第 12 章 配置路由

先决条件

• 您需要在运行的集群中部署了 Ingress Controller。

流程

• 要在路由上启用 HSTS，请将 haproxy.router.openshift.io/hsts_header 值添加到边缘终止或重新加密路由：

  apiVersion: v1
  kind: Route
  metadata:
    annotations:
      haproxy.router.openshift.io/hsts_header: max-age=31536000;includeSubDomains;preload 1 2 3

  1

  max-age 是唯一的必要参数。它会测量 HSTS 策略生效的时间长度，以秒为单位。每当从主机收到含有 HSTS 标头的响应时，客户端会更新 max-age。如果 max-age 超时，客户端会丢弃该策略。

  2

  includeSubDomains 是可选的。含有此参数时，它会告知客户端应像主机一样对待主机上的所有子域。

  3

  preload 是可选的。当 max-age 大于 0 时，在 haproxy.router.openshift.io/hsts_header 中包含 preload 会使外部服务将这个站点包括在 HSTS 预加载列表中。例如，Google 等站点可以构造设有 preload 的站点的列表。浏览器可以使用这些列表来决定哪些站点可通过 HTTPS 进行通信，然后再与站点交互。如果没有设置 preload，浏览器必须通过 HTTPS 与站点交互才能获取该标头。

• 使用 ping 或 tcpdump 等数据包分析器，分析 pod 与其节点之间的流量。

  例如，在每个 pod 上运行 tcpdump 工具，同时重现导致问题的行为。检查两端的捕获信息，以便比较发送和接收时间戳来分析与 pod 往来的流量的延迟。如果节点接口被其他 pod、存储设备或者数据平面的流量过载，则 OpenShift Container Platform 中可能会出现延迟。

  $ tcpdump -s 0 -i any -w /tmp/dump.pcap host <podip 1> && host <podip 2> 1

  1

  podip 是 pod 的 IP 地址。运行 oc get pod <pod_name> -o wide 命令来获取 pod 的 IP 地址。

  tcpdump 在 /tmp/dump.pcap 中生成一个包含这两个 pod 间所有流量的文件。最好在运行分析器后立即重现问题，并在问题重现完成后马上停止分析器，从而尽量减小文件的大小。您还可以通过以下命令，在节点之间运行数据包分析器（从考量范围中剔除 SDN）：

  $ tcpdump -s 0 -i any -w /tmp/dump.pcap port 4789

• 使用 iperf 等带宽测量工具来测量数据流吞吐量和 UDP 吞吐量。先从 pod 运行该工具，再从节点运行，以此来查找瓶颈。

  • 如需有关安装和使用 iperf 的信息，请参阅此红帽解决方案。

先决条件

• 必须具有集群管理员权限。

流程

• 使用以下命令编辑 ingresscontroller 资源变量的.spec. routeAdmission 字段：

  $ oc -n openshift-ingress-operator patch ingresscontroller/default --patch '{"spec":{"routeAdmission":{"namespaceOwnership":"InterNamespaceAllowed"}}}' --type=merge

  Ingress 控制器配置参数

  spec:
    routeAdmission:
      namespaceOwnership: InterNamespaceAllowed
  ...