网络

1. 如果未设置，则默认值会在服务网络后设置为下一个即时子网。例如，当服务网络为 10.43.0.0/16 时，广告地址 被设置为 10.44.0.0/32。
2. 多播 DNS 协议 (mDNS) 允许使用在 5353/UDP 端口上公开的多播进行名称解析和服务发现。
3. MicroShift 中没有内置透明代理的出口流量。出口必须手动配置。
4. RHEL for Edge 支持设置 firewalld 服务。
5. 任何配置中都不提供 IPv6。

流程

1. 要创建 ovn.yaml 文件，请运行以下命令：

   $ sudo cp /etc/microshift/ovn.yaml.default /etc/microshift/ovn.yaml

2. 要列出您创建的配置文件的内容，请运行以下命令：

   $ cat /etc/microshift/ovn.yaml

   带有默认最大传输单元(MTU)值的 YAML 文件示例

   mtu: 1400

3. 要自定义配置，您可以更改 MTU 值。以下列表提供了详情：

   表 2.1. 支持 MicroShift 的可选 OVN-Kubernetes 配置

   字段	类型	Default（默认）	描述	Example
   mtu	uint32	auto	用于 pod 的 MTU 值	1300

   重要

   如果更改了 ovn.yaml 文件中的 mtu 配置值，您必须重启 MicroShift 运行的主机以应用更新的设置。

   自定义 ovn.yaml 配置文件示例

   mtu: 1300

1. 运行以下命令来访问远程集群：

   $ export KUBECONFIG=$PWD/kubeconfig

2. 运行以下命令，查找您要重启的 ovnkube-master pod 的名称：

   $ pod=$(oc get pods -n openshift-ovn-kubernetes | awk -F " " '/ovnkube-master/{print $1}')

3. 运行以下命令来删除 ovnkube-master pod：

   $ oc -n openshift-ovn-kubernetes delete pod $pod

4. 使用以下命令确认新的 ovnkube-master pod 正在运行：

   $ oc get pods -n openshift-ovn-kubernetes

   正在运行的 Pod 列表显示新的 ovnkube-master pod 名称和年龄。

流程

1. 将此设置添加到 /etc/systemd/system/rpm-ostreed.service.d/00-proxy.conf 文件中：

   [Service]
   Environment="http_proxy=http://$PROXY_USER:$PROXY_PASSWORD@$PROXY_SERVER:$PROXY_PORT/"

2. 接下来，重新加载配置设置并重新启动服务以应用您的更改。

   1. 运行以下命令来重新载入配置设置：

      $ sudo systemctl daemon-reload

   2. 运行以下命令重启 rpm-ostreed 服务：

      $ sudo systemctl restart rpm-ostreed.service

流程

1. 如果配置文件不存在，请为配置文件创建该目录：

   $ sudo mkdir /etc/systemd/system/crio.service.d/

2. 在 /etc/systemd/system/crio.service.d/00-proxy.conf 文件中添加以下设置：

   [Service]
   Environment=NO_PROXY="localhost,127.0.0.1"
   Environment=HTTP_PROXY="http://$PROXY_USER:$PROXY_PASSWORD@$PROXY_SERVER:$PROXY_PORT/"
   Environment=HTTPS_PROXY="http://$PROXY_USER:$PROXY_PASSWORD@$PROXY_SERVER:$PROXY_PORT/"

   重要

   您必须为环境变量定义配置文件的 Service 部分，或者代理设置无法应用。

3. 重新载入配置设置：

   $ sudo systemctl daemon-reload

4. 重启 CRI-O 服务：

   $ sudo systemctl restart crio

5. 重启 MicroShift 服务以应用设置：

   $ sudo systemctl restart microshift

验证

1. 运行以下命令检查输出来验证 pod 是否已启动：

   $ oc get all -A

2. 运行以下命令并检查输出，验证 MicroShift 是否可以拉取容器镜像：

   $ sudo crictl images

流程

1. 运行以下命令验证您的 pod 是否正在运行：

   $ oc get pods -A

2. 运行以下命令来创建示例命名空间：

   $ NAMESPACE=nginx-lb-test

   $ oc create ns $NAMESPACE

3. 以下示例在命名空间中部署测试 nginx 应用程序的三个副本：

   $ oc apply -n $NAMESPACE -f - <<EOF
   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: nginx
   data:
     headers.conf: |
       add_header X-Server-IP  \$server_addr always;
   ---
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: nginx
   spec:
     replicas: 3
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx
       spec:
         containers:
         - image: quay.io/packit/nginx-unprivileged
           imagePullPolicy: Always
           name: nginx
           ports:
           - containerPort: 8080
           volumeMounts:
           - name: nginx-configs
             subPath: headers.conf
             mountPath: /etc/nginx/conf.d/headers.conf
           securityContext:
             allowPrivilegeEscalation: false
             seccompProfile:
               type: RuntimeDefault
             capabilities:
               drop: ["ALL"]
             runAsNonRoot: true
         volumes:
           - name: nginx-configs
             configMap:
               name: nginx
               items:
                 - key: headers.conf
                   path: headers.conf
   EOF

4. 您可以运行以下命令来验证三个副本是否已成功启动：

   $ oc get pods -n $NAMESPACE

5. 使用以下示例命令为 nginx 测试应用程序创建 LoadBalancer 服务：

   $ oc create -n $NAMESPACE -f - <<EOF
   apiVersion: v1
   kind: Service
   metadata:
     name: nginx
   spec:
     ports:
     - port: 81
       targetPort: 8080
     selector:
       app: nginx
     type: LoadBalancer
   EOF

   注意

   您必须确保 port 参数是一个没有被其他 LoadBalancer 服务或 MicroShift 组件占用的主机端口。

6. 运行以下命令，验证服务文件是否存在，是否正确分配了外部 IP 地址，并且外部 IP 与节点 IP 相同：

   $ oc get svc -n $NAMESPACE

   输出示例

   NAME    TYPE           CLUSTER-IP      EXTERNAL-IP     PORT(S)        AGE
   nginx   LoadBalancer   10.43.183.104   192.168.1.241   81:32434/TCP   2m

流程

1. 运行以下命令，将 NODEPORT 变量更改为分配给 Kubernetes NodePort 服务的主机端口号：

   # export NODEPORT=30700

2. 将 INTERFACE_IP 值从您要阻止的主机接口更改为 IP 地址。例如：

   # export INTERFACE_IP=192.168.150.33

3. 在 nat 表 PREROUTING 链中插入一条新规则，以丢弃与目标端口和 IP 地址匹配的所有数据包。例如：

   $ sudo nft -a insert rule ip nat PREROUTING tcp dport $NODEPORT ip daddr $INTERFACE_IP drop

4. 运行以下命令列出新规则：

   $ sudo nft -a list chain ip nat PREROUTING
   table ip nat {
   	chain PREROUTING { # handle 1
   		type nat hook prerouting priority dstnat; policy accept;
   		tcp dport 30700 ip daddr 192.168.150.33 drop # handle 134
   		counter packets 108 bytes 18074 jump OVN-KUBE-ETP # handle 116
   		counter packets 108 bytes 18074 jump OVN-KUBE-EXTERNALIP # handle 114
   		counter packets 108 bytes 18074 jump OVN-KUBE-NODEPORT # handle 112
   	}
   }

   注意

   请记录下新添加的规则的 handle 号。您需要删除以下步骤中的 handle 号。

5. 使用以下示例命令删除自定义规则：

   $ sudo nft -a delete rule ip nat PREROUTING handle 134

流程

1. 可选：运行以下命令来检查系统中的 firewalld ：

   $ rpm -q firewalld

2. 如果没有安装 firewalld 服务，请运行以下命令：

   $ sudo dnf install -y firewalld

3. 要启动防火墙，请运行以下命令：

   $ sudo systemctl enable firewalld --now

流程

1. 可选：您可以通过运行以下命令来查看 firewalld 中的所有预定义服务

   $ sudo firewall-cmd --get-services

2. 要在默认端口中打开您想要的服务，请运行以下命令：

   $ sudo firewall-cmd --add-service=mdns

流程

1. 使用以下命令之一设置 IP 地址范围：

   1. 运行以下命令，使用默认值配置 IP 地址范围：

      $ sudo firewall-offline-cmd --permanent --zone=trusted --add-source=10.42.0.0/16

   2. 运行以下命令，使用自定义值配置 IP 地址范围：

      $ sudo firewall-offline-cmd --permanent --zone=trusted --add-source=<custom IP range>

2. 要允许 pod 通过网络网关的内部流量，请运行以下命令：

   $ sudo firewall-offline-cmd --permanent --zone=trusted --add-source=169.254.169.1

流程

1. 运行以下命令来停止 MicroShift 服务：

   $ sudo systemctl stop microshift

2. 运行以下命令停止 kubepods.slice systemd 单元：

   $ sudo systemctl stop kubepods.slice

3. MicroShift 会安装帮助程序脚本，以撤销 OVN-K 所做的网络更改。输入以下命令运行清理脚本：

   $ sudo /usr/bin/microshift-cleanup-data --ovn

流程

1. 运行以下命令，在回环接口中添加假的 IP 地址：

   $ IP="10.44.0.1" 1
   $ sudo nmcli con add type loopback con-name stable-microshift ifname lo ip4 ${IP}/32

   1

   本例中使用的假的 IP 地址是 "10.44.0.1"。

   注意

   如果避免内部 MicroShift 和潜在的外部 IP 冲突，则任何有效的 IP 都可以正常工作。这可以是不与 MicroShift 节点子网冲突的任何子网，或者可由设备上的其他服务访问。

2. 通过修改设置来忽略自动 DNS 并将其重置为本地名称服务器，将 DNS 接口配置为使用本地名称服务器：

   1. 运行以下命令来绕过自动 DNS：

      $ sudo nmcli conn modify stable-microshift ipv4.ignore-auto-dns yes

   2. 将 DNS 接口指向使用本地名称服务器：

      $ sudo nmcli conn modify stable-microshift ipv4.dns "10.44.1.1"

3. 运行以下命令来获取该设备的主机名：

   $ NAME="$(hostnamectl hostname)"

4. 运行以下命令，在 /etc/hosts 文件中为节点的主机名添加一个条目：

   $ echo "$IP $NAME" | sudo tee -a /etc/hosts >/dev/null

5. 通过在 /etc/microshift/config.yaml 中添加以下 YAML 片断来更新 MicroShift 配置文件：

   sudo tee /etc/microshift/config.yaml > /dev/null <<EOF
   node:
     hostnameOverride: $(echo $NAME)
     nodeIP: $(echo $IP)
   EOF

6. MicroShift 现在可以使用回送设备进行集群通信。完成设备准备以离线使用。

   1. 如果设备当前附加了 NIC，请断开设备与网络的连接。
   2. 关闭该设备并断开 NIC。
   3. 重启该设备以使离线配置生效。

7. 运行以下命令重启 MicroShift 主机以应用配置更改：

   $ sudo systemctl reboot 1

   1

   此步骤重启集群。在实施验证前，等待 greenboot 健康检查报告系统健康状态。

1. 输入以下命令验证 MicroShift 集群是否正在运行：

   $ export KUBECONFIG=/var/lib/microshift/resources/kubeadmin/kubeconfig
   $ sudo -E oc get pods -A

   输出示例

   NAMESPACE                  NAME                                       READY   STATUS    RESTARTS      AGE
   kube-system                csi-snapshot-controller-74d566564f-66n2f   1/1     Running   0             1m
   kube-system                csi-snapshot-webhook-69bdff8879-xs6mb      1/1     Running   0             1m
   openshift-dns              dns-default-dxglm                          2/2     Running   0             1m
   openshift-dns              node-resolver-dbf5v                        1/1     Running   0             1m
   openshift-ingress          router-default-8575d888d8-xmq9p            1/1     Running   0             1m
   openshift-ovn-kubernetes   ovnkube-master-gcsx8                       4/4     Running   1             1m
   openshift-ovn-kubernetes   ovnkube-node-757mf                         1/1     Running   1             1m
   openshift-service-ca       service-ca-7d7c579f54-68jt4                1/1     Running   0             1m
   openshift-storage          topolvm-controller-6d777f795b-bx22r        5/5     Running   0             1m
   openshift-storage          topolvm-node-fcf8l                         4/4     Running   0             1m