1.3. 高级网络配置

当使用 Infrastructure Operator 安装裸机受管集群时，请参阅 multicluster engine for Kubernetes operator 文档中的网络配置以了解额外网络要求。

使用 Submariner 的集群需要三个打开的端口。下表显示了您可以使用的端口：

方向	协议	连接	端口（如果指定）
出站和入站	UDP	每个受管集群	4800
出站和入站	UDP	每个受管集群	4500、500 以及网关节点上 IPSec 流量的任何其他端口
入站	TCP	每个受管集群	8080

当使用 Hive Operator 安装裸机受管集群（包括使用中央基础架构管理）时，您必须在 hub 集群和 libvirt 置备主机间配置第 2 层或第 3 层端口连接。在使用 Hive 创建基本集群的过程中，需要它们来与置备主机进行连接。如需更多信息，请参阅下表：

方向	协议	连接	端口（如果指定）
到 `libvirt` 置备主机的 hub 集群的内向和外向流量	IP	将 hub 集群（Hive operator 安装的位置）连接到 `libvirt` 置备主机（在创建裸机集群时作为一个 bootstrap）

注：这些要求只适用于安装时，在升级使用 Infrastructure Operator 安装的集群时不需要。

使用托管的 control plane 时，HypershiftDeployment 资源必须具有与下表中列出的端点的连接：

方向	连接	端口（如果指定）
出站	OpenShift Container Platform control-plane 和 worker 节点
出站	仅限 Amazon Web Services 上的托管集群：到 AWS API 和 S3 API 的出站连接
出站	对于 Microsoft Azure 云服务上的托管集群：到 Azure API 的出站连接
出站	OpenShift Container Platform 镜像存储库，用于存储 coreOS 的 ISO 镜像和 OpenShift Container Platform pod 的镜像 registry
出站	托管集群中 klusterlet 的本地 API 客户端与 HyperShift 托管集群的 API 通信

通常，应用程序部署通信是从受管集群到 hub 集群的一种方法。连接使用 kubeconfig，后者由受管集群上的代理配置。受管集群中的应用程序部署需要访问 hub 集群中的以下命名空间：

应用程序生命周期连接：
- 命名空间 open-cluster-management 需要访问端口 4000 上的控制台 API。
- 命名空间 open-cluster-management 需要在端口 3001 上公开 Application UI。
应用程序生命周期后端组件(pod)：
在 hub 集群中，所有应用程序生命周期 pod 都安装在 open-cluster-management 命名空间中，包括以下 pod：
- multicluster-operators-hub-subscription
- multicluster-operators-standalone-subscription
- multicluster-operators-channel
- multicluster-operators-application
- multicluster-integrations
  由于这些 pod 位于 open-cluster-management 命名空间中：
- 命名空间 open-cluster-management 需要通过端口 6443 访问 Kube API。
在受管集群中，只有 klusterlet-addon-appmgr 应用程序生命周期 pod 安装在 open-cluster-management-agent-addon 命名空间中：
- 命名空间 open-cluster-management-agent-addon 需要通过端口 6443 访问 Kube API。
监管和风险：
在 hub 集群中，需要以下访问权限：
- 命名空间 open-cluster-management 需要通过端口 6443 访问 Kube API。
- 命名空间 open-cluster-management 需要访问端口 5353 上的 OpenShift DNS。
在受管集群中，需要以下访问权限：
- 命名空间 open-cluster-management-addon 需要通过端口 6443 访问 Kube API。