|Index|SUSE Telco Cloud ドキュメント|要件と前提|ポートの要件
適用項目 SUSE Telco Cloud 3.7

24 ポートの要件

 

適切に動作させるために、SUSE Telco Cloudのデプロイメントでは、管理ノードおよびダウンストリームKubernetesクラスターノードで多数のポートに到達できる必要があります。

注記
注記

正確なリストは、デプロイされたオプションコンポーネントおよび選択されたデプロイメントオプション（CNIプラグインなど）によって異なります。

24.1 管理ノード

 

次の表は、管理クラスタを実行しているノードで開かれているポートの一覧です。

注記
注記

CNIプラグイン関連のポートについては、CNI固有のポート要件 (24.3項 「CNI固有のポート要件」)を参照してください。

表 24.1: 管理ノードのインバウンドネットワークルール
 
プロトコルポートソース説明

TCP

22

SSHアクセスを必要とするすべてのソース

管理クラスタのノードへのSSHアクセス

TCP

80

外部TLS終端を行うロードバランサー/プロキシ

外部TLS終端が使用されている場合のRancher UI/API

TCP

443

Rancher UI/APIへのTLSアクセスを必要とするすべてのソース

Rancherエージェント、Rancher UI/API

TCP

2379

RKE2（管理クラスタ）サーバーノード

etcd クライアントポート

TCP

2380

RKE2（管理クラスタ）サーバーノード

etcd ピアポート

TCP

6180

この公開ポート（非TLS）からIPA(2)ラムディスクイメージをプルするように`Metal3/ironic`から以前に指示されたすべてのBMC(1)

仮想メディアベースのブート用にIPA(2) ISOイメージを提供する`Ironic` httpd非TLS Webサーバー

このポートが有効な場合、機能的に同等なTLS対応ポート（下記参照）は開かれません

TCP

6185

この公開ポート（TLS）からIPA(2)ラムディスクイメージをプルするように`Metal3/ironic`から以前に指示されたすべてのBMC(1)

仮想メディアベースのブート用にIPA(2) ISOイメージを提供する`Ironic` httpd TLS対応Webサーバー

このポートが有効な場合、機能的に同等なTLS非対応ポート（上記参照）は開かれません

TCP

6385

「登録済み」インスタンスでデプロイおよび実行されている任意の Metal3/ironic IPA(1) ラムディスクイメージ`BareMetalHost`

Ironic API

TCP

6443

任意の管理クラスタのノード、任意の（管理クラスタ外の）Kubernetes クライアント

Kubernetes API

TCP

6545

任意の管理クラスタのノード

OCI 準拠レジストリ（Hauler）からアーティファクトをプルする

TCP

9345

RKE2 サーバーおよびエージェントノード（管理クラスタ）

ノード登録用の RKE2 スーパーバイザー API（すべての RKE2 サーバーノードでポートを開放）

TCP

10250

任意の管理クラスタのノード

kubelet メトリクス

TCP/UDP/SCTP

30000-32767

spec.type: NodePort または spec.type: LoadBalancer Service API オブジェクト を介してプライマリネットワーク上で公開されたサービスにアクセスする任意の（管理クラスタ外の）外部ソース

利用可能な NodePort ポート範囲

(1) BMC:ベースボード管理コントローラー
(2) IPA:Ironic Python Agent

24.2 ダウンストリーム ノード

 

SUSE Telco Cloud では、任意の（ダウンストリーム）サーバーが実行中のダウンストリーム Kubernetes クラスタの一部になる（またはそれ自体がシングルノードのダウンストリーム Kubernetes クラスタを実行する）前に、 BaremetalHost プロビジョニング状態 のいくつかを通過する必要があります。

  • 宣言されたばかりのダウンストリームサーバーのベースボード管理コントローラー（BMC）は、帯域外ネットワーク経由でアクセス可能である必要があります。BMC は（管理クラスタ上で実行されている ironic サービスから）実行すべき初期ステップについて指示を受けます：

    1. BMC が提供する virtual media に、指定された IPA ラムディスクイメージをプルしてロードします。

    2. サーバーの電源を入れます。

BMCから公開されることが想定されるポートは以下の通りです（正確なハードウェアによって異なる場合があります）。

表 24.2: ベースボード管理コントローラーのインバウンドネットワークルール
 
プロトコルポートソース説明

TCP

80

Ironicコンダクター（管理クラスタから）

Redfish APIアクセス（HTTP）

TCP

443

Ironicコンダクター（管理クラスタから）

Redfish APIアクセス（HTTPS）

  • BMC virtual media に読み込まれた IPA RAMディスクイメージを使用してダウンストリームサーバーイメージを起動すると、ハードウェア検査フェーズが開始されます。次の表は、実行中の IPA RAMディスクイメージによって公開されるポートの一覧です。

表 24.3: ダウンストリームノードのインバウンドネットワークルール - Metal3/Ironic プロビジョニングフェーズ
 
プロトコルポートソース説明

TCP

22

IPA RAMディスクイメージへのSSHアクセスを必要とするすべてのソース

検査中のダウンストリームクラスタのノードへのSSHアクセス

TCP

9999

Ironicコンダクター（管理クラスタから）

実行中のRAMディスクイメージに対するIronicコマンド

  • ベアメタルホストが適切にプロビジョニングされ、ダウンストリームのKubernetesクラスタに参加すると、以下のポートが公開されます。

注記
注記

CNIプラグイン関連のポートについては、CNI固有のポート要件 (24.3項 「CNI固有のポート要件」)を参照してください。

表 24.4: ダウンストリームノードのインバウンドネットワークルール
 
プロトコルポートソース説明

TCP

22

SSHアクセスを必要とするすべてのソース

ダウンストリームクラスターノードへのSSHアクセス

TCP

80

外部TLS終端を行うロードバランサー/プロキシ

外部TLS終端が使用されている場合のRancher UI/API

TCP

443

Rancher UI/APIへのTLSアクセスを必要とするすべてのソース

Rancherエージェント、Rancher UI/API

TCP

2379

RKE2（ダウンストリームクラスタ）サーバーノード

etcd クライアントポート

TCP

2380

RKE2（ダウンストリームクラスタ）サーバーノード

etcd ピアポート

TCP

6443

任意のダウンストリームクラスターノード、任意の外部（ダウンストリームクラスタ外の）Kubernetesクライアント。

Kubernetes API

TCP

9345

RKE2サーバーおよびエージェントノード（ダウンストリームクラスタ）

ノード登録用の RKE2 スーパーバイザー API（すべての RKE2 サーバーノードでポートを開放）

TCP

10250

任意のダウンストリームクラスターノード

kubelet メトリクス

TCP

10255

任意のダウンストリームクラスターノード

kubelet 読み込み専用アクセス

TCP/UDP/SCTP

30000-32767

spec.type: NodePort`または`spec.type: LoadBalancer Service APIオブジェクトを通じてプライマリネットワーク上で公開されているサービスにアクセスする（ダウンストリームクラスタ外の）外部ソース

利用可能な NodePort ポート範囲

24.3 CNI固有のポート要件

 

サポートされている各CNIバリアントには、独自のポート要件セットがあります。詳細については、RKE2ドキュメントの CNI固有のインバウンドネットワークルールを参照してください。

`cilium`がデフォルト/プライマリCNIプラグインとして設定されている場合、`cilium-operator`ワークロードがデプロイ先のKubernetesクラスタ外にメトリクスを公開するように構成されていると、以下のTCPポートが追加で公開されます。これにより、そのKubernetesクラスタ外で実行されている外部`Prometheus`サーバインスタンスが、引き続きこれらのメトリクスを収集できるようになります。

注記
注記

これは、rke2-cilium Helmチャートを介して`cilium`をデプロイする場合のデフォルトオプションです。

表 24.5: 管理/ダウンストリームノードのインバウンドネットワークルール - `cilium-operator`が有効な場合の外部メトリクス公開
 
プロトコルポートソース説明

TCP

9963

外部（Kubernetesクラスタ外の）メトリクスコレクタ

cilium-operatorメトリクスの公開