Instalar detrás de un proxy

En esta página, se muestra cómo configurar reglas de proxy y firewall para GKE en Bare Metal.

Configura tu servidor proxy

Si las máquinas que usas para los nodos de arranque y de clúster utilizan un servidor proxy a fin de acceder a Internet, debes hacer lo siguiente:

Configura el envío mediante proxy para el administrador de paquetes en los nodos del clúster
Configura los detalles del proxy en el archivo de configuración del clúster.

Requisitos previos

Tu servidor proxy debe permitir conexiones a las siguientes direcciones:

Dirección	Objetivo
`*.gcr.io`	Extrae imágenes de Container Registry.
`accounts.google.com`	Procesa las solicitudes de autorización para OpenID y descubre claves públicas para los tokens de verificación.
`cloudresourcemanager.googleapis.com`	Resuelve los metadatos del proyecto de Google Cloud al que se conecta el clúster.
`compute.googleapis.com`	Verifica la región de recursos de Cloud Logging y Cloud Monitoring.
`connectgateway.googleapis.com`	Habilita la capacidad de otorgar a la Atención al cliente de Cloud acceso de solo lectura a tu clúster para diagnosticar problemas.
`gkeconnect.googleapis.com`	Establece el canal que se usa para recibir las solicitudes de Google Cloud y envía respuestas.
`gkehub.googleapis.com`	Crea recursos de membresía de la flota de Google Cloud que corresponden al clúster que conectas con Google Cloud.
`gkeonprem.googleapis.com`	Crea y administra el ciclo de vida del clúster en la infraestructura de los equipos físicos y de VMware.
`gkeonprem.mtls.googleapis.com`	Crea y administra el ciclo de vida del clúster en la infraestructura de los equipos físicos y de VMware. Esta versión de la API se usa de forma automática con mTLS.
`iam.googleapis.com`	Crea cuentas de servicio que puedas usar para autenticar en Google Cloud y realizar llamadas a la API.
`iamcredentials.googleapis.com`	Proporciona controles de admisión y informes de telemetría para el registro de auditoría.
`logging.googleapis.com`	Escribe entradas de registro y administra la configuración de Cloud Logging.
`monitoring.googleapis.com`	Administra tus datos y parámetros de configuración de Cloud Monitoring.
`oauth2.googleapis.com`	Realiza la autenticación a través del intercambio de tokens de OAuth para acceder a la cuenta.
`opsconfigmonitoring.googleapis.com`	Recopila metadatos para los recursos de Kubernetes, como Pods, implementaciones o nodos, a fin de enriquecer las consultas de métricas.
`securetoken.googleapis.com`	Recupera tokens de actualización para la autorización de identidad de cargas de trabajo.
`servicecontrol.googleapis.com`	Escribe entradas de registro de auditoría en los registros de auditoría de Cloud.
`serviceusage.googleapis.com`	Habilita y valida los servicios y las API.
`stackdriver.googleapis.com`	Administra los metadatos de Google Cloud's operations suite, como las cuentas de Stackdriver.
`storage.googleapis.com`	Administra el almacenamiento y los buckets de objetos, como los objetos de Container Registry.
`sts.googleapis.com`	Intercambia credenciales de Google o de terceros por un token de acceso de corta duración a recursos de Google Cloud.
`www.googleapis.com`	Autentica los tokens de servicio de las solicitudes de servicio entrantes de Google Cloud.

Además de estas URL, el servidor proxy también debe permitir cualquier la duplicación de paquetes que requiera el administrador de paquetes de tu sistema operativo. Puedes actualizar la configuración del administrador de paquetes para usar una lista más determinista, que es más fácil de administrar.

Configura el envío mediante proxy para el administrador de paquetes en los nodos del clúster

GKE en Bare Metal usa el administrador de paquetes APT en Ubuntu y el administrador de paquetes DNF en CentOS y Red Hat Linux. Asegúrate de que el administrador de paquetes del SO tenga la configuración de proxy correcta.

Consulta la documentación de tu distribución de SO para obtener detalles sobre la configuración del proxy. En los siguientes ejemplos, se muestra una forma de establecer la configuración del proxy:

APT

Con estos comandos, se demuestra cómo configurar el proxy para APT:

sudo touch /etc/apt/apt.conf.d/proxy.conf
echo 'Acquire::http::Proxy "http://[username:password@]domain";' \
    >> /etc/apt/apt.conf.d/proxy.conf
echo 'Acquire::https::Proxy "http://[username:password@]domain";' \
    >> /etc/apt/apt.conf.d/proxy.conf

Reemplaza [username:password@]domain con los detalles específicos de tu configuración.

DNF

Con este comando, se muestra cómo configurar el proxy para DNF:

echo "proxy=http://[username:password@]domain" >> /etc/dnf/dnf.conf

Reemplaza [username:password@]domain con los detalles específicos de tu configuración.

Configura los detalles del proxy en el archivo de configuración del clúster

En el archivo de configuración del clúster, establece los siguientes valores a fin de configurar el clúster para que use el proxy:

`proxy.url`

Una string que especifica la URL del proxy. Las máquinas de nodo y de arranque usan este proxy para acceder a Internet. La string de URL del proxy debe comenzar con su esquema, por ejemplo, “http://” o “https://”.

`proxy.noProxy`

Una lista de direcciones IP, nombres de host y de dominio que no deben pasar por el servidor proxy.

En la mayoría de los casos, no es necesario agregar ningún elemento a esta lista.

Casos de uso de noProxy:

Usa una duplicación de paquete privada, que se encuentra en la misma red privada (no necesitas proxy para acceder)
Usa una duplicación de registro privada, que se encuentra en la misma red privada (no necesitas un proxy para acceder)

Ejemplo

El siguiente es un ejemplo de la configuración de proxy en un archivo de configuración de clúster:

  proxy:
     url: http://[username:password@]domain
     noProxy:
     - example1.com
     - example2.com

Cómo se usa el proxy dentro del clúster

Como regla general, los comandos de bmctl y los procesos que generan usan la configuración del proxy que definen las variables de entorno HTTPS_PROXY y NO_PROXY, if están definidas. De lo contrario, bmctl usa la configuración del proxy del archivo de configuración del clúster. Otros comandos que se ejecutan en la estación de trabajo de administrador, en las máquinas de nodo del clúster o que son ejecutados por el clúster de arranque usan la configuración del proxy del archivo de configuración del clúster.

El administrador de paquetes del SO en cada nodo usa sus propios archivos de configuración para la configuración del proxy.

Anula la configuración del proxy en tu máquina de arranque

Puedes ejecutar la estación de trabajo de administrador detrás de un proxy diferente al que usan las máquinas de nodo mediante la anulación de la configuración del proxy en el archivo de configuración del clúster. Para anular la configuración del proxy, configura las siguientes variables de entorno en la máquina de arranque:

export HTTPS_PROXY=http://[username:password@]domain

Reemplaza [username:password@]domain con los detalles específicos de tu configuración.

export NO_PROXY=example1.com,example2.com

Reemplaza example1.com,example2.com por las direcciones IP, los nombres de host y de dominio que no deben pasar por el servidor proxy.

Efectos secundarios

Cuando se ejecuta como raíz, bmctl actualiza la configuración del proxy de Docker en la máquina de arranque. Si no ejecutas bmctl como raíz, configura el proxy de Docker de forma manual.

Reglas de firewall

Configura las reglas de firewall como se describe en las siguientes secciones a fin de permitir el tráfico descrito necesario para GKE en Bare Metal.

Si deseas conocer los requisitos de puerto de GKE en Bare Metal, consulta Uso de puertos.

Reglas de firewall para las direcciones IP del nodo del clúster

En la siguiente tabla, se describen las reglas de firewall para las direcciones IP disponibles en tus clústeres.

Desde	Puerto de origen	Hasta	Puerto	Protocolo	Descripción
Nodo del clúster	1024 - 65535	`cloudresourcemanager.googleapis.com` `gkeconnect.googleapis.com` `gkehub.googleapis.com`	443	TCP/HTTPS	Se requiere acceso para el registro de la flota.
Recopilador de Cloud Logging, que se ejecuta en un nodo del clúster	1024 - 65535	`oauth2.googleapis.com` `logging.googleapis.com` `stackdriver.googleapis.com` `servicecontrol.googleapis.com` `storage.googleapis.com` `www.googleapis.com`	443	TCP/HTTPS
Recopilador de metadatos de Cloud, que se ejecuta en el nodo del clúster	1024 - 65535	`opsconfigmonitoring.googleapis.com`	443	TCP/HTTPS
Recopilador de Cloud Monitoring, que se ejecuta en el nodo del clúster	1024 - 65535	`oauth2.googleapis.com` `monitoring.googleapis.com` `stackdriver.googleapis.com` `servicecontrol.googleapis.com`	443	TCP/HTTPS
Nodo del clúster	1024 - 65535	Registro local de Docker	Depende del registro	TCP/HTTPS	Es obligatorio si GKE en Bare Metal está configurado para usar un registro privado de Docker local en lugar de `gcr.io`.
Nodo del clúster	1024 - 65535	`gcr.io` `oauth2.googleapis.com` `storage.googleapis.com` Cualquier URL de la API de Google con el formato `*.googleapis.com` necesario para los servicios habilitados para el clúster de administrador	443	TCP/HTTPS	Descarga imágenes de registros públicos de Docker. No es necesario si se usa un registro privado de Docker.
Agente de Connect, que se ejecuta en un nodo del clúster	1024 - 65535	`cloudresourcemanager.googleapis.com` `gkeconnect.googleapis.com` `gkehub.googleapis.com` `www.googleapis.com` `iam.googleapis.com` `iamcredentials.googleapis.com` `oauth2.googleapis.com` `securetoken.googleapis.com` `sts.googleapis.com` `accounts.google.com`	443	TCP/HTTPS	Para obtener más información sobre el tráfico administrado por el agente de Connect, consulta Descripción general del agente de Connect.
Nodo del clúster	1024 - 65535	`gkeonprem.googleapis.com` `gkeonprem.mtls.googleapis.com`	443	TCP/HTTPS	Crea y administra el ciclo de vida de los clústeres en la infraestructura de Bare Metal y de VMware.

Reglas de firewall para los componentes restantes

Las reglas que se describen en la siguiente tabla se aplican a todos los demás componentes que no se mencionaron en la sección anterior.

Desde	Puerto de origen	Hasta	Puerto	Protocolo	Descripción
Clientes y usuarios finales de la aplicación	All	VIP de entrada de Istio	80, 443	TCP	Tráfico del usuario final al servicio de entrada de un clúster de usuarios
Estación de trabajo de administrador	32768 - 60999	`gcr.io` `cloudresourcemanager.googleapis.com` `oauth2.googleapis.com` `storage.googleapis.com` Cualquier URL `*.googleapis.com` necesaria para los servicios habilitados en este clúster	443	TCP/HTTPS	Descarga imágenes de Docker de registros públicos de Docker.
Estación de trabajo de administrador	32768 - 60999	`gcr.io` `cloudresourcemanager.googleapis.com` `iam.googleapis.com` `oauth2.googleapis.com` `serviceusage.googleapis.com` `storage.googleapis.com` Cualquier URL de `*.googleapis.com` necesaria para los servicios habilitados en los clústeres de administrador o usuario	443	TCP/HTTPS	Comprobaciones previas (validación).