2.11. 审计公开的网络端口

流程

1. 可选：您可以使用以下示例命令检查 ovnkube-node pod 中是否设置了 hostNetwork:true 参数：

   $ sudo oc get pod -n openshift-ovn-kubernetes <ovnkube-node-pod-name> -o json | jq -r '.spec.hostNetwork' true

   Copy to Clipboard Toggle word wrap

2. 运行以下命令，在 firewalld 日志中启用 debug：

   $ sudo vi /etc/sysconfig/firewalld
   FIREWALLD_ARGS=--debug=10

   Copy to Clipboard Toggle word wrap

3. 重启 firewalld 服务：

   $ sudo systemctl restart firewalld.service

   Copy to Clipboard Toggle word wrap

4. 要验证 debug 选项是否已正确添加，请运行以下命令：

   $ sudo systemd-cgls -u firewalld.service

   Copy to Clipboard Toggle word wrap

   firewalld 调试日志存储在 /var/log/firewalld 路径中。

   添加端口打开规则时的日志示例

   2023-06-28 10:46:37 DEBUG1: config.getZoneByName('public')
   2023-06-28 10:46:37 DEBUG1: config.zone.7.addPort('8080', 'tcp')
   2023-06-28 10:46:37 DEBUG1: config.zone.7.getSettings()
   2023-06-28 10:46:37 DEBUG1: config.zone.7.update('...')
   2023-06-28 10:46:37 DEBUG1: config.zone.7.Updated('public')

   Copy to Clipboard Toggle word wrap

   删除端口打开规则时的日志示例

   2023-06-28 10:47:57 DEBUG1: config.getZoneByName('public')
   2023-06-28 10:47:57 DEBUG2: config.zone.7.Introspect()
   2023-06-28 10:47:57 DEBUG1: config.zone.7.removePort('8080', 'tcp')
   2023-06-28 10:47:57 DEBUG1: config.zone.7.getSettings()
   2023-06-28 10:47:57 DEBUG1: config.zone.7.update('...')
   2023-06-28 10:47:57 DEBUG1: config.zone.7.Updated('public')

   Copy to Clipboard Toggle word wrap

流程

1. 要访问 ovnkube-master pod 的名称，请运行以下命令：

   $ oc get pods -n openshift-ovn-kubernetes | awk '/ovnkube-master/{print $1}'

   Copy to Clipboard Toggle word wrap

   ovnkube-master pod 名称示例

   ovnkube-master-n2shv

   Copy to Clipboard Toggle word wrap

2. 您可以使用 ovnkube-master pod 访问 NodePort 和 LoadBalancer 服务日志，并运行以下示例命令：

   $ oc logs -n openshift-ovn-kubernetes <ovnkube-master-pod-name> ovnkube-master | grep -E "OVN-KUBE-NODEPORT|OVN-KUBE-EXTERNALIP"

   Copy to Clipboard Toggle word wrap

   NodePort 服务：

   当主机端口打开时，ovnkube-master pod 的 ovnkube-master 容器中的日志示例

   $ I0625 09:07:00.992980 2118395 iptables.go:27] Adding rule in table: nat, chain: OVN-KUBE-NODEPORT with args: "-p TCP -m addrtype --dst-type LOCAL --dport 32718 -j DNAT --to-destination 10.96.178.142:8081" for protocol: 0

   Copy to Clipboard Toggle word wrap

   当主机端口关闭时，ovnkube-master pod 的 ovnkube-master 容器中的日志示例

   $ Deleting rule in table: nat, chain: OVN-KUBE-NODEPORT with args: "-p TCP -m addrtype --dst-type LOCAL --dport 32718 -j DNAT --to-destination 10.96.178.142:8081" for protocol: 0

   Copy to Clipboard Toggle word wrap

   LoadBalancer 服务：

   当主机端口打开时，ovnkube-master pod 的 ovnkube-master 容器中的日志示例

   $ I0625 09:34:10.406067  128902 iptables.go:27] Adding rule in table: nat, chain: OVN-KUBE-EXTERNALIP with args: "-p TCP -d 172.16.47.129 --dport 8081 -j DNAT --to-destination 10.43.114.94:8081" for protocol: 0

   Copy to Clipboard Toggle word wrap

   当主机端口关闭时，ovnkube-master pod 的 ovnkube-master 容器中的日志示例

   $ I0625 09:37:00.976953  128902 iptables.go:63] Deleting rule in table: nat, chain: OVN-KUBE-EXTERNALIP with args: "-p TCP -d 172.16.47.129 --dport 8081 -j DNAT --to-destination 10.43.114.94:8081" for protocol: 0

   Copy to Clipboard Toggle word wrap