - containerPort: 8080
           volumeMounts:
           - name: nginx-configs
             subPath: headers.conf
             mountPath: /etc/nginx/conf.d/headers.conf
           securityContext:
             allowPrivilegeEscalation: false
             seccompProfile:
               type: RuntimeDefault
             capabilities:
               drop: ["ALL"]
             runAsNonRoot: true
         volumes:
           - name: nginx-configs
             configMap:
               name: nginx
               items:
                 - key: headers.conf
                   path: headers.conf
   EOF

   Copy to Clipboard Toggle word wrap

4. 您可以运行以下命令来验证三个副本是否已成功启动：

   $ oc get pods -n $NAMESPACE

   Copy to Clipboard Toggle word wrap

5. 使用以下示例命令为 nginx 测试应用程序创建 LoadBalancer 服务：

   $ oc create -n $NAMESPACE -f - <<EOF
   apiVersion: v1
   kind: Service
   metadata:
     name: nginx
   spec:
     ports:
     - port: 81
       targetPort: 8080
     selector:
       app: nginx
     type: LoadBalancer
   EOF

   Copy to Clipboard Toggle word wrap
   注意

   您必须确保 port 参数是一个主机端口，不被其他 LoadBalancer 服务或 MicroShift 组件的红帽构建。

6. 运行以下命令，验证服务文件是否存在，是否正确分配了外部 IP 地址，并且外部 IP 与节点 IP 相同：

   $ oc get svc -n $NAMESPACE

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME    TYPE           CLUSTER-IP      EXTERNAL-IP     PORT(S)        AGE
   nginx   LoadBalancer   10.43.183.104   192.168.1.241   81:32434/TCP   2m

   Copy to Clipboard Toggle word wrap

流程

1. 运行以下命令，将 NODEPORT 变量更改为分配给 Kubernetes NodePort 服务的主机端口号：

   # export NODEPORT=30700

   Copy to Clipboard Toggle word wrap

2. 将 INTERFACE_IP 值从您要阻止的主机接口更改为 IP 地址。例如：

   # export INTERFACE_IP=192.168.150.33

   Copy to Clipboard Toggle word wrap

3. 在 nat 表 PREROUTING 链中插入一条新规则，以丢弃与目标端口和 IP 地址匹配的所有数据包。例如：

   $ sudo nft -a insert rule ip nat PREROUTING tcp dport $NODEPORT ip daddr $INTERFACE_IP drop

   Copy to Clipboard Toggle word wrap

4. 运行以下命令列出新规则：

   $ sudo nft -a list chain ip nat PREROUTING
   table ip nat {
   	chain PREROUTING { # handle 1
   		type nat hook prerouting priority dstnat; policy accept;
   		tcp dport 30700 ip daddr 192.168.150.33 drop # handle 134
   		counter packets 108 bytes 18074 jump OVN-KUBE-ETP # handle 116
   		counter packets 108 bytes 18074 jump OVN-KUBE-EXTERNALIP # handle 114
   		counter packets 108 bytes 18074 jump OVN-KUBE-NODEPORT # handle 112
   	}
   }

   Copy to Clipboard Toggle word wrap
   注意

   请记录下新添加的规则的 handle 号。您需要删除以下步骤中的 handle 号。

5. 使用以下示例命令删除自定义规则：

   $ sudo nft -a delete rule ip nat PREROUTING handle 134

   Copy to Clipboard Toggle word wrap

流程

1. 可选：运行以下命令来检查系统中的 firewalld ：

   $ rpm -q firewalld

   Copy to Clipboard Toggle word wrap

2. 如果没有安装 firewalld 服务，请运行以下命令：

   $ sudo dnf install -y firewalld

   Copy to Clipboard Toggle word wrap

3. 要启动防火墙，请运行以下命令：

   $ sudo systemctl enable firewalld --now

   Copy to Clipboard Toggle word wrap

流程

1. 使用以下命令之一设置 IP 地址范围：

   1. 运行以下命令，使用默认值配置 IP 地址范围：

      $ sudo firewall-offline-cmd --permanent --zone=trusted --add-source=10.42.0.0/16

      Copy to Clipboard Toggle word wrap

   2. 运行以下命令，使用自定义值配置 IP 地址范围：

      $ sudo firewall-offline-cmd --permanent --zone=trusted --add-source=<custom IP range>

      Copy to Clipboard Toggle word wrap

2. 要允许 pod 通过网络网关的内部流量，请运行以下命令：

   $ sudo firewall-offline-cmd --permanent --zone=trusted --add-source=169.254.169.1

   Copy to Clipboard Toggle word wrap