Ouvrir des ports sur un cluster privé

Si vous installez Anthos Service Mesh sur un cluster privé, vous devez ouvrir le port 15017 dans le pare-feu pour que les webhooks utilisés pour l'injection side-car automatique (auto-injection) et la validation de la configuration fonctionnent correctement.

Vous pouvez ajouter une règle de pare-feu ou mettre à jour la règle de pare-feu créée automatiquement lors de la création du cluster privé. Les étapes suivantes décrivent comment mettre à jour la règle de pare-feu. La commande de mise à jour remplace la règle de pare-feu existante. Vous devez donc inclure les ports 443 (HTTPS) et 10250 (kubelet) par défaut, ainsi que les nouveaux ports à ouvrir.

1. Recherchez la plage source (master-ipv4-cidr) du cluster. Dans la commande suivante, remplacez CLUSTER_NAME par le nom de votre cluster :

   gcloud compute firewall-rules list --filter="name~gke-CLUSTER_NAME-[0-9a-z]*-master"

2. Mettez à jour la règle de pare-feu. Choisissez l'une des commandes suivantes et remplacez FIREWALL_RULE_NAME par le nom de la règle de pare-feu figurant dans le résultat de la commande précédente.

   • Si vous souhaitez activer uniquement l'injection automatique, exécutez la commande suivante pour ouvrir le port 15017 :

     gcloud compute firewall-rules update FIREWALL_RULE_NAME --allow tcp:10250,tcp:443,tcp:15017

   • Si vous souhaitez activer l'injection automatique, ainsi que les commandes istioctl version et istioctl ps, exécutez la commande suivante pour ouvrir les ports 15017, 15014 et 8080 :

     gcloud compute firewall-rules update FIREWALL_RULE_NAME --allow tcp:10250,tcp:443,tcp:15017,tcp:15014,tcp:8080