网络

流程

1. 要创建 ovn.yaml 文件，请运行以下命令：

   $ sudo cp /etc/microshift/ovn.yaml.default /etc/microshift/ovn.yaml

2. 要列出您创建的配置文件的内容，请运行以下命令：

   $ cat /etc/microshift/ovn.yaml

   带有默认最大传输单元(MTU)值的 YAML 文件示例

   mtu: 1400

3. 要自定义配置，您可以更改 MTU 值。下表提供详情：

   Expand

   表 2.1. 支持 MicroShift 的可选 OVN-Kubernetes 配置

   字段	类型	Default（默认）	描述	Example
   mtu	uint32	auto	用于 pod 的 MTU 值	1300

   Show more
   重要

   如果更改了 ovn.yaml 文件中的 mtu 配置值，您必须重启红帽构建的 MicroShift 运行的主机以应用更新的设置。

   自定义 ovn.yaml 配置文件示例

   mtu: 1300

1. 运行以下命令来访问远程节点：

   $ export KUBECONFIG=$PWD/kubeconfig

2. 运行以下命令，查找您要重启的 ovnkube-master pod 的名称：

   $ pod=$(oc get pods -n openshift-ovn-kubernetes | awk -F " " '/ovnkube-master/{print $1}')

3. 运行以下命令来删除 ovnkube-master pod：

   $ oc -n openshift-ovn-kubernetes delete pod $pod

4. 使用以下命令确认新的 ovnkube-master pod 正在运行：

   $ oc get pods -n openshift-ovn-kubernetes

   正在运行的 Pod 列表显示新的 ovnkube-master pod 名称和年龄。

流程

1. 将此设置添加到 /etc/systemd/system/rpm-ostreed.service.d/00-proxy.conf 文件中：

   [Service]
   Environment="http_proxy=http://$PROXY_USER:$PROXY_PASSWORD@$PROXY_SERVER:$PROXY_PORT/"

2. 接下来，重新加载配置设置并重新启动服务以应用您的更改。

   1. 运行以下命令来重新载入配置设置：

      $ sudo systemctl daemon-reload

   2. 运行以下命令重启 rpm-ostreed 服务：

      $ sudo systemctl restart rpm-ostreed.service

流程

1. 如果配置文件不存在，为该目录创建该目录：

   $ sudo mkdir /etc/systemd/system/crio.service.d/

2. 在 /etc/systemd/system/crio.service.d/00-proxy.conf 文件中添加以下设置：

   [Service]
   Environment=NO_PROXY="localhost,127.0.0.1"
   Environment=HTTP_PROXY="http://$PROXY_USER:$PROXY_PASSWORD@$PROXY_SERVER:$PROXY_PORT/"
   Environment=HTTPS_PROXY="http://$PROXY_USER:$PROXY_PASSWORD@$PROXY_SERVER:$PROXY_PORT/"

   重要

   您必须为环境变量定义配置文件的 Service 部分，或者代理设置无法应用。

3. 重新载入配置设置：

   $ sudo systemctl daemon-reload

4. 重启 CRI-O 服务：

   $ sudo systemctl restart crio

5. 重启 MicroShift 服务以应用设置：

   $ sudo systemctl restart microshift

验证

1. 运行以下命令验证 pod 是否已启动并检查输出：

   $ oc get all -A

2. 运行以下命令并检查输出，验证 MicroShift 是否能够拉取容器镜像：

   $ sudo crictl images

流程

1. 输入以下命令验证您的 pod 是否正在运行：

   $ oc get pods -A

   输出示例

   NAMESPACE                            NAME                                                     READY   STATUS   RESTARTS  AGE
   default                              i-06166fbb376f14a8bus-west-2computeinternal-debug-qtwcr  1/1     Running	   0		   46m
   kube-system                          csi-snapshot-controller-5c6586d546-lprv4                 1/1     Running	   0		   51m
   openshift-dns                        dns-default-45jl7                                        2/2     Running	   0		   50m
   openshift-dns                        node-resolver-7wmzf                                      1/1     Running	   0		   51m
   openshift-ingress                    router-default-78b86fbf9d-qvj9s                          1/1     Running 	 0		   51m
   openshift-multus                     dhcp-daemon-j7qnf                                        1/1     Running    0		   51m
   openshift-multus                     multus-r758z                                             1/1     Running    0		   51m
   openshift-operator-lifecycle-manager catalog-operator-85fb86fcb9-t6zm7                        1/1     Running    0		   51m
   openshift-operator-lifecycle-manager olm-operator-87656d995-fvz84                             1/1     Running    0		   51m
   openshift-ovn-kubernetes             ovnkube-master-5rfhh                                     4/4     Running    0		   51m
   openshift-ovn-kubernetes             ovnkube-node-gcnt6                                       1/1     Running    0		   51m
   openshift-service-ca                 service-ca-bf5b7c9f8-pn6rk                               1/1     Running    0		   51m
   openshift-storage                    topolvm-controller-549f7fbdd5-7vrmv                      5/5     Running    0		   51m
   openshift-storage                    topolvm-node-rht2m                                       3/3     Running    0		   50m

2. 运行以下命令来创建命名空间：

   $ NAMESPACE=<nginx-lb-test> 

   1

   1

   将 _<nginx-lb-test> 替换为您要创建的应用程序命名空间。

   $ oc create ns $NAMESPACE

   命名空间示例

   以下示例在创建的命名空间中部署测试 nginx 应用程序的三个副本：

   oc apply -n $NAMESPACE -f - <<EOF
   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: nginx
   data:
     headers.conf: |
       add_header X-Server-IP  \$server_addr always;
   ---
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: nginx
   spec:
     replicas: 3
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx
       spec:
         containers:
         - image: quay.io/packit/nginx-unprivileged
           imagePullPolicy: Always
           name: nginx
           ports:
           - containerPort: 8080
           volumeMounts:
           - name: nginx-configs
             subPath: headers.conf
             mountPath: /etc/nginx/conf.d/headers.conf
           securityContext:
             allowPrivilegeEscalation: false
             seccompProfile:
               type: RuntimeDefault
             capabilities:
               drop: ["ALL"]
             runAsNonRoot: true
         volumes:
           - name: nginx-configs
             configMap:
               name: nginx
               items:
                 - key: headers.conf
                   path: headers.conf
   EOF

3. 您可以运行以下命令来验证三个副本是否已成功启动：

   $ oc get pods -n $NAMESPACE

4. 运行以下命令，为 nginx 测试应用程序创建 LoadBalancer 服务：

   oc create -n $NAMESPACE -f - <<EOF
   apiVersion: v1
   kind: Service
   metadata:
     name: nginx
   spec:
     ports:
     - port: 81
       targetPort: 8080
     selector:
       app: nginx
     type: LoadBalancer
   EOF

   注意

   您必须确保 port 参数是一个没有被其他 LoadBalancer 服务或 MicroShift 组件占用的主机端口。

5. 运行以下命令，验证服务文件是否存在，是否正确分配了外部 IP 地址，并且外部 IP 与节点 IP 相同：

   $ oc get svc -n $NAMESPACE

   输出示例

   NAME    TYPE           CLUSTER-IP      EXTERNAL-IP     PORT(S)        AGE
   nginx   LoadBalancer   10.43.183.104   192.168.1.241   81:32434/TCP   2m

流程

1. 运行以下命令，将 NODEPORT 变量更改为分配给 Kubernetes NodePort 服务的主机端口号：

   # export NODEPORT=30700

2. 将 INTERFACE_IP 值从您要阻止的主机接口更改为 IP 地址。例如：

   # export INTERFACE_IP=192.168.150.33

3. 在 nat 表 PREROUTING 链中插入一条新规则，以丢弃与目标端口和 IP 地址匹配的所有数据包。例如：

   $ sudo nft -a insert rule ip nat PREROUTING tcp dport $NODEPORT ip daddr $INTERFACE_IP drop

4. 运行以下命令列出新规则：

   $ sudo nft -a list chain ip nat PREROUTING
   table ip nat {
   	chain PREROUTING { # handle 1
   		type nat hook prerouting priority dstnat; policy accept;
   		tcp dport 30700 ip daddr 192.168.150.33 drop # handle 134
   		counter packets 108 bytes 18074 jump OVN-KUBE-ETP # handle 116
   		counter packets 108 bytes 18074 jump OVN-KUBE-EXTERNALIP # handle 114
   		counter packets 108 bytes 18074 jump OVN-KUBE-NODEPORT # handle 112
   	}
   }

   注意

   请记录下新添加的规则的 handle 号。您需要删除以下步骤中的 handle 号。

5. 使用以下示例命令删除自定义规则：

   $ sudo nft -a delete rule ip nat PREROUTING handle 134

流程

1. 在 MicroShift config.yaml 文件中将 ingress.status 字段的值更新为 Removed，如下例所示：

   config.yaml ingress 小节示例

   # ...
   ingress:
     ports:
       http: 80
       https: 443
     routeAdmissionPolicy:
       namespaceOwnership: InterNamespaceAllowed
     status: Removed 

   1

   
   # ...

   1

   当值设为 Removed 时，ingress.ports 中列出的端口会自动关闭。ingress 小节中的任何其他设置都会被忽略，例如 routeAdmissionPolicy.namespaceOwnership 字段中的任何值。

2. 运行以下命令来重启 MicroShift 服务：

   $ sudo systemctl restart microshift

   注意

   MicroShift 服务会在重启过程中输出当前的配置。

流程

1. 要防止不同命名空间中的路由声明同一主机名，请在 MicroShift config.yaml 文件中将 namespaceOwnership 字段值更新为 Strict。请参见以下示例：

   config.yaml 路由准入策略示例

   # ...
   ingress:
     routeAdmissionPolicy:
       namespaceOwnership: Strict 

   1

   
   # ...

   1

   防止不同命名空间中的路由声明同一主机。有效值为 Strict 和 InterNamespaceAllowed。如果您删除自定义 config.yaml 中的值，则会自动设置 InterNamespaceAllowed 值。

2. 要应用配置，请运行以下命令重启 MicroShift 服务：

   $ sudo systemctl restart microshift

流程

1. 运行以下命令，创建名为 hello-microshift 的服务：

   $ oc expose pod hello-microshift -n $namespace

2. 运行以下命令，创建一个没有安全的路由到 hello-microshift 应用程序：

   $ oc expose svc/hello-microshift --hostname=microshift.com $namespace

流程

1. 创建一个路由定义，并将它保存到名为 app-example-route.yaml 的文件中：

   使用 HTTP 标头指令创建路由的 YAML 定义

   apiVersion: route.openshift.io/v1
   kind: Route
   # ...
   spec:
     host: app.example.com
     tls:
       termination: edge
     to:
       kind: Service
       name: app-example
     httpHeaders:
       actions: 

   1

   
         response: 

   2

   
         - name: Content-Location 

   3

   
           action:
             type: Set 

   4

   
             set:
               value: /lang/en-us 

   5

   1

   要在 HTTP 标头上执行的操作列表。

   2

   您要更改的标头类型。在本例中，响应标头。

   3

   您要更改的标头的名称。有关您可以设置或删除的可用标头列表，请参阅 HTTP 标头配置。

   4

   在标头中执行的操作类型。此字段可以具有 Set 或 Delete 的值。

   5

   在设置 HTTP 标头时，您必须提供一个 value。该值可以是该标头的可用指令列表中的字符串，如 DENY，也可以是使用 HAProxy 的动态值语法来解释的动态值。在这种情况下，该值被设置为内容的相对位置。

2. 使用新创建的路由定义，创建到现有 Web 应用程序的路由：

   $ oc -n app-example create -f app-example-route.yaml

流程

1. 在 MicroShift 控制台的 Red Hat build 中或通过 oc create 命令定义 Ingress 对象：

   Ingress 的 YAML 定义

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: frontend
     annotations:
       route.openshift.io/termination: "reencrypt" 

   1

   
       route.openshift.io/destination-ca-certificate-secret: secret-ca-cert 

   2

   
   spec:
     rules:
     - host: www.example.com 

   3

   
       http:
         paths:
         - backend:
             service:
               name: frontend
               port:
                 number: 443
           path: /
           pathType: Prefix
     tls:
     - hosts:
       - www.example.com
       secretName: example-com-tls-certificate

   1

   route.openshift.io/termination 注解可用于配置 Route 的 spec.tls.termination 字段，因为 Ingress 没有此字段。可接受的值为 edge、passthrough 和 reencrypt。所有其他值都会被静默忽略。当注解值未设置时，edge 是默认路由。模板文件中必须定义 TLS 证书详细信息，才能实现默认的边缘路由。

   3

   在使用 Ingress 对象时，您必须指定一个显式主机名，这与使用路由时不同。您可以使用 <host_name>.<cluster_ingress_domain> 语法（如 apps.openshiftdemos.com）以利用 *.<cluster_ingress_domain> 通配符 DNS 记录，为集群提供证书。否则，您必须确保有一个用于所选主机名的 DNS 记录。

   1. 如果您在 route.openshift.io/termination 注解中指定 passthrough 值，在 spec 中将 path 设置为 ''，将 pathType 设置为 ImplementationSpecific：

        spec:
          rules:
          - host: www.example.com
            http:
              paths:
              - path: ''
                pathType: ImplementationSpecific
                backend:
                  service:
                    name: frontend
                    port:
                      number: 443

      $ oc apply -f ingress.yaml

   2

   route.openshift.io/destination-ca-certificate-secret 可用于 Ingress 对象来定义带有自定义目的地证书(CA)的路由。该注解引用一个 kubernetes secret，secret-ca-cert 将插入到生成的路由中。

   1. 要从 ingress 对象使用目标 CA 指定路由对象，您必须在 secret 的 data.tls.crt specifier 中创建一个带有 PEM 编码格式的证书的 kubernetes.io/tls 或 Opaque 类型 secret。

2. 列出您的路由：

   $ oc get routes

   结果包括一个自动生成的路由，其名称以 frontend- 开头：

   NAME             HOST/PORT         PATH    SERVICES    PORT    TERMINATION          WILDCARD
   frontend-gnztq   www.example.com           frontend    443     reencrypt/Redirect   None

   如果您检查这个路由，它会类似于：

   自动生成的路由的 YAML 定义

   apiVersion: route.openshift.io/v1
   kind: Route
   metadata:
     name: frontend-gnztq
     ownerReferences:
     - apiVersion: networking.k8s.io/v1
       controller: true
       kind: Ingress
       name: frontend
       uid: 4e6c59cc-704d-4f44-b390-617d879033b6
   spec:
     host: www.example.com
     path: /
     port:
       targetPort: https
     tls:
       certificate: |
         -----BEGIN CERTIFICATE-----
         [...]
         -----END CERTIFICATE-----
       insecureEdgeTerminationPolicy: Redirect
       key: |
         -----BEGIN RSA PRIVATE KEY-----
         [...]
         -----END RSA PRIVATE KEY-----
       termination: reencrypt
       destinationCACertificate: |
         -----BEGIN CERTIFICATE-----
         [...]
         -----END CERTIFICATE-----
     to:
       kind: Service
       name: frontend

流程

1. 为 Ingress 对象创建 YAML 文件。在本例中，该文件名为 example-ingress.yaml ：

   Ingress 对象的 YAML 定义

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: frontend
     ...
   spec:
     rules:
       ...
     tls:
     - {} 

   1

   1

   使用此精确的语法指定 TLS，而不指定自定义证书。

2. 运行以下命令来创建 Ingress 对象：

   $ oc create -f example-ingress.yaml

流程

1. 输入以下命令为目标 CA 证书创建 secret：

   $ oc create secret generic dest-ca-cert --from-file=tls.crt=<file_path>

   例如：

   $ oc -n test-ns create secret generic dest-ca-cert --from-file=tls.crt=tls.crt

   输出示例

   secret/dest-ca-cert created

2. 将 route.openshift.io/destination-ca-certificate-secret 添加到 Ingress 注解中：

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: frontend
     annotations:
       route.openshift.io/termination: "reencrypt"
       route.openshift.io/destination-ca-certificate-secret: secret-ca-cert 

   1

   
   ...

   1

   该注解引用 kubernetes secret。

3. 此注解中引用的机密将插入到生成的路由中。

   输出示例

   apiVersion: route.openshift.io/v1
   kind: Route
   metadata:
     name: frontend
     annotations:
       route.openshift.io/termination: reencrypt
       route.openshift.io/destination-ca-certificate-secret: secret-ca-cert
   spec:
   ...
     tls:
       insecureEdgeTerminationPolicy: Redirect
       termination: reencrypt
       destinationCACertificate: |
         -----BEGIN CERTIFICATE-----
         [...]
         -----END CERTIFICATE-----
   ...