Topik ini berlaku ketika node edge on-premises ACK Edge terhubung ke Alibaba Cloud Container Service melalui jaringan publik. Dokumen ini mencantumkan domain dan port yang harus diizinkan melalui firewall.
Pada tabel berikut, {region} adalah ID wilayah kluster Anda—misalnya, cn-hangzhou untuk China (Hangzhou). Lihat Wilayah dan zona.
Port inbound pada node edge
Komponen lapisan kontrol dan pemantauan mengakses node edge dari cloud atau dari node kluster lainnya. Izinkan port inbound berikut dalam blok CIDR host setiap node edge.
| Protokol | Port | Sumber | Tujuan |
|---|---|---|---|
| TCP | 10250, 10255 | Blok CIDR host dari node edge | Akses Kubelet untuk API Server dan Metrics Server. Lalu lintas diteruskan oleh komponen Raven. |
| TCP | 9100, 9445 | Blok CIDR host node edge | Akses Node-Exporter untuk Prometheus. Lalu lintas diteruskan oleh komponen Raven. |
| UDP | 8472 | Blok CIDR host node edge | Saluran data VXLAN Flannel. |
Akses outbound dari node edge
Node edge harus dapat mengakses titik akhir berikut. Akses yang diperlukan berbeda antara tahap instalasi dan waktu proses.
Saat instalasi dan upgrade node
Izinkan akses ke titik akhir berikut saat menginstal atau melakukan upgrade komponen node edge.
| Akses objek | Titik akhir publik | Port | Deskripsi |
|---|---|---|---|
| Paket komponen | aliacs-k8s-{region}.oss-{region}.aliyuncs.com |
TCP 443 (v1.26 atau lebih baru)<br>TCP 80 dan 443 (lebih lama dari v1.26) | Mengunduh paket komponen dari OSS: edgeadm, kubelet, CNI, runtime, dan edgehub. |
| Alat sistem | Tidak memerlukan domain tambahan | N/A | Menginstal alat prasyarat yang belum tersedia: net-tools, iproute, chrony (atau ntpdate), crontabs, pciutils, socat, ebtables, iptables, dan conntrack-tools. Menggunakan apt-get pada Ubuntu atau yum pada CentOS. Titik akhir bergantung pada sumber manajer paket Anda. |
Selama operasi kluster berlangsung
Izinkan akses ke titik akhir berikut setiap saat selama kluster berjalan.
| Obyek akses | Titik akhir publik | Port | Deskripsi |
|---|---|---|---|
| Lapisan kontrol Container Service | cs-anony.aliyuncs.com<br>cs-anony.{region}.aliyuncs.com |
TCP 443 (v1.26 atau lebih baru)<br>TCP 80 (lebih lama dari v1.26) | Titik akhir management Container Service. |
| API Server | Lihat Temukan titik akhir API Server | TCP 6443 | Seluruh komunikasi kube-apiserver. |
| Server Load Balancer (SLB) gerbang cloud Raven | Lihat Temukan titik akhir gerbang cloud Raven | TCP 10280–10284<br>UDP 4500 | Saluran data Raven. |
| SLB server tunnel (hanya untuk kluster versi lebih lama dari v1.26) | Lihat Temukan titik akhir server tunnel | TCP 10262, 10263 | Tunnel edge (tidak digunakan lagi mulai v1.26 dan versi selanjutnya). |
| Citra komponen sistem | dockerauth.{region}.aliyuncs.com<br>dockerauth-ee.{region}.aliyuncs.com<br>registry-{region}.ack.aliyuncs.com |
TCP 443 | Menarik (pull) citra komponen sistem. |
| NTP | ntp1.aliyun.com<br>cn.ntp.org.cn |
Biasanya UDP 123 | Sinkronisasi jam. Tidak diperlukan jika selfHostNtpServer diatur ke true saat pendaftaran node (jam sudah disinkronkan secara manual). |
Di China (Zhangjiakou), ganti dockerauth.{region}.aliyuncs.com dengan dockerauth-{region}.aliyuncs.com (gunakan tanda hubung, bukan titik, sebelum wilayah).
Temukan titik akhir dinamis
Titik akhir API Server, alamat SLB gerbang cloud Raven, dan alamat SLB server tunnel ditetapkan per kluster.
Temukan titik akhir API Server
Pada halaman detail kluster di Konsol ACK, temukan titik akhir tersebut di tab Basic Information.
Temukan titik akhir gerbang cloud Raven
Cari layanan (Services) gerbang cloud Raven di namespace kube-system:
kubectl get svc -n kube-system x-raven-proxy-svc-gw-cloud-xxx
kubectl get svc -n kube-system x-raven-tunnel-svc-gw-cloud-xxxKolom EXTERNAL-IP menampilkan alamat SLB yang harus diizinkan.
Temukan titik akhir server tunnel (kluster versi lebih lama dari v1.26)
kubectl get svc -n kube-system x-tunnel-server-svcKolom EXTERNAL-IP menampilkan alamat SLB yang harus diizinkan.