适用范围 SUSE Telco Cloud 3.7

24 端口要求 #

为了正常运行，SUSE Telco Cloud 部署要求管理节点和下游 Kubernetes 集群节点上的多个端口可达。

注意

确切列表取决于所部署的可选组件和所选的部署选项（例如 CNI 插件）。

24.1 管理节点 #

下表列出了运行管理集群的节点中开放的端口：

注意

有关 CNI 插件相关的端口，请参阅 CNI 特定端口要求 (第 24.3 节 “CNI 特定端口要求”)。

表 24.1︰管理节点的入站网络规则 #

协议	端口	源	说明
TCP	22	任何需要 SSH 访问的源	对管理集群节点的 SSH 访问
TCP	80	执行外部 TLS 终止的负载均衡器/代理	使用外部 TLS 终止时的 Rancher UI/API
TCP	443	任何需要 TLS 访问 Rancher UI/API 的源	Rancher 代理，Rancher UI/API
TCP	2379	RKE2（管理集群）服务器节点	`etcd` 客户端端口
TCP	2380	RKE2（管理集群）服务器节点	`etcd` 对等端口
TCP	6180	任何先前由 `Metal³/ironic` 指示从该开放端口（非 TLS）拉取 IPA⁽²⁾ RAM 磁盘镜像的 BMC⁽¹⁾	`Ironic` httpd 非 TLS Web 服务器，用于提供基于虚拟媒体引导的 IPA⁽²⁾ ISO 映像如果启用了此端口，则不会打开功能等效但启用了 TLS 的端口（见下文）
TCP	6185	任何先前由 `Metal³/ironic` 指示从该开放端口（TLS）拉取 IPA⁽²⁾ RAM 磁盘镜像的 BMC⁽¹⁾	`Ironic` httpd 启用 TLS 的 Web 服务器，用于提供基于虚拟媒体引导的 IPA⁽²⁾ ISO 映像如果启用了此端口，则不会打开功能等效但禁用了 TLS 的端口（见上文）
TCP	6385	任何在“已注册” `BareMetalHost` 实例中部署并运行的 `Metal³/ironic` IPA⁽¹⁾ RAM 磁盘镜像	Ironic API
TCP	6443	任何管理集群节点；任何（管理集群之外的）外部 Kubernetes 客户端	Kubernetes API
TCP	6545	任何管理集群节点	从符合 OCI 标准的注册表（Hauler）拉取制品
TCP	9345	RKE2 服务器和代理节点（管理集群）	用于节点注册的 RKE2 supervisor API（在所有 RKE2 服务器节点中开放的端口）
TCP	10250	任何管理集群节点	`kubelet` 指标
TCP/UDP/SCTP	30000-32767	任何（管理集群之外的）外部源通过 `spec.type: NodePort` 或 `spec.type: LoadBalancer` 服务 API 对象访问暴露在主网络上的服务	可用的 `NodePort` 端口范围

⁽¹⁾ BMC：基板管理控制器
⁽²⁾ IPA：Ironic Python Agent

24.2 下游节点 #

在 SUSE Telco Cloud 中，在任何（下游）服务器成为运行中的下游 Kubernetes 集群的一部分（或其自身运行单节点下游 Kubernetes 集群）之前，必须经历一些裸机主机配置状态。

刚声明的下游服务器的基板管理控制器 (BMC) 必须可以通过带外网络访问。BMC 会收到（来自管理集群上运行的 ironic 服务）关于要采取的初始步骤的指令：
1. 拉取并加载 BMC 提供的 virtual media 中指定的 IPA ramdisk 镜像。
2. 开启服务器电源。

预期 BMC 会开放以下端口（具体端口可能因硬件而异）：

表 24.2︰基板管理控制器的入站网络规则 #

协议	端口	源	说明
TCP	80	Ironic conductor（来自管理集群）	Redfish API 访问 (HTTP)
TCP	443	Ironic conductor（来自管理集群）	Redfish API 访问 (HTTPS)

一旦加载到 BMC virtual media 上的 IPA ramdisk 镜像被用于启动下游服务器镜像，硬件检查阶段即开始。下表列出了正在运行的 IPA ramdisk 镜像所暴露的端口：

表 24.3︰下游节点的入站网络规则 - Metal³/Ironic 配置阶段 #

协议	端口	源	说明
TCP	22	任何需要 SSH 访问 IPA ramdisk 镜像的源	对正在进行检查的下游集群节点的 SSH 访问
TCP	9999	Ironic conductor（来自管理集群）	针对正在运行的 ramdisk 镜像的 Ironic 命令

一旦裸机主机被正确配置并加入了下游 Kubernetes 集群，它将暴露以下端口：

注意

有关 CNI 插件相关的端口，请参阅 CNI 特定端口要求 (第 24.3 节 “CNI 特定端口要求”)。

表 24.4︰下游节点的入站网络规则 #

协议	端口	源	说明
TCP	22	任何需要 SSH 访问的源	对下游集群节点的 SSH 访问
TCP	80	执行外部 TLS 终止的负载均衡器/代理	使用外部 TLS 终止时的 Rancher UI/API
TCP	443	任何需要 TLS 访问 Rancher UI/API 的源	Rancher 代理，Rancher UI/API
TCP	2379	RKE2（下游集群）服务器节点	`etcd` 客户端端口
TCP	2380	RKE2（下游集群）服务器节点	`etcd` 对等端口
TCP	6443	任何下游集群节点；任何外部（下游集群之外的）Kubernetes 客户端。	Kubernetes API
TCP	9345	RKE2 服务器和代理节点（下游集群）	用于节点注册的 RKE2 supervisor API（在所有 RKE2 服务器节点中开放的端口）
TCP	10250	任何下游集群节点	`kubelet` 指标
TCP	10255	任何下游集群节点	`kubelet` 只读访问
TCP/UDP/SCTP	30000-32767	任何通过 `spec.type: NodePort` 或 `spec.type: LoadBalancer` Service API 对象访问暴露在主网络上的服务的外部（下游集群之外的）源	可用的 `NodePort` 端口范围

24.3 CNI 特定端口要求 #

每种受支持的 CNI 变体都有其自己的一套端口要求。有关更多详细信息，请参阅 RKE2 文档中的 CNI 特定入站网络规则。

当 cilium 被设置为默认/主 CNI 插件时，如果配置了 cilium-operator 工作负载以在部署它的 Kubernetes 集群之外暴露指标，则会额外暴露以下 TCP 端口。这确保了在 Kubernetes 集群外运行的外部 Prometheus 服务器实例仍然可以收集这些指标。

注意

这是通过 rke2-cilium Helm chart 部署 cilium 时的默认选项。

表 24.5︰管理/下游节点的入站网络规则 - 已启用来自 cilium-operator 的外部指标暴露 #

协议	端口	源	说明
TCP	9963	外部（Kubernetes 集群之外的）指标收集器	cilium-operator 指标暴露