Если на площадке, где работает Deckhouse Kubernetes Platform (DKP), есть требования для ограничения сетевого взаимодействия между серверами на уровне инфраструктуры, то необходимо соблюсти следующие условия:
- Включен режим туннелирования трафика между подами (настройки для CNI Cilium, настройки для CNI Flannel).
- Разрешена передача трафика между podSubnetCIDR, инкапсулированного внутри VXLAN (если выполняется инспектирование и фильтрация трафика внутри VXLAN-туннеля).
- В случае необходимости интеграции с внешними системами (например, LDAP, SMTP или прочие внешние API), с ними разрешено сетевое взаимодействие.
- Локальное сетевое взаимодействие полностью разрешено в рамках каждого отдельно взятого узла кластера.
- Разрешено взаимодействие между узлами по портам, приведенным в таблицах на текущей странице. Обратите внимание, что большинство портов входит в диапазон 4200-4299. При добавлении новых компонентов платформы им будут назначаться порты из этого диапазона (при наличии возможности).
Изменения, связанные с добавлением, удалением или переопределением портов в таблицах, перечислены в подразделе «Сеть» соответствующей версии DKP на странице «История изменений».
Трафик между master-узлами
Порт | Протокол | Назначение |
---|---|---|
2379, 2380 |
TCP | Репликация etcd |
4200 |
TCP | Вебхук-обработчик Cluster API |
4201 |
TCP | Вебхук-обработчик для cloud-провайдера VMware Cloud Director |
4223 |
TCP | Вебхук-обработчик контроллера Deckhouse |
Трафик от master-узлов к узлам
Порт | Протокол | Назначение |
---|---|---|
22 |
TCP | SSH для первичной настройки статичных узлов статичным провайдером |
10250 |
TCP | kubelet |
4221 |
TCP |
|
4227 |
TCP | Вебхук-обработчик компонента |
Трафик от узлов к master-узлам
Порт | Протокол | Назначение |
---|---|---|
4234 |
UDP | NTP для синхронизации времени между узлами |
6443 |
TCP |
|
4203 |
TCP | Метрики компонента |
4219 |
TCP | Прокси для пакетов registry |
4222 |
TCP | Метрики контроллера Deckhouse |
Трафик между узлами
Порт | Протокол | Назначение |
---|---|---|
— | ICMP | ICMP для мониторинга связности между узлами |
4202 |
TCP | Метрики агента |
4204 |
TCP | Debug для контроллера Deckhouse |
4205 |
TCP | Метрики модуля |
4206 |
TCP | Метрики модуля |
4207 |
TCP | Метрики контроллера |
4208 |
TCP | Метрики контроллера |
4209 |
TCP | Метрики управляющего слоя Kubernetes |
4210 |
TCP | Метрики |
4211 |
TCP | Метрики Cluster API |
4212 |
TCP | Метрики модуля |
4213 |
TCP | Метрики |
4214 |
TCP | API агента модуля |
4215 |
TCP | Метрики агента |
4218 |
TCP/UDP | Синхронизация компонентов |
4220 |
TCP | Метрики компонентов |
4224 |
TCP | Метрики |
4225 |
TCP/UDP | Синхронизация компонентов |
4226 |
TCP | Метрики компонентов |
4229 |
TCP | Healthcheck CSI-контроллера модуля |
4230 |
TCP | Healthcheck CSI-агентов модуля |
4231 |
TCP | Healthcheck CSI-контроллера модуля |
4232 |
TCP | Healthcheck CSI-агентов модуля |
4235 |
TCP | Healthcheck CSI-контроллера модуля |
4236 |
TCP | Healthcheck CSI-агентов модуля |
4237 |
TCP | Healthcheck CSI-контроллера модуля |
4238 |
TCP | Healthcheck CSI-агентов модуля |
4240 |
TCP | Порт для процедуры healthcheck соседних узлов в CNI Cilium |
4241 |
TCP | Метрики агентов CNI Cilium |
4242 |
TCP | Метрики оператора CNI Cilium |
4244 |
TCP | API для модуля |
4245 |
TCP | Метрики |
4246 |
TCP | Healthcheck CSI-контроллера CephFS модуля |
4247 |
TCP | Healthcheck CSI-контроллера RBD модуля |
4248 |
TCP | Healthcheck CSI-контроллера модуля |
4249 |
TCP | Healthcheck CSI-агентов модуля |
4250 |
TCP | Healthcheck CSI-контроллера модуля |
4251 |
TCP | Healthcheck CSI-агентов модуля |
4252 |
TCP | Healthcheck CSI-агентов RBD модуля |
4253 |
TCP | Healthcheck CSI-агентов CephFS модуля |
4254 |
TCP | Healthcheck CSI-контроллера модуля |
4255 |
TCP | Healthcheck CSI-агентов модуля |
4256 |
TCP | Метрики CSI-контроллера модуля |
4257 |
TCP | Порт API CSI-контроллера модуля |
4258 |
TCP | Порт вебхука CSI-контроллера модуля |
4259 |
TCP | Healthcheck CSI-агентов модуля |
4260 |
TCP | Метрики CSI-контроллера модуля |
4261 |
TCP | Healthcheck CSI-контроллера модуля |
4262 |
TCP | Healthcheck CSI-агентов модуля |
4263 |
TCP | Метрики модуля |
4269 |
TCP | Healthcheck CSI-агентов модуля |
4270 |
TCP | Метрики CSI-агентов модуля |
4286 |
TCP | Метрики Istio CNI |
4287 |
UDP | Порт WireGuard для шифрования трафика в CNI Cilium |
4288 |
TCP | Метрики |
4289 |
TCP | Метрики |
4295‑4297 |
UDP | Используется модулем |
4298 |
UDP | Используется модулем |
4299 |
UDP | Для кластеров, развернутых на DKP версий 1.64–1.70. Используется модулем Обратите внимание, что в таких кластерах включение модуля |
7000‑7999 |
TCP | Репликация DRBD для |
8469 |
UDP | Для кластеров, развернутых на DKP версии 1.63 и ниже с модулем |
8472 |
UDP | Для кластеров, развернутых на DKP версии 1.63 и ниже. Используется модулем Обратите внимание, что в таких кластерах включение модуля
|
Внешний трафик к master-узлам
Порт | Протокол | Назначение |
---|---|---|
22 |
TCP | SSH для инициализации Deckhouse Kubernetes Platform |
6443 |
TCP | Прямой доступ к API-серверу |
Внешний трафик к фронтенд-узлам
Порт | Протокол | Назначение |
---|---|---|
80, 443 |
TCP | Прикладные порты для запросов к Ingress-контроллеру по протоколам HTTP и HTTPS. Обратите внимание, что эти порты настраиваются в ресурсе IngressNginxController и могут отличаться в разных инсталляциях |
5416 |
UDP | OpenVPN |
5416 |
TCP | OpenVPN |
10256 |
TCP | Healthcheck-порт для внешних балансировщиков |
30000-32767 |
TCP | Диапазон портов NodePort |
Внешний трафик для всех узлов
Порт | Протокол | Назначение |
---|---|---|
53 |
UDP | DNS |
53 |
TCP | DNS |
123 |
UDP | NTP для синхронизации с внешними серверами точного времени |
443 |
TCP | Container registry |