Questa pagina mostra come configurare le regole di proxy e firewall per Google Distributed Cloud (solo software) per VMware. Questa pagina è rivolta agli esperti di networking che implementano sistemi di sicurezza dei dati come i firewall. Per scoprire di più sui ruoli comuni e sulle attività di esempio a cui facciamo riferimento nei contenuti di Google Cloud , consulta Ruoli e attività comuni per gli utenti di GKE Enterprise.
Inserire indirizzi nella lista consentita per il proxy
Se la tua organizzazione richiede che il traffico in uscita passi attraverso un server proxy,
inserisci nella lista consentita i seguenti indirizzi nel server proxy. Tieni presente che è necessario www.googleapis.com anziché googleapis.com:
- dl.google.com 1
- gcr.io
- www.googleapis.com
- accounts.google.com
- anthos.googleapis.com
- anthosgke.googleapis.com
- cloudresourcemanager.googleapis.com
- compute.googleapis.com
- connectgateway.googleapis.com
- container.googleapis.com
- gkeconnect.googleapis.com 2
- gkehub.googleapis.com
- gkeonprem.googleapis.com
- gkeonprem.mtls.googleapis.com
- iam.googleapis.com
- iamcredentials.googleapis.com
- kubernetesmetadata.googleapis.com
- logging.googleapis.com
- monitoring.googleapis.com
- oauth2.googleapis.com
- opsconfigmonitoring.googleapis.com
- securetoken.googleapis.com
- servicecontrol.googleapis.com
- serviceusage.googleapis.com
- storage.googleapis.com
- sts.googleapis.com
- releases.hashicorp.com (facoltativo) 3
Note:
1 dl.google.com è richiesto dall'installatore dell'SDK Google Cloud.
2 Se il cluster è stato registrato al parco utilizzando una regione Google Cloud , devi inserire nella lista consentitaREGION-gkeconnect.googleapis.com (ad esempio us-central1-gkeconnect.googleapis.com). Se non hai specificato una regione, il cluster utilizza l'istanza di servizio Connect globale e devi inserire nella lista consentita gkeconnect.googleapis.com. Se devi trovare la posizione del gruppo di appartenenza del tuo cluster, esegui gcloud container fleet memberships list. Per maggiori informazioni, consulta gkeConnect.location.
3 Se non utilizzi il client Terraform sulla tua workstation di amministrazione per eseguire comandi come terraform apply, non è necessario inserire nella lista consentita releases.hashicorp.com. Se utilizzi il client Terraform sulla tua workstation di amministrazione, puoi facoltativamente inserire releases.hashicorp.com nella lista consentita in modo da verificare se la versione del client Terraform in uso è la più recente eseguendo il comando terraform version.
Inoltre, se il server vCenter ha un indirizzo IP esterno, includilo nella lista consentita del server proxy.
Regole firewall per i cluster di amministrazione
Gli indirizzi IP del cluster di amministrazione dipendono dall'attivazione o meno del control plane v2 nel cluster utente e dalla versione in cui è stato creato il cluster.
Quando il control plane v2 è abilitato, il control plane per un cluster utente viene eseguito sul cluster utente stesso. Quando il control plane v2 non è abilitato, il control plane per un cluster utente viene eseguito su uno o più nodi nel cluster di amministrazione, in un caso noto come kubeception.
In 1.28 e versioni successive, i nuovi cluster di amministrazione HA non hanno nodi aggiuntivi.
Gli indirizzi IP dei nodi aggiuntivi del cluster di amministrazione (se esistenti) e dei nodi del control plane del cluster utente kubeception sono elencati nel file di blocco IP del cluster di amministrazione. I nodi del piano di controllo del cluster di amministrazione sono configurati nella sezione network.controlPlaneIPBlock.ips del file di configurazione del cluster di amministrazione.
Poiché gli indirizzi IP nel file di blocco IP del cluster amministrativo non sono assegnati a nodi specifici, devi assicurarti che tutte le regole del firewall elencate nella seguente tabella si applichino a tutti gli indirizzi IP disponibili per il cluster amministrativo.
Configura le regole del firewall per consentire il seguente traffico.
Da |
Porta di origine |
A |
Porta |
Protocollo |
Descrizione |
|---|---|---|---|---|---|
|
Nodo del control plane del cluster di amministrazione |
1024 - 65535 |
API vCenter Server |
443 |
TCP/https |
Ridimensionamento del cluster. |
|
Nodi dei componenti aggiuntivi del cluster di amministrazione |
1024 - 65535 |
API vCenter Server |
443 |
TCP/https |
Gestione del ciclo di vita dei cluster utente. |
|
Nodi dei componenti aggiuntivi del cluster di amministrazione |
32768- 60999 |
VIP del server API Kubernetes del cluster di amministrazione VIP dei server API Kubernetes dei cluster utente |
443 |
TCP/https |
Creazione di un cluster utente. Aggiornamento del cluster utente. Upgrade del cluster utente. Eliminazione del cluster di utenti. |
|
Nodi del control plane del cluster di amministrazione |
32768- 60999 |
gcr.io cloudresourcemanager.googleapis.com compute.googleapis.com iam.googleapis.com oauth2.googleapis.com serviceusage.googleapis.com storage.googleapis.com Qualsiasi URL *.googleapis.com richiesto per i servizi abilitati per i cluster di amministrazione o utente VIP dei server API Kubernetes dei cluster di utenti VIP del server API Kubernetes del cluster di amministrazione API vCenter Server API F5 BIG_IP del cluster di amministrazione API F5 BIG_IP del cluster di utenti Server NTP del cluster di amministrazione Server NTP del cluster di utenti Server DNS del cluster di amministrazione Server DNS del cluster di utenti |
443 |
TCP/https |
Controlli preflight (convalida). Quando crei, aggiorni o esegui l'upgrade dei cluster utente. Quando crei, aggiorni o esegui l'upgrade del cluster di amministrazione. |
|
Nodi del control plane del cluster di amministrazione |
32768- 60999 |
Registro Docker locale on-premise del cluster utente |
Dipende dal tuo registry |
TCP/https |
Controlli preflight (convalida). Obbligatorio se un cluster utente è configurato per utilizzare un registro Docker privato locale anziché gcr.io. Quando crei o esegui l'upgrade dei cluster utente. Quando crei o esegui l'upgrade del cluster di amministrazione. |
|
Nodi del control plane del cluster di amministrazione |
32768- 60999 |
Nodi del cluster di amministrazione Nodi del cluster utente VIP del bilanciatore del carico del cluster di amministrazione VIP del bilanciatore del carico del cluster utente |
icmp |
Controlli preflight (convalida). Quando crei, aggiorni o esegui l'upgrade dei cluster utente. Quando crei, aggiorni o esegui l'upgrade del cluster di amministrazione. |
|
|
Nodi del control plane del cluster di amministrazione |
32768- 60999 |
Nodi worker del cluster utente |
22 |
ssh |
Controlli preflight (convalida). Quando esegui l'upgrade dei cluster utente. Quando esegui l'upgrade del cluster di amministrazione. |
|
Nodo del control plane del cluster utente (solo kubeception) |
1024 - 65535 |
API vCenter Server |
443 |
TCP/https |
Ridimensionamento del cluster. |
|
Nodo del control plane del cluster utente (solo kubeception) |
1024 - 65535 |
cloudresourcemanager.googleapis.com gkeconnect.googleapis.com o REGION-gkeconnect.googleapis.com gkehub.googleapis.com |
443 |
TCP/https |
L'accesso è necessario per la registrazione del parco risorse. Consulta la nota 2 dopo l'elenco degli URL da inserire nella lista consentita. |
|
Nodo del control plane del cluster utente (solo kubeception) |
1024 - 65535 |
API F5 BIG-IP |
443 |
TCP/https |
|
|
Nodo del control plane del cluster utente (solo kubeception) |
1024 - 65535 |
Registro Docker locale on-premise |
Dipende dal tuo registry |
TCP/https |
Obbligatorio se Google Distributed Cloud è configurato per utilizzare un registro Docker privato locale anziché gcr.io. |
|
Nodo del control plane del cluster utente (solo kubeception) |
1024 - 65535 |
gcr.io oauth2.googleapis.com storage.googleapis.com Qualsiasi URL *.googleapis.com richiesto per i servizi abilitati per il cluster amministrativo |
443 |
TCP/https |
Scaricare le immagini dai registri Docker pubblici. Non necessario se utilizzi un registro Docker privato. |
|
Cloud Logging Collector, che viene eseguito su un nodo del componente aggiuntivo del cluster di amministrazione |
1024 - 65535 |
oauth2.googleapis.com logging.googleapis.com servicecontrol.googleapis.com storage.googleapis.com www.googleapis.com |
443 |
TCP/https |
|
|
Cloud Metadata Collector, che viene eseguito su un nodo del componente aggiuntivo del cluster di amministrazione |
1024 - 65535 |
opsconfigmonitoring.googleapis.com |
443 |
TCP/https |
|
|
Cloud Monitoring Collector, che viene eseguito su un nodo del componente aggiuntivo del cluster di amministrazione |
1024 - 65535 |
oauth2.googleapis.com monitoring.googleapis.com |
443 |
TCP/https |
|
|
Nodo del control plane del cluster di amministrazione |
1024 - 65535 |
API F5 BIG-IP |
443 |
TCP/https |
|
|
Nodo del control plane del cluster di amministrazione |
1024 - 65535 |
Registro Docker locale on-premise |
Dipende dal tuo registry |
TCP/https |
Obbligatorio se Google Distributed Cloud è configurato per utilizzare un registro Docker privato locale anziché gcr.io. |
|
Nodo del control plane del cluster di amministrazione |
1024 - 65535 |
gcr.io oauth2.googleapis.com storage.googleapis.com Qualsiasi URL *.googleapis.com richiesto per i servizi abilitati per il cluster amministrativo |
443 |
TCP/https |
Scaricare le immagini dai registri Docker pubblici. Non necessario se utilizzi un registro Docker privato. |
|
Nodi worker del cluster di amministrazione |
1024 - 65535 |
Nodi worker del cluster di amministrazione |
Tutti |
179 - bgp 443 - https 5473 - Calico/Typha 9443 - Metriche di Envoy 10250 - porta del nodo kubelet |
Tutti i nodi worker devono essere adiacenti a livello 2 e non devono avere firewall. |
|
Nodi del cluster di amministrazione |
1024 - 65535 |
CIDR del pod del cluster di amministrazione |
tutte |
tutte |
Il traffico esterno viene sottoposto a SNAT sul primo nodo e inviato all'IP del pod. |
|
Nodi worker del cluster di amministrazione |
tutte |
Nodi del cluster utente |
22 |
ssh |
Obbligatorio per kubeception. Comunicazione tra il server API e il kubelet tramite un tunnel SSH. Questo passaggio deve essere saltato per Control Plane V2. |
|
Nodi del cluster di amministrazione |
1024 - 65535 |
Indirizzi IP delle VM LB Seesaw del cluster di amministrazione |
20255,20257 |
TCP/HTTP |
Monitoraggio delle metriche e push della configurazione del bilanciamento del carico. Serve solo se utilizzi LB Seesaw in bundle. |
|
Nodi del cluster di amministrazione |
1024 - 65535 |
Nodi del cluster di amministrazione |
7946 |
TCP/UDP |
Controllo di integrità di MetalLB. Serve solo se utilizzi LB MetalLB incluso. |
|
Nodi del cluster di amministrazione |
Tutti |
VIP del piano di controllo del cluster utente |
443 |
https |
Obbligatorio per Controlplane V2. Consenti ai nodi e ai pod nel cluster di amministrazione di comunicare con il server API Kubernetes del cluster utente. |
|
Nodi del cluster di amministrazione |
Tutti |
Nodi del control plane del cluster utente |
443 |
https |
Obbligatorio per Controlplane V2. Consenti ai nodi e ai pod nel cluster di amministrazione di comunicare con il server API Kubernetes del cluster utente utilizzando l'indirizzo IP di un nodo del piano di controllo del cluster utente. |
Regole firewall per i nodi del cluster utente
Nei nodi del cluster utente, i relativi indirizzi IP sono elencati nel file del blocco IP.
Come per i nodi del cluster di amministrazione, non sai quale indirizzo IP verrà utilizzato per quale nodo. Pertanto, tutte le regole nei nodi del cluster utente si applicano a ciascun nodo del cluster utente.
Da |
Porta di origine |
A |
Porta |
Protocollo |
Descrizione |
|---|---|---|---|---|---|
|
Nodo del control plane del cluster utente (solo Control plane V2) |
1024 - 65535 |
API vCenter Server |
443 |
TCP/https |
Ridimensionamento del cluster. |
|
Nodo del control plane del cluster utente (solo Control plane V2) |
1024 - 65535 |
cloudresourcemanager.googleapis.com gkeconnect.googleapis.com o REGION-gkeconnect.googleapis.com gkehub.googleapis.com |
443 |
TCP/https |
L'accesso è necessario per la registrazione del parco risorse. Consulta la nota 2 dopo l'elenco degli URL da inserire nella lista consentita. |
|
Nodo del control plane del cluster utente (solo Control plane V2) |
1024 - 65535 |
Registro Docker locale on-premise |
Dipende dal tuo registry |
TCP/https |
Obbligatorio se Google Distributed Cloud è configurato per utilizzare un registro Docker privato locale anziché gcr.io. |
|
Nodo del control plane del cluster utente (solo Control plane V2) |
1024 - 65535 |
gcr.io oauth2.googleapis.com storage.googleapis.com Qualsiasi URL *.googleapis.com richiesto per i servizi abilitati per il cluster amministrativo |
443 |
TCP/https |
Scaricare le immagini dai registri Docker pubblici. Non necessario se utilizzi un registro Docker privato. |
|
Nodo del control plane del cluster utente (solo Control plane V2) |
1024 - 65535 |
API F5 BIG-IP |
443 |
TCP/https |
|
|
Nodi worker del cluster utente |
tutte |
gcr.io oauth2.googleapis.com storage.googleapis.com Qualsiasi URL *.googleapis.com richiesto per i servizi abilitati per questo cluster |
443 |
TCP/https |
Scaricare le immagini dai registri Docker pubblici. Non necessario se utilizzi un registro Docker privato. |
|
Nodi worker del cluster utente |
tutte |
API F5 BIG-IP |
443 |
TCP/https |
|
|
Nodi worker del cluster utente |
tutte |
VIP del server pushprox, che viene eseguito nel cluster di amministrazione. |
8443 |
TCP/https |
Traffico di Prometheus. |
|
Nodi worker del cluster utente |
tutte |
Nodi worker del cluster utente |
tutte |
22 - ssh 179 - bgp 443 - https 5473 - calico-typha 9443 - Metriche di Envoy 10250 - porta del nodo kubelet" |
Tutti i nodi worker devono essere adiacenti a livello 2 e non devono avere firewall. |
|
Nodi worker del cluster utente |
tutte |
VIP del control plane utente |
443 |
TCP/https |
|
|
Nodi worker del cluster utente |
Tutti |
VIP del control plane utente |
8132 |
GRPC |
Obbligatorio per kubeception. Connessione Konnectivity. Questo passaggio deve essere saltato per Control Plane V2. |
|
Nodi del cluster di amministrazione |
Tutti |
Server vCenter del cluster di utenti |
443 |
https |
Consenti al cluster di amministrazione di gestire il ciclo di vita del cluster utente. Obbligatorio se i cluster di amministrazione e utente hanno vCenter Server diversi. |
|
Nodi del cluster utente |
1024 - 65535 |
CIDR del pod del cluster di utenti |
tutte |
tutte |
Il traffico esterno viene sottoposto a SNAT sul primo nodo e inviato all'IP del pod. |
|
Cloud Logging Collector, che viene eseguito su un nodo worker del cluster utente scelto in modo casuale |
1024 - 65535 |
oauth2.googleapis.com logging.googleapis.com servicecontrol.googleapis.com www.googleapis.com |
443 |
TCP/https |
|
|
Agente di connessione, che viene eseguito su un nodo worker del cluster utente casuale. |
1024 - 65535 |
cloudresourcemanager.googleapis.com gkeconnect.googleapis.com o REGION-gkeconnect.googleapis.com gkehub.googleapis.com www.googleapis.com iam.googleapis.com iamcredentials.googleapis.com oauth2.googleapis.com securetoken.googleapis.com sts.googleapis.com accounts.google.com |
443 |
TCP/https |
Traffico di tethering. Consulta la nota 2 dopo l'elenco degli URL da inserire nella lista consentita. |
|
Cloud Metadata Collector, che viene eseguito su un nodo worker del cluster utente scelto in modo casuale |
1024 - 65535 |
opsconfigmonitoring.googleapis.com kubernetesmetadata.googleapis.com |
443 |
TCP/https |
|
|
Cloud Monitoring Collector, che viene eseguito su un nodo worker del cluster utente scelto in modo casuale |
1024 - 65535 |
oauth2.googleapis.com monitoring.googleapis.com |
443 |
TCP/https |
|
|
Nodi del cluster utente |
1024 - 65535 |
Indirizzi IP delle VM LB Seesaw del cluster utente |
20255,20257 |
TCP/HTTP |
Monitoraggio delle metriche e push della configurazione del bilanciamento del carico. Serve solo se utilizzi LB Seesaw in bundle. |
|
Nodi del cluster di utenti con enableLoadBalancer=true |
1024 - 65535 |
Nodi del cluster di utenti con enableLoadBalancer=true |
7946 |
TCP/UDP |
Controllo di integrità di MetalLB. Serve solo se utilizzi LB MetalLB incluso. |
|
Rete del cluster di utenti |
tutte |
VIP del control plane del cluster utente |
443 |
TCP/https |
Regole firewall per i componenti rimanenti
Queste regole si applicano a tutti gli altri componenti non elencati nelle tabelle per i nodi del cluster amministrazione e del cluster utente.
Da |
Porta di origine |
A |
Porta |
Protocollo |
Descrizione |
|---|---|---|---|---|---|
|
CIDR del pod del cluster di amministrazione |
1024 - 65535 |
CIDR del pod del cluster di amministrazione |
tutte |
tutte |
Il traffico inter-pod esegue il forwarding L2 direttamente utilizzando l'IP di origine e di destinazione all'interno del CIDR del pod. |
|
CIDR del pod del cluster di amministrazione |
1024 - 65535 |
Nodi del cluster di amministrazione |
tutte |
tutte |
Restituisce il traffico esterno. |
|
CIDR del pod del cluster di utenti |
1024 - 65535 |
CIDR del pod del cluster di utenti |
tutte |
tutte |
Il traffico inter-pod esegue il forwarding L2 direttamente utilizzando l'IP di origine e di destinazione all'interno del CIDR del pod. |
|
CIDR del pod del cluster di utenti |
1024 - 65535 |
Nodi del cluster utente |
tutte |
tutte |
Restituisce il traffico esterno. |
|
Clienti e utenti finali dell'applicazione |
tutte |
VIP dell'ingresso Istio |
80, 443 |
TCP |
Traffico degli utenti finali verso il servizio in entrata di un cluster utente. |
|
Jump server per il deployment della workstation di amministrazione |
intervallo di porte temporanee |
API vCenter Server Indirizzi IP del VMkernel (mgt) di ESXi degli host nel cluster di destinazione |
443 |
TCP/https |
Controlla l'intervallo di porte temporanee da "cat /proc/sys/net/ipv4/ip_local_port_range". |
|
Workstation di amministrazione |
32768- 60999 |
gcr.io cloudresourcemanager.googleapis.com oauth2.googleapis.com storage.googleapis.com Qualsiasi URL *.googleapis.com richiesto per i servizi abilitati per questo cluster |
443 |
TCP/https |
Scaricare le immagini Docker dai registri Docker pubblici. |
|
Workstation di amministrazione |
32768- 60999 |
gcr.io cloudresourcemanager.googleapis.com compute.googleapis.com iam.googleapis.com oauth2.googleapis.com serviceusage.googleapis.com storage.googleapis.com Qualsiasi URL *.googleapis.com richiesto per i servizi abilitati per i cluster di amministrazione o utente VIP dei server API Kubernetes dei cluster di utenti VIP del server API Kubernetes del cluster di amministrazione API vCenter Server API F5 BIG-IP |
443 |
TCP/https |
Controlli preflight (convalida). Quando crei, aggiorni, esegui l'upgrade o elimini i cluster utilizzando |
|
Workstation di amministrazione |
32768- 60999 |
API vCenter Server API F5 BIG-IP |
443 |
TCP/https |
Creazione del cluster di amministrazione. Creazione di un cluster utente. |
|
Workstation di amministrazione |
32768- 60999 |
Indirizzi IP del VMkernel (mgt) di ESXi degli host nel cluster di destinazione |
443 |
TCP/https |
La workstation di amministrazione carica l'OVA nel datastore tramite gli host ESXi. |
|
Workstation di amministrazione |
32768- 60999 |
VIP del server API Kubernetes del cluster di amministrazione VIP dei server API Kubernetes dei cluster utente |
443 |
TCP/https |
Creazione del cluster di amministrazione. Aggiornamento del cluster di amministrazione. Creazione di un cluster utente. Aggiornamento del cluster utente. Eliminazione del cluster di utenti. |
|
Workstation di amministrazione |
32768- 60999 |
Nodo del control plane e nodi worker del cluster di amministrazione |
443 |
TCP/https |
Creazione del cluster di amministrazione. Upgrade del piano di controllo. |
|
Workstation di amministrazione |
32768- 60999 |
Tutti i nodi del cluster di amministrazione e tutti i nodi del cluster utente |
443 |
TCP/https |
Convalida della rete nell'ambito del comando |
|
Workstation di amministrazione |
32768- 60999 |
VIP dell'ingresso Istio del cluster di amministrazione VIP dell'ingresso Istio dei cluster utente |
443 |
TCP/https |
Convalida della rete nell'ambito del comando |
|
Workstation di amministrazione |
32768- 60999 |
oauth2.googleapis.com logging.googleapis.com monitoring.googleapis.com servicecontrol.googleapis.com storage.googleapis.com www.googleapis.com |
443 |
TCP/https |
Accesso a Logging e Monitoring di Cloud. |
|
Workstation di amministrazione |
32768- 60999 |
Indirizzi IP delle VM LB Seesaw nei cluster di amministrazione e utente VIP del bilanciatore del carico Seesaw sia dei cluster di amministrazione che di quelli utente |
20256,20258 |
TCP/HTTP/gRPC |
Controllo di integrità dei bilanciatori del carico. Obbligatorio solo se utilizzi LB Seesaw in bundle. |
|
Workstation di amministrazione |
32768- 60999 |
IP del nodo del control plane del cluster |
22 |
TCP |
Obbligatorio se hai bisogno di accesso SSH dalla workstation di amministrazione al piano di controllo del cluster di amministrazione. |
| Workstation di amministrazione | 32768- 60999 | releases.hashicorp.com | 443 | TCP/https | Facoltativo. Consulta la nota 3 dopo l'elenco degli URL da inserire nella lista consentita. |
|
IP delle VM bilanciatore del carico |
32768- 60999 |
IP dei nodi del cluster corrispondente |
10256: controllo della salute del nodo |
TCP/HTTP |
Controllo di integrità del nodo. healthCheckNodePort è per i servizi con externalTrafficPolicy impostato su Local. È necessario solo se utilizzi LB Seesaw in bundle. |
|
F5 Self-IP |
1024 - 65535 |
Tutti i nodi del cluster di amministrazione e di tutti gli utenti |
30000 - 32767 |
tutte |
Per il traffico del piano dati bilanciato in base al carico da F5 BIG-IP tramite un VIP del server virtuale alle porte dei nodi sui nodi del cluster Kubernetes. In genere, l'IP autonomo di F5 si trova nella stessa rete/subnet dei nodi del cluster Kubernetes. |