אשכולות של Google Distributed Cloud software only for VMware צריכים גישה יוצאת לשירותים ול-Container Registry של Google Cloud , והם מחליפים תעבורת נתונים עם vCenter Server, מאזני עומסים ובינם לבין עצמם. במסמך הזה מפורטות הכתובות שצריך להוסיף לרשימת ההיתרים בשרת ה-proxy, וכללי חומת האש שצריך ליצור לאשכולות אדמין, לאשכולות משתמשים ולרכיבים אחרים, כדי ששרת ה-proxy וחומות האש יאפשרו את התנועה הזו.
הוספת כתובות לרשימת ההיתרים של שרת ה-proxy
אם הארגון שלכם דורש שתעבורת הנתונים היוצאת תעבור דרך שרת proxy, הוסיפו את הכתובות הבאות לרשימת ההיתרים בשרת ה-proxy. שימו לב שצריך להשתמש ב-www.googleapis.com במקום ב-googleapis.com:
- dl.google.com 1
- gcr.io
- us.gcr.io
- www.googleapis.com
- accounts.google.com
- anthos.googleapis.com
- anthosgke.googleapis.com
- cloudresourcemanager.googleapis.com
- compute.googleapis.com
- connectgateway.googleapis.com
- container.googleapis.com
- gkeconnect.googleapis.com 2
- gkehub.googleapis.com
- gkeonprem.googleapis.com
- gkeonprem.mtls.googleapis.com
- iam.googleapis.com
- iamcredentials.googleapis.com
- kubernetesmetadata.googleapis.com
- logging.googleapis.com
- monitoring.googleapis.com
- oauth2.googleapis.com
- opsconfigmonitoring.googleapis.com
- securetoken.googleapis.com
- servicecontrol.googleapis.com
- serviceusage.googleapis.com
- storage.googleapis.com
- sts.googleapis.com
- releases.hashicorp.com (אופציונלי) 3
הערות:
1 צריך את dl.google.com בשביל מנהל ההתקנה של Google CloudSDK.
2 אם האשכול נרשם ל-fleet באמצעות אזור של Google Cloud , צריך להוסיף לרשימת ההיתרים את REGION-gkeconnect.googleapis.com (לדוגמה, us-central1-gkeconnect.googleapis.com). אם לא ציינתם אזור, האשכול משתמש במכונה הגלובלית של שירות Connect, וצריך להוסיף לרשימת ההיתרים את gkeconnect.googleapis.com. כדי למצוא את המיקום של חברות האשכול ב-fleet, מריצים את gcloud container fleet memberships list. מידע נוסף זמין במאמר gkeConnect.location.
3 אם אתם לא משתמשים בלקוח Terraform בתחנת העבודה של האדמין כדי להריץ פקודות כמו terraform apply, אתם לא צריכים להוסיף את releases.hashicorp.com לרשימת ההיתרים. אם אתם משתמשים בלקוח Terraform בתחנת העבודה של האדמין, אתם יכולים להוסיף את releases.hashicorp.com לרשימת ההיתרים כדי לבדוק אם גרסת הלקוח של Terraform שבה אתם משתמשים היא העדכנית ביותר, על ידי הפעלת הפקודה terraform version.
בנוסף, אם לשרת vCenter יש כתובת IP חיצונית, צריך להוסיף את הכתובת שלו לרשימת ההיתרים בשרת ה-proxy.
כללי חומת אש לאשכולות אדמין
כתובות ה-IP של אשכול האדמין תלויות בשאלה אם Controlplane V2 מופעל באשכול המשתמש, ובגרסה שבה האשכול נוצר.
כשהתכונה Controlplane V2 מופעלת, מישור הבקרה של אשכול המשתמש פועל באשכול המשתמש עצמו. כש-Controlplane V2 לא מופעל, מישור הבקרה של אשכול משתמש פועל בצומת אחד או יותר באשכול האדמין, וזה נקרא kubeception.
בגרסה 1.28 ואילך, לאשכולות אדמין חדשים עם זמינות גבוהה אין צומתי תוספים.
כתובות ה-IP של צומתי התוספים של אשכול האדמין (אם קיימים) וצומתי מישור הבקרה של אשכול המשתמשים של kubeception מפורטים בקובץ בלוק ה-IP של אשכול האדמין. הצמתים של מישור הבקרה באשכול האדמין מוגדרים בקטע network.controlPlaneIPBlock.ips בקובץ התצורה של אשכול האדמין.
מכיוון שכתובות ה-IP בקובץ בלוק ה-IP של אשכול האדמין לא מוקצות לצמתים ספציפיים, צריך לוודא שכל כללי חומת האש שמפורטים בטבלה הבאה חלים על כל כתובות ה-IP שזמינות לאשכול האדמין.
מגדירים את הכללים של חומת האש כך שיאפשרו את התנועה הבאה.
מאת |
יציאת המקור |
אל |
יציאה |
פרוטוקול |
תיאור |
|---|---|---|---|---|---|
|
צומת של מישור הבקרה באשכול אדמין |
1024 - 65535 |
vCenter Server API |
443 |
TCP/https |
שינוי גודל האשכול. |
|
צומתי תוספים של אשכול אדמין |
1024 - 65535 |
vCenter Server API |
443 |
TCP/https |
ניהול מחזור החיים של אשכולות משתמשים. |
|
צמתים של תוספים לאשכול אדמין |
32,768-60,999 |
כתובת ה-VIP של שרת ה-API של Kubernetes באשכול האדמין כתובות ה-VIP של שרתי ה-API של Kubernetes באשכולות המשתמשים |
443 |
TCP/https |
יצירת אשכול משתמשים. עדכון אשכול משתמשים. שדרוג אשכול משתמשים. מחיקת אשכול משתמשים. |
|
צמתים של מישור הבקרה באשכול אדמין |
32,768-60,999 |
gcr.io cloudresourcemanager.googleapis.com compute.googleapis.com iam.googleapis.com oauth2.googleapis.com serviceusage.googleapis.com storage.googleapis.com כל כתובת URL של *.googleapis.com שנדרשת לשירותים שמופעלים באשכולות של מנהלי המערכת או המשתמשים כתובות ה-VIP של שרתי ה-API של Kubernetes באשכולות המשתמשים כתובת ה-VIP של שרת ה-API של Kubernetes באשכול מנהל המערכת vCenter Server API Admin cluster F5 BIG-IP API User cluster F5 BIG-IP API שרתי NTP של אשכול מנהל המערכת שרתי NTP של אשכול המשתמשים שרתי DNS של אשכול מנהל המערכת שרתי DNS של אשכול המשתמשים |
443 |
TCP/https |
בדיקות קדם הפעלה (אימות). כשיוצרים, מעדכנים או משדרגים אשכולות של משתמשים. כשיוצרים, מעדכנים או משדרגים את אשכול האדמין. |
|
צמתים של מישור הבקרה באשכול אדמין |
32,768-60,999 |
מאגר Docker מקומי באשכול משתמשים מקומי |
תלוי ברשם הדומיינים שלכם |
TCP/https |
בדיקות קדם הפעלה (אימות). נדרש אם אשכול משתמש מוגדר להשתמש במרשם Docker פרטי מקומי במקום ב-gcr.io. כשיוצרים או משדרגים אשכולות של משתמשים. כשיוצרים או משדרגים את אשכול האדמין. |
|
צמתים של מישור הבקרה באשכול אדמין |
32,768-60,999 |
צמתים של אשכולות אדמין צמתים של אשכולות משתמשים כתובות VIP של מאזני עומסים באשכולות אדמין כתובות VIP של מאזני עומסים באשכולות משתמשים |
icmp |
בדיקות קדם הפעלה (אימות). כשיוצרים, מעדכנים או משדרגים אשכולות של משתמשים. כשיוצרים, מעדכנים או משדרגים את אשכול האדמין. |
|
|
צמתים של מישור הבקרה באשכול אדמין |
32,768-60,999 |
צמתים עובדים באשכולות של משתמשים |
22 |
SSH |
בדיקות קדם הפעלה (אימות). כשמשדרגים אשכולות של משתמשים. כשמשדרגים את אשכול האדמין. |
|
צומת של מישור הבקרה באשכול המשתמש (kubeception בלבד) |
1024 - 65535 |
vCenter Server API |
443 |
TCP/https |
שינוי גודל האשכול. |
|
צומת של מישור הבקרה באשכול המשתמש (kubeception בלבד) |
1024 - 65535 |
cloudresourcemanager.googleapis.com gkeconnect.googleapis.com או REGION-gkeconnect.googleapis.com gkehub.googleapis.com |
443 |
TCP/https |
כדי לרשום את הצי, צריך הרשאת גישה. עיינו בהערה 2 אחרי רשימת כתובות ה-URL שצריך להוסיף לרשימת ההיתרים. |
|
צומת של מישור הבקרה באשכול המשתמש (kubeception בלבד) |
1024 - 65535 |
F5 BIG-IP API |
443 |
TCP/https |
|
|
צומת של מישור הבקרה באשכול המשתמש (kubeception בלבד) |
1024 - 65535 |
מאגר Docker מקומי בארגון |
תלוי ברשם הדומיינים שלכם |
TCP/https |
חובה אם Google Distributed Cloud מוגדר להשתמש במרשם Docker פרטי מקומי במקום ב-gcr.io. |
|
צומת של מישור הבקרה באשכול המשתמש (kubeception בלבד) |
1024 - 65535 |
gcr.io oauth2.googleapis.com storage.googleapis.com כל כתובת URL של *.googleapis.com שנדרשת לשירותים שמופעלים באשכול האדמין |
443 |
TCP/https |
להוריד קובצי אימג' ממאגרי Docker ציבוריים. לא נדרש אם משתמשים במרשם פרטי של Docker. |
|
Cloud Logging Collector, שפועל בצומת של תוסף לאשכול אדמין |
1024 - 65535 |
oauth2.googleapis.com logging.googleapis.com servicecontrol.googleapis.com storage.googleapis.com www.googleapis.com |
443 |
TCP/https |
|
|
Cloud Metadata Collector, שפועל בצומת של תוסף לאשכול אדמין |
1024 - 65535 |
opsconfigmonitoring.googleapis.com |
443 |
TCP/https |
|
|
Cloud Monitoring Collector, שפועל בצומת של תוסף לאשכול אדמין |
1024 - 65535 |
oauth2.googleapis.com monitoring.googleapis.com |
443 |
TCP/https |
|
|
צומת של מישור הבקרה באשכול אדמין |
1024 - 65535 |
F5 BIG-IP API |
443 |
TCP/https |
|
|
צומת של מישור הבקרה באשכול אדמין |
1024 - 65535 |
מאגר Docker מקומי בארגון |
תלוי ברשם הדומיינים שלכם |
TCP/https |
חובה אם Google Distributed Cloud מוגדר להשתמש במרשם Docker פרטי מקומי במקום ב-gcr.io. |
|
צומת של מישור הבקרה באשכול אדמין |
1024 - 65535 |
gcr.io oauth2.googleapis.com storage.googleapis.com כל כתובת URL של *.googleapis.com שנדרשת לשירותים שמופעלים באשכול האדמין |
443 |
TCP/https |
להוריד קובצי אימג' ממאגרי Docker ציבוריים. לא נדרש אם משתמשים במרשם פרטי של Docker. |
|
צומתי עובד של אשכול אדמין |
1024 - 65535 |
צומתי עובד של אשכול אדמין |
הכול |
179 – bgp 443 – https 5473 - Calico/Typha 9443 – מדדי Envoy 10250 – יציאת צומת kubelet |
כל צומתי העובדים חייבים להיות סמוכים לשכבה 2 וללא חומת אש. |
|
צמתים של אשכול אדמין |
1024 - 65535 |
CIDR של Pod באשכול אדמין |
all |
הכול |
תנועה חיצונית עוברת SNAT בצומת הראשון ונשלחת לכתובת ה-IP של ה-Pod. |
|
צומתי עובד של אשכול אדמין |
all |
צמתים של אשכולות משתמשים |
22 |
SSH |
נדרש ל-kubeception. תקשורת בין שרת ה-API ל-kubelet דרך מנהרת SSH. צריך לדלג על השלב הזה ב-Controlplane V2. |
|
צמתים של אשכול אדמין |
1024 - 65535 |
כתובות IP של מכונות וירטואליות של Seesaw LB באשכול האדמין |
20255,20257 |
TCP/http |
מעקב אחר מדדים ודחיפת הגדרות של LB. נדרש רק אם משתמשים ב-Bundled LB Seesaw. |
|
צמתים של אשכול אדמין |
1024 - 65535 |
צמתים של אשכול אדמין |
7946 |
TCP/UDP |
בדיקת תקינות של MetalLB. נדרש רק אם משתמשים ב-Bundled LB MetalLB. |
|
צמתים של אשכול אדמין |
הכול |
כתובת ה-VIP של מישור הבקרה של אשכול המשתמשים |
443 |
https |
נדרש ל-Controlplane V2. מאפשרים לצמתים ול-Pods באשכול האדמין לתקשר עם שרת ה-API של Kubernetes באשכול המשתמש. |
|
צמתים של אשכול אדמין |
הכול |
צמתים של מישור הבקרה באשכולות של משתמשים |
443 |
https |
נדרש ל-Controlplane V2. מאפשרים לצמתים ול-Pods באשכול האדמין לתקשר עם שרת ה-API של Kubernetes באשכול המשתמש, באמצעות כתובת ה-IP של צומת במישור הבקרה של אשכול המשתמש. |
כללי חומת אש לצומתי אשכולות של משתמשים
כתובות ה-IP של הצמתים באשכול המשתמש מפורטות בקובץ בלוק ה-IP.
כמו בצומתי האשכול של האדמין, אתם לא יודעים איזו כתובת IP תשמש לאיזה צומת. לכן, כל הכללים בצמתים של אשכול המשתמשים חלים על כל צומת של אשכול משתמשים.
מאת |
יציאת המקור |
אל |
יציאה |
פרוטוקול |
תיאור |
|---|---|---|---|---|---|
|
צומת של מישור הבקרה באשכול המשתמש (Controlplane V2 בלבד) |
1024 - 65535 |
vCenter Server API |
443 |
TCP/https |
שינוי גודל האשכול. |
|
צומת של מישור הבקרה באשכול המשתמש (Controlplane V2 בלבד) |
1024 - 65535 |
cloudresourcemanager.googleapis.com gkeconnect.googleapis.com או REGION-gkeconnect.googleapis.com gkehub.googleapis.com |
443 |
TCP/https |
כדי לרשום את הצי, צריך הרשאת גישה. עיינו בהערה 2 אחרי רשימת כתובות ה-URL שצריך להוסיף לרשימת ההיתרים. |
|
צומת של מישור הבקרה באשכול המשתמש (Controlplane V2 בלבד) |
1024 - 65535 |
מאגר Docker מקומי בארגון |
תלוי ברשם הדומיינים שלכם |
TCP/https |
חובה אם Google Distributed Cloud מוגדר להשתמש במרשם Docker פרטי מקומי במקום ב-gcr.io. |
|
צומת של מישור הבקרה באשכול המשתמש (Controlplane V2 בלבד) |
1024 - 65535 |
gcr.io oauth2.googleapis.com storage.googleapis.com כל כתובת URL של *.googleapis.com שנדרשת לשירותים שמופעלים באשכול האדמין |
443 |
TCP/https |
להוריד קובצי אימג' ממאגרי Docker ציבוריים. לא נדרש אם משתמשים במרשם פרטי של Docker. |
|
צומת של מישור הבקרה באשכול המשתמש (Controlplane V2 בלבד) |
1024 - 65535 |
F5 BIG-IP API |
443 |
TCP/https |
|
| צומת של מישור הבקרה באשכול המשתמש (Controlplane V2 בלבד) | 1024 - 65535 | צמתים של אשכולות משתמשים | 14443 | TCP | שירות Webhook של ANG. חובה אם advancedNetworking מופעל. kube-apiserver מתקשר עם ang-controller-manager כדי לבדוק את ההרשאות. |
|
צומתי עובד באשכול משתמשים |
all |
gcr.io oauth2.googleapis.com storage.googleapis.com כל כתובת URL של *.googleapis.com שנדרשת לשירותים שמופעלים באשכול הזה |
443 |
TCP/https |
להוריד קובצי אימג' ממאגרי Docker ציבוריים. לא נדרש אם משתמשים במרשם פרטי של Docker. |
|
צומתי עובד באשכול משתמשים |
all |
F5 BIG-IP API |
443 |
TCP/https |
|
|
צומתי עובד באשכול משתמשים |
all |
כתובת ה-VIP של שרת pushprox, שפועל באשכול הניהול. |
8443 |
TCP/https |
תנועה ב-Prometheus. |
|
צומתי עובד באשכול משתמשים |
all |
צומתי עובד באשכול משתמשים |
all |
22 – SSH 179 – bgp 443 – https 5473 - calico-typha 9443 – מדדי Envoy 10250 – יציאת צומת kubelet |
כל צומתי העובדים חייבים להיות סמוכים לשכבה 2 וללא חומת אש. |
|
צומתי עובד באשכול משתמשים |
all |
כתובת ה-VIP של מישור הבקרה של המשתמש |
443 |
TCP/https |
|
|
צומתי עובד באשכול משתמשים |
הכול |
כתובת ה-VIP של מישור הבקרה של המשתמש |
8132 |
GRPC |
נדרש ל-kubeception. חיבור Konnectivity. צריך לדלג על השלב הזה ב-Controlplane V2. |
|
צמתים של אשכול אדמין |
הכול |
שרת vCenter של אשכול המשתמשים |
443 |
https |
לאפשר לאשכול האדמין לנהל את מחזור החיים של אשכול המשתמש. נדרש אם לאשכולות האדמין והמשתמשים יש שרתי vCenter שונים. |
| צמתים של אשכול אדמין | 1024 - 65535 | צמתים של אשכולות משתמשים | 14443 | TCP | שירות Webhook של ANG. חובה אם advancedNetworking מופעל. kube-apiserver מתקשר עם ang-controller-manager כדי לבדוק את ההרשאות. |
|
צמתים של אשכולות משתמשים |
1024 - 65535 |
CIDR של Pod באשכול משתמשים |
all |
הכול |
תנועה חיצונית עוברת SNAT בצומת הראשון ונשלחת לכתובת ה-IP של ה-Pod. |
|
Cloud Logging Collector, שפועל בצומת עובד אקראי באשכול המשתמשים |
1024 - 65535 |
oauth2.googleapis.com logging.googleapis.com servicecontrol.googleapis.com www.googleapis.com |
443 |
TCP/https |
|
|
סוכן Connect, שפועל בצומת עובד אקראי באשכול של המשתמש. |
1024 - 65535 |
cloudresourcemanager.googleapis.com gkeconnect.googleapis.com או REGION-gkeconnect.googleapis.com gkehub.googleapis.com www.googleapis.com iam.googleapis.com iamcredentials.googleapis.com oauth2.googleapis.com securetoken.googleapis.com sts.googleapis.com accounts.google.com |
443 |
TCP/https |
Connect traffic. ראו הערה 2 אחרי רשימת כתובות ה-URL שצריך להוסיף לרשימת ההיתרים. |
|
Cloud Metadata Collector, שפועל בצומת עובד אקראי באשכול של המשתמש |
1024 - 65535 |
opsconfigmonitoring.googleapis.com kubernetesmetadata.googleapis.com |
443 |
TCP/https |
|
|
Cloud Monitoring Collector, שפועל בצומת עובד אקראי באשכול המשתמשים |
1024 - 65535 |
oauth2.googleapis.com monitoring.googleapis.com |
443 |
TCP/https |
|
|
צמתים של אשכולות משתמשים |
1024 - 65535 |
כתובות IP של מכונות וירטואליות של Seesaw LB באשכול המשתמשים |
20255,20257 |
TCP/http |
מעקב אחר מדדים ודחיפת הגדרות של LB. נדרש רק אם משתמשים ב-Bundled LB Seesaw. |
|
צמתים של אשכולות משתמשים עם enableLoadBalancer=true |
1024 - 65535 |
צמתים של אשכולות משתמשים עם enableLoadBalancer=true |
7946 |
TCP/UDP |
בדיקת תקינות של MetalLB. נדרש רק אם משתמשים ב-Bundled LB MetalLB. |
|
רשת אשכולות של משתמשים |
all |
כתובת ה-VIP של מישור הבקרה של אשכול המשתמשים |
443 |
TCP/https |
כללי חומת אש לרכיבים שנותרו
הכללים האלה חלים על כל הרכיבים האחרים שלא מופיעים בטבלאות של צומתי אשכולות האדמין ואשכולות המשתמשים.
מאת |
יציאת המקור |
אל |
יציאה |
פרוטוקול |
תיאור |
|---|---|---|---|---|---|
|
CIDR של Pod באשכול אדמין |
1024 - 65535 |
CIDR של Pod באשכול אדמין |
all |
הכול |
תעבורת הנתונים בין Pods מבצעת העברה של L2 ישירות באמצעות כתובת IP של מקור ויעד ב-Pod CIDR. |
|
CIDR של Pod באשכול אדמין |
1024 - 65535 |
צמתים של אשכול אדמין |
all |
הכול |
תנועה חוזרת של תנועה חיצונית. |
|
CIDR של Pod באשכול משתמשים |
1024 - 65535 |
CIDR של Pod באשכול משתמשים |
all |
הכול |
תעבורת הנתונים בין Pods מבצעת העברה של L2 ישירות באמצעות כתובת IP של מקור ויעד ב-Pod CIDR. |
|
CIDR של Pod באשכול משתמשים |
1024 - 65535 |
צמתים של אשכולות משתמשים |
all |
הכול |
תנועה חוזרת של תנועה חיצונית. |
|
לקוחות ומשתמשי קצה של אפליקציות |
all |
כתובת ה-IP הווירטואלית של תעבורת הנתונים הנכנסת (ingress) של Istio |
80, 443 |
TCP |
תנועה של משתמשי קצה לשירות ה-ingress של אשכול משתמשים. |
|
שרת קפיצה לפריסת תחנת העבודה של האדמין |
טווח יציאות זמניות |
vCenter Server API כתובות IP של ESXi VMkernel (mgt) של מארחים באשכול היעד |
443 |
TCP/https |
בודקים את טווח היציאות הזמניות באמצעות `cat /proc/sys/net/ipv4/ip_local_port_range`. |
|
תחנת עבודה של אדמין |
32,768-60,999 |
gcr.io cloudresourcemanager.googleapis.com oauth2.googleapis.com storage.googleapis.com כל כתובת URL של *.googleapis.com שנדרשת לשירותים שמופעלים באשכול הזה |
443 |
TCP/https |
להוריד קובצי אימג' של Docker ממאגרי Docker שגלויים לכולם. |
|
תחנת עבודה של אדמין |
32,768-60,999 |
gcr.io cloudresourcemanager.googleapis.com compute.googleapis.com iam.googleapis.com oauth2.googleapis.com serviceusage.googleapis.com storage.googleapis.com כל כתובת URL של *.googleapis.com שנדרשת לשירותים שמופעלים באשכולות של האדמין או של המשתמש כתובות ה-VIP של שרתי ה-API של Kubernetes באשכולות של המשתמש כתובת ה-VIP של שרת ה-API של Kubernetes באשכול של האדמין vCenter Server API F5 BIG-IP API |
443 |
TCP/https |
בדיקות קדם הפעלה (אימות). כשיוצרים, מעדכנים, משדרגים או מוחקים אשכולות באמצעות |
|
תחנת עבודה של אדמין |
32,768-60,999 |
vCenter Server API F5 BIG-IP API |
443 |
TCP/https |
יצירת אשכול אדמין. יצירת אשכול משתמשים. |
|
תחנת עבודה של אדמין |
32,768-60,999 |
כתובות IP של ESXi VMkernel (mgt) של מארחים באשכול היעד |
443 |
TCP/https |
תחנת העבודה של האדמין מעלה את ה-OVA למאגר הנתונים דרך מארחי ה-ESXi. |
|
תחנת עבודה של אדמין |
32,768-60,999 |
כתובת ה-VIP של שרת ה-API של Kubernetes באשכול האדמין כתובות ה-VIP של שרתי ה-API של Kubernetes באשכולות המשתמשים |
443 |
TCP/https |
יצירת אשכול אדמין. עדכון אשכול אדמין. יצירת אשכול משתמשים. עדכון אשכול משתמשים. מחיקת אשכול משתמשים. |
|
תחנת עבודה של אדמין |
32,768-60,999 |
צומת של מישור הבקרה וצמתים של עובדים באשכול אדמין |
443 |
TCP/https |
יצירת אשכול אדמין. שדרוגים של מישור הבקרה. |
|
תחנת עבודה של אדמין |
32,768-60,999 |
כל הצמתים של אשכולות האדמין וכל הצמתים של אשכולות המשתמשים |
443 |
TCP/https |
אימות הרשת כחלק מהפקודה |
|
תחנת עבודה של אדמין |
32,768-60,999 |
כתובת ה-VIP של ה-Istio ingress של אשכול האדמין כתובת ה-VIP של ה-ingress של Istio באשכולות המשתמשים |
443 |
TCP/https |
אימות הרשת כחלק מהפקודה |
|
תחנת עבודה של אדמין |
32,768-60,999 |
oauth2.googleapis.com logging.googleapis.com monitoring.googleapis.com servicecontrol.googleapis.com storage.googleapis.com www.googleapis.com |
443 |
TCP/https |
גישה ל-Cloud Logging ול-Monitoring. |
|
תחנת עבודה של אדמין |
32,768-60,999 |
כתובות IP של מכונות וירטואליות של Seesaw LB באשכולות של אדמינים ומשתמשים כתובות ה-VIP של Seesaw LB של אשכולות הניהול והמשתמשים |
20256,20258 |
TCP/http/gRPC |
בדיקת תקינות של מאזני עומסים. נדרש רק אם משתמשים ב-Bundled LB Seesaw. |
|
תחנת עבודה של אדמין |
32,768-60,999 |
כתובת ה-IP של הצומת במישור הבקרה של האשכול |
22 |
TCP |
נדרש אם אתם צריכים גישת SSH מתחנת העבודה של האדמין למישור הבקרה של אשכול האדמין. |
| תחנת עבודה של אדמין | 32,768-60,999 | releases.hashicorp.com | 443 | TCP/https | זה שינוי אופציונלי. אפשר לעיין בהערה 3 אחרי רשימת כתובות ה-URL שצריך להוסיף לרשימת ההיתרים. |
|
כתובות ה-IP של המכונות הווירטואליות של מאזן העומסים |
32,768-60,999 |
כתובות ה-IP של הצמתים באשכול הרלוונטי |
10256: בדיקת תקינות של צומת |
TCP/http |
בדיקת תקינות של צומת. healthCheckNodePort מיועד לשירותים שבהם externalTrafficPolicy מוגדר כ-Local. נדרש רק אם משתמשים ב-Bundled LB Seesaw. |
|
F5 Self-IP |
1024 - 65535 |
כל צומתי האשכולות של המשתמשים והאדמינים |
30,000-32,767 |
הכול |
לתנועה במישור הנתונים שמאזנת את העומסים של F5 BIG-IP באמצעות VIP של שרת וירטואלי ליציאות הצומת בצומתי אשכול Kubernetes. בדרך כלל, כתובת ה-IP העצמית של F5 נמצאת באותה רשת או תת-רשת כמו הצמתים של אשכול Kubernetes. |