网络

流程

1. 要创建 ovn.yaml 文件，请运行以下命令：

   $ sudo cp /etc/microshift/ovn.yaml.default /etc/microshift/ovn.yaml

   Copy to Clipboard Toggle word wrap

2. 要列出您创建的配置文件的内容，请运行以下命令：

   $ cat /etc/microshift/ovn.yaml

   Copy to Clipboard Toggle word wrap

   带有默认最大传输单元(MTU)值的 YAML 文件示例

   mtu: 1400

   Copy to Clipboard Toggle word wrap

3. 要自定义配置，您可以更改 MTU 值。下表提供详情：

   Expand

   表 2.1. 支持 MicroShift 的可选 OVN-Kubernetes 配置

   字段	类型	Default（默认）	描述	Example
   mtu	uint32	auto	用于 pod 的 MTU 值	1300

   Show more
   重要

   如果更改了 ovn.yaml 文件中的 mtu 配置值，您必须重启红帽构建的 MicroShift 运行的主机以应用更新的设置。

   自定义 ovn.yaml 配置文件示例

   mtu: 1300

   Copy to Clipboard Toggle word wrap

1. 运行以下命令来访问远程节点：

   $ export KUBECONFIG=$PWD/kubeconfig

   Copy to Clipboard Toggle word wrap

2. 运行以下命令，查找您要重启的 ovnkube-master pod 的名称：

   $ pod=$(oc get pods -n openshift-ovn-kubernetes | awk -F " " '/ovnkube-master/{print $1}')

   Copy to Clipboard Toggle word wrap

3. 运行以下命令来删除 ovnkube-master pod：

   $ oc -n openshift-ovn-kubernetes delete pod $pod

   Copy to Clipboard Toggle word wrap

4. 使用以下命令确认新的 ovnkube-master pod 正在运行：

   $ oc get pods -n openshift-ovn-kubernetes

   Copy to Clipboard Toggle word wrap

   正在运行的 Pod 列表显示新的 ovnkube-master pod 名称和年龄。

流程

1. 将此设置添加到 /etc/systemd/system/rpm-ostreed.service.d/00-proxy.conf 文件中：

   [Service]
   Environment="http_proxy=http://$PROXY_USER:$PROXY_PASSWORD@$PROXY_SERVER:$PROXY_PORT/"

   Copy to Clipboard Toggle word wrap

2. 接下来，重新加载配置设置并重新启动服务以应用您的更改。

   1. 运行以下命令来重新载入配置设置：

      $ sudo systemctl daemon-reload

      Copy to Clipboard Toggle word wrap

   2. 运行以下命令重启 rpm-ostreed 服务：

      $ sudo systemctl restart rpm-ostreed.service

      Copy to Clipboard Toggle word wrap

流程

1. 如果配置文件不存在，为该目录创建该目录：

   $ sudo mkdir /etc/systemd/system/crio.service.d/

   Copy to Clipboard Toggle word wrap

2. 在 /etc/systemd/system/crio.service.d/00-proxy.conf 文件中添加以下设置：

   [Service]
   Environment=NO_PROXY="localhost,127.0.0.1"
   Environment=HTTP_PROXY="http://$PROXY_USER:$PROXY_PASSWORD@$PROXY_SERVER:$PROXY_PORT/"
   Environment=HTTPS_PROXY="http://$PROXY_USER:$PROXY_PASSWORD@$PROXY_SERVER:$PROXY_PORT/"

   Copy to Clipboard Toggle word wrap
   重要

   您必须为环境变量定义配置文件的 Service 部分，或者代理设置无法应用。

3. 重新载入配置设置：

   $ sudo systemctl daemon-reload

   Copy to Clipboard Toggle word wrap

4. 重启 CRI-O 服务：

   $ sudo systemctl restart crio

   Copy to Clipboard Toggle word wrap

5. 重启 MicroShift 服务以应用设置：

   $ sudo systemctl restart microshift

   Copy to Clipboard Toggle word wrap

验证

1. 运行以下命令验证 pod 是否已启动并检查输出：

   $ oc get all -A

   Copy to Clipboard Toggle word wrap

2. 运行以下命令并检查输出，验证 MicroShift 是否能够拉取容器镜像：

   $ sudo crictl images

   Copy to Clipboard Toggle word wrap

流程

1. 输入以下命令验证您的 pod 是否正在运行：

   $ oc get pods -A

   Copy to Clipboard Toggle word wrap

   输出示例

   NAMESPACE                            NAME                                                     READY   STATUS   RESTARTS  AGE
   default                              i-06166fbb376f14a8bus-west-2computeinternal-debug-qtwcr  1/1     Running	   0		   46m
   kube-system                          csi-snapshot-controller-5c6586d546-lprv4                 1/1     Running	   0		   51m
   kube-system                          csi-snapshot-webhook-6bf8ddc7f5-kz6k9                    1/1     Running	   0		   51m
   openshift-dns                        dns-default-45jl7                                        2/2     Running	   0		   50m
   openshift-dns                        node-resolver-7wmzf                                      1/1     Running	   0		   51m
   openshift-ingress                    router-default-78b86fbf9d-qvj9s                          1/1     Running 	 0		   51m
   openshift-multus                     dhcp-daemon-j7qnf                                        1/1     Running    0		   51m
   openshift-multus                     multus-r758z                                             1/1     Running    0		   51m
   openshift-operator-lifecycle-manager catalog-operator-85fb86fcb9-t6zm7                        1/1     Running    0		   51m
   openshift-operator-lifecycle-manager olm-operator-87656d995-fvz84                             1/1     Running    0		   51m
   openshift-ovn-kubernetes             ovnkube-master-5rfhh                                     4/4     Running    0		   51m
   openshift-ovn-kubernetes             ovnkube-node-gcnt6                                       1/1     Running    0		   51m
   openshift-service-ca                 service-ca-bf5b7c9f8-pn6rk                               1/1     Running    0		   51m
   openshift-storage                    topolvm-controller-549f7fbdd5-7vrmv                      5/5     Running    0		   51m
   openshift-storage                    topolvm-node-rht2m                                       3/3     Running    0		   50m

   Copy to Clipboard Toggle word wrap

2. 运行以下命令来创建命名空间：

   $ NAMESPACE=<nginx-lb-test> 

   1

   Copy to Clipboard Toggle word wrap

   1

   将 _<nginx-lb-test> 替换为您要创建的应用程序命名空间。

   $ oc create ns $NAMESPACE

   Copy to Clipboard Toggle word wrap

   命名空间示例

   以下示例在创建的命名空间中部署测试 nginx 应用程序的三个副本：

   oc apply -n $NAMESPACE -f - <<EOF
   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: nginx
   data:
     headers.conf: |
       add_header X-Server-IP  \$server_addr always;
   ---
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: nginx
   spec:
     replicas: 3
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx
       spec:
         containers:
         - image: quay.io/packit/nginx-unprivileged
           imagePullPolicy: Always
           name: nginx
           ports:
           - containerPort: 8080
           volumeMounts:
           - name: nginx-configs
             subPath: headers.conf
             mountPath: /etc/nginx/conf.d/headers.conf
           securityContext:
             allowPrivilegeEscalation: false
             seccompProfile:
               type: RuntimeDefault
             capabilities:
               drop: ["ALL"]
             runAsNonRoot: true
         volumes:
           - name: nginx-configs
             configMap:
               name: nginx
               items:
                 - key: headers.conf
                   path: headers.conf
   EOF

   Copy to Clipboard Toggle word wrap

3. 您可以运行以下命令来验证三个副本是否已成功启动：

   $ oc get pods -n $NAMESPACE

   Copy to Clipboard Toggle word wrap

4. 运行以下命令，为 nginx 测试应用程序创建 LoadBalancer 服务：

   oc create -n $NAMESPACE -f - <<EOF
   apiVersion: v1
   kind: Service
   metadata:
     name: nginx
   spec:
     ports:
     - port: 81
       targetPort: 8080
     selector:
       app: nginx
     type: LoadBalancer
   EOF

   Copy to Clipboard Toggle word wrap
   注意

   您必须确保 port 参数是一个没有被其他 LoadBalancer 服务或 MicroShift 组件占用的主机端口。

5. 运行以下命令，验证服务文件是否存在，是否正确分配了外部 IP 地址，并且外部 IP 与节点 IP 相同：

   $ oc get svc -n $NAMESPACE

   Copy to Clipboard Toggle word wrap

   输出示例

   NAME    TYPE           CLUSTER-IP      EXTERNAL-IP     PORT(S)        AGE
   nginx   LoadBalancer   10.43.183.104   192.168.1.241   81:32434/TCP   2m

   Copy to Clipboard Toggle word wrap

流程

1. 运行以下命令，将 NODEPORT 变量更改为分配给 Kubernetes NodePort 服务的主机端口号：

   # export NODEPORT=30700

   Copy to Clipboard Toggle word wrap

2. 将 INTERFACE_IP 值从您要阻止的主机接口更改为 IP 地址。例如：

   # export INTERFACE_IP=192.168.150.33

   Copy to Clipboard Toggle word wrap

3. 在 nat 表 PREROUTING 链中插入一条新规则，以丢弃与目标端口和 IP 地址匹配的所有数据包。例如：

   $ sudo nft -a insert rule ip nat PREROUTING tcp dport $NODEPORT ip daddr $INTERFACE_IP drop

   Copy to Clipboard Toggle word wrap

4. 运行以下命令列出新规则：

   $ sudo nft -a list chain ip nat PREROUTING
   table ip nat {
   	chain PREROUTING { # handle 1
   		type nat hook prerouting priority dstnat; policy accept;
   		tcp dport 30700 ip daddr 192.168.150.33 drop # handle 134
   		counter packets 108 bytes 18074 jump OVN-KUBE-ETP # handle 116
   		counter packets 108 bytes 18074 jump OVN-KUBE-EXTERNALIP # handle 114
   		counter packets 108 bytes 18074 jump OVN-KUBE-NODEPORT # handle 112
   	}
   }

   Copy to Clipboard Toggle word wrap
   注意

   请记录下新添加的规则的 handle 号。您需要删除以下步骤中的 handle 号。

5. 使用以下示例命令删除自定义规则：

   $ sudo nft -a delete rule ip nat PREROUTING handle 134

   Copy to Clipboard Toggle word wrap

流程

1. 在 MicroShift config.yaml 文件中将 ingress.status 字段的值更新为 Removed，如下例所示：

   config.yaml ingress 小节示例

   # ...
   ingress:
     ports:
       http: 80
       https: 443
     routeAdmissionPolicy:
       namespaceOwnership: InterNamespaceAllowed
     status: Removed 

   1

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   当值设为 Removed 时，ingress.ports 中列出的端口会自动关闭。ingress 小节中的任何其他设置都会被忽略，例如 routeAdmissionPolicy.namespaceOwnership 字段中的任何值。

2. 运行以下命令来重启 MicroShift 服务：

   $ sudo systemctl restart microshift

   Copy to Clipboard Toggle word wrap
   注意

   MicroShift 服务会在重启过程中输出当前的配置。

流程

1. 要防止不同命名空间中的路由声明同一主机名，请在 MicroShift config.yaml 文件中将 namespaceOwnership 字段值更新为 Strict。请参见以下示例：

   config.yaml 路由准入策略示例

   # ...
   ingress:
     routeAdmissionPolicy:
       namespaceOwnership: Strict 

   1

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   防止不同命名空间中的路由声明同一主机。有效值为 Strict 和 InterNamespaceAllowed。如果您删除自定义 config.yaml 中的值，则会自动设置 InterNamespaceAllowed 值。

2. 要应用配置，请运行以下命令重启 MicroShift 服务：

   $ sudo systemctl restart microshift

   Copy to Clipboard Toggle word wrap