비공개 클러스터에서 포트 열기

비공개 클러스터에 클러스터 내 Cloud Service Mesh를 설치하는 경우 자동 사이드카 삽입(자동 삽입)에 사용되는 웹훅을 가져오고 구성 유효성 검사가 작동하도록 방화벽에서 포트 15017을 열어야 합니다.

다음 단계에서는 열려는 새 포트를 포함하도록 방화벽 규칙을 추가하는 방법을 설명합니다.

  1. 클러스터의 소스 범위(master-ipv4-cidr) 및 대상을 찾습니다. 다음 명령어에서 CLUSTER_NAME을 클러스터 이름으로 바꿉니다.

    gcloud compute firewall-rules list \
    --filter 'name~gke-CLUSTER_NAME-[0-9a-z]*-master' \
    --format 'table(
        name,
        network,
        direction,
        sourceRanges.list():label=SRC_RANGES,
        allowed[].map().firewall_rule().list():label=ALLOW,
        targetTags.list():label=TARGET_TAGS
    )'

  2. 방화벽 규칙 만들기 다음 명령어 중 하나를 선택하고 CLUSTER_NAME을 이전 명령어의 클러스터 이름으로 바꿉니다.

    • 자동 삽입을 사용 설정하려면 다음 명령어를 실행하여 포트 15017을 엽니다.

      gcloud compute firewall-rules create allow-api-server-to-webhook-CLUSTER_NAME \
  --action ALLOW \
  --direction INGRESS \
  --source-ranges CONTROL_PLANE_RANGE \
  --rules tcp:15017 \
  --target-tags TARGET

      다음을 바꿉니다.

      • CLUSTER_NAME: 클러스터 이름입니다.
      • CONTROL_PLANE_RANGE: 이전에 수집한 클러스터 제어 영역의 IP 주소 범위(masterIpv4CidrBlock)입니다.
      • TARGET: 이전에 수집한 대상(Targets) 값입니다.

    • istioctl version 및 istioctl ps 명령어도 사용 설정하려면 다음 명령어를 실행하여 포트 15014 및 8080을 엽니다.

      gcloud compute firewall-rules create allow-debug-proxy-CLUSTER_NAME \
  --action ALLOW \
  --direction INGRESS \
  --source-ranges CONTROL_PLANE_RANGE \
  --rules tcp:15014,tcp:8080 \
  --target-tags TARGET

      다음을 바꿉니다.

      • CLUSTER_NAME: 클러스터 이름입니다.
      • CONTROL_PLANE_RANGE: 이전에 수집한 클러스터 제어 영역의 IP 주소 범위(masterIpv4CidrBlock)입니다.
      • TARGET: 이전에 수집한 대상(Targets) 값입니다.