Ports in einem privaten Cluster öffnen

Wenn Sie clusterinternes Anthos Service Mesh in einem privaten Cluster installieren, müssen Sie Port 15017 in der Firewall öffnen, damit die Webhooks, die verwendet werden mit automatischer Sidecar-Einfügung (automatisches Einfügen) und die Konfigurationsvalidierung funktionieren.

In den folgenden Schritten wird beschrieben, wie Sie eine Firewallregel hinzufügen, um die neuen Ports einzuschließen, die Sie öffnen möchten.

  1. Ermitteln Sie den Quellbereich (master-ipv4-cidr) und die Ziele des Clusters. Ersetzen Sie im folgenden Befehl CLUSTER_NAME durch den Namen des Clusters:

    gcloud compute firewall-rules list \
    --filter 'name~gke-CLUSTER_NAME-[0-9a-z]*-master' \
    --format 'table(
        name,
        network,
        direction,
        sourceRanges.list():label=SRC_RANGES,
        allowed[].map().firewall_rule().list():label=ALLOW,
        targetTags.list():label=TARGET_TAGS
    )'

  2. Firewallregel erstellen Wählen Sie einen der folgenden Befehle aus und ersetzen Sie CLUSTER_NAME durch den Namen des Clusters des vorherigen Befehls.

    • Führen Sie den folgenden Befehl aus, um Port 15017 zu öffnen, um die automatische Injektion zu aktivieren:

      gcloud compute firewall-rules create allow-api-server-to-webhook-CLUSTER_NAME \
  --action ALLOW \
  --direction INGRESS \
  --source-ranges CONTROL_PLANE_RANGE \
  --rules tcp:15017 \
  --target-tags TARGET

      Ersetzen Sie Folgendes:

      • CLUSTER_NAME: der Name Ihres Clusters
      • CONTROL_PLANE_RANGE ist der IP-Adressbereich der Clustersteuerungsebene (masterIpv4CidrBlock), den Sie zuvor erfasst haben.
      • TARGET: der zuvor ermittelte Zielwert (Targets).

    • Wenn Sie auch die Befehle istioctl version und istioctl ps aktivieren möchten, führen Sie den folgenden Befehl aus, um die Ports 15014 und 8080 zu öffnen:

      gcloud compute firewall-rules create allow-debug-proxy-CLUSTER_NAME \
  --action ALLOW \
  --direction INGRESS \
  --source-ranges CONTROL_PLANE_RANGE \
  --rules tcp:15014,tcp:8080 \
  --target-tags TARGET

      Ersetzen Sie Folgendes:

      • CLUSTER_NAME: der Name Ihres Clusters
      • CONTROL_PLANE_RANGE ist der IP-Adressbereich der Clustersteuerungsebene (masterIpv4CidrBlock), den Sie zuvor erfasst haben.
      • TARGET: der zuvor ermittelte Zielwert (Targets).