第 1 章 附加组件概述

在 Microsoft Azure 环境中创建入站和出站防火墙规则，以打开 IP 安全 NAT 遍历端口（默认为 4500/UDP）以启用 Submariner 通信：

# Create inbound NAT rule
$ az network lb inbound-nat-rule create --lb-name <lb-name> \
--resource-group <res-group> \
--name <name> \
--protocol Udp --frontend-port <ipsec-port> \
--backend-port <ipsec-port> \
--frontend-ip-name <frontend-ip-name>

# Add VM network interface to the just-created inbound NAT rule
$ az network nic ip-config inbound-nat-rule add \
--lb-name <lb-name> --resource-group <res-group> \
--inbound-nat-rule <nat-name> \
--nic-name <nic-name> --ip-config-name <pipConfig>

将 lb-name 替换为您的负载均衡器名称。

将 res-group 替换为您的资源组名称。

使用负载平衡入站 NAT 规则名称替换替换 nat-name。

使用您的 IPsec 端口替换 ipsec-port。

将 pipConfig 替换为集群前端 IP 配置名称。

将 nic-name 替换为您的网卡（NIC）。

创建一个负载均衡入站 NAT 规则以转发 Submariner 网关指标服务请求：

# Create inbound NAT rule
$ az network lb inbound-nat-rule create --lb-name <lb-name> \
--resource-group <res-group> \
--name <name> \
--protocol Tcp --frontend-port 8080 --backend-port 8080 \
--frontend-ip-name <frontend-ip-name>

# Add VM network interface to the just-created inbound NAT rule
$ az network nic ip-config inbound-nat-rule add \
--lb-name <lb-name> --resource-group <res-group> \
--inbound-nat-rule <nat-name> \
--nic-name <nic-name> --ip-config-name <pipConfig>

将 lb-name 替换为您的负载均衡器名称。

将 res-group 替换为您的资源组名称。

使用负载平衡入站 NAT 规则名称替换替换 nat-name。

将 pipConfig 替换为集群前端 IP 配置名称。

将 nic-name 替换为您的网卡（NIC）。

在 Azure 上创建网络安全组（NSG）安全规则，为 Submariner 打开 NAT 遍历端口（默认为 4500/UDP）：

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Inbound --access Allow \
--protocol Udp --destination-port-ranges <ipsec-port>

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Outbound --access Allow \
--protocol Udp --destination-port-ranges <ipsec-port>

将 res-group 替换为您的资源组名称。

使用您的 NSG 名称替换 nsg-name。

将 priority 替换为您的规则优先级。

使用您的规则名称替换 name。

使用您的 IPsec 端口替换 ipsec-port。

创建 NSG 规则以打开 4800/UDP 端口，将来自 worker 和 master 节点的 pod 流量封装到 Submariner 网关节点：

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Inbound --access Allow \
--protocol Udp --destination-port-ranges 4800 \

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Outbound --access Allow \
--protocol Udp --destination-port-ranges 4800

将 res-group 替换为您的资源组名称。

使用您的 NSG 名称替换 nsg-name。

将 priority 替换为您的规则优先级。

使用您的规则名称替换 name。

创建 NSG 规则以打开 8080/TCP 端口，从 Submariner Gateway 节点导出指标服务：

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Inbound --access Allow \
--protocol Tcp --destination-port-ranges 8080 \

$ az network nsg rule create --resource-group <res-group> \
--nsg-name <nsg-name> --priority <priority> \
--name <name> --direction Outbound --access Allow \
--protocol Udp --destination-port-ranges 8080

将 res-group 替换为您的资源组名称。

使用您的 NSG 名称替换 nsg-name。

将 priority 替换为您的规则优先级。

使用您的规则名称替换 name。

自定义并应用类似以下示例的 YAML 内容：

apiVersion: submarineraddon.open-cluster-management.io/v1alpha1
kind: SubmarinerConfig
metadata:
    name: submariner
    namespace: <managed-cluster-namespace>
spec:{}

将 managed-cluster-namespace 替换为受管集群的命名空间。

注： SubmarinerConfig 的名称必须是 submariner，如示例中所示。

此配置对 Submariner 使用默认的网络地址转换 - 遍历 (NATT) 端口 (4500/UDP)，并在 vSphere 集群中使用一个 worker 节点作为 Submariner 网关。

Submariner 使用 IP 安全 (IPsec) 在网关节点上的集群之间建立安全隧道。您可以使用默认 IPsec NATT 端口，或者指定您配置的不同端口。当您运行这个步骤时，没有指定 IPsec NATT 端口 4500/UDP，将自动用于通信。

自定义并应用类似以下示例的 YAML 内容：

apiVersion: submarineraddon.open-cluster-management.io/v1alpha1
kind: SubmarinerConfig
metadata:
    name: submariner
    namespace: <managed-cluster-namespace>
spec:{}

将 managed-cluster-namespace 替换为受管集群的命名空间。

注： SubmarinerConfig 的名称必须是 submariner，如示例中所示。

此配置对 Submariner 使用默认网络地址转换 - 遍历(NATT)端口(4500/UDP)，并且一个 worker 节点被标记为裸机集群上的 Submariner 网关。

Submariner 使用 IP 安全 (IPsec) 在网关节点上的集群之间建立安全隧道。您可以使用默认 IPsec NATT 端口，或者指定您配置的不同端口。当您运行这个步骤时，没有指定 IPsec NATT 端口 4500/UDP，将自动用于通信。

使用 Red Hat OpenStack Platform 环境的身份验证信息创建一个名为 clouds.yaml 的基本 64 编码文件。该文件应类似以下示例：

clouds:
openstack:
auth:
   auth_url: https://rhos-d.infra.prod.upshift.rdu2.redhat.com:13000
   application_credential_id:
   application_credential_secret:
region_name: "regionOne"
interface: "public"
identity_api_version: 3
auth_type: "v3applicationcredential"

在包含 Red Hat OpenStack Platform 凭证 secret 的受管集群的命名空间中创建一个 secret。

如果您使用 Red Hat Advanced Cluster Management 创建受管集群，或者在上一步中创建 secret，请准备集群。