OpenShift 文档正在迁移，很快将只能在 docs.redhat.com（所有 Red Hat 产品文档的中心）访问。立即体验 新的文档体验。
  1. 文档
    2. history bug_report picture_as_pdf
×

配置您的防火墙

如果您使用防火墙，则必须对其进行配置，以便 OpenShift Container Platform 可以访问其正常运行所需的站点。您必须始终授予对某些站点的访问权限，如果您使用 Red Hat Insights、遥测服务、用于托管集群的云以及某些构建策略，则需要授予更多站点的访问权限。

为 OpenShift Container Platform 配置防火墙

在安装 OpenShift Container Platform 之前，您必须配置防火墙以授予 OpenShift Container Platform 所需站点的访问权限。使用防火墙时，请对防火墙进行其他配置，以便 OpenShift Container Platform 可以访问其正常运行所需的站点。

与工作节点相比，仅在控制器节点上运行的服务没有特殊的配置注意事项。

如果您的环境在 OpenShift Container Platform 集群前面有一个专用的负载均衡器，请检查防火墙和负载均衡器之间的允许列表，以防止对集群造成不必要的网络限制。
步骤

  1. 为防火墙的允许列表设置以下注册表 URL

    URL 端口 功能

    registry.redhat.io

    443

    提供核心容器镜像

    access.redhat.com

    443

    托管容器客户端验证从registry.access.redhat.com拉取的镜像所需的签名存储。在防火墙环境中，请确保此资源在允许列表中。

    registry.access.redhat.com

    443

    托管 Red Hat 生态系统目录中存储的所有容器镜像，包括核心容器镜像。

    quay.io

    443

    提供核心容器镜像

    cdn.quay.io

    443

    提供核心容器镜像

    cdn01.quay.io

    443

    提供核心容器镜像

    cdn02.quay.io

    443

    提供核心容器镜像

    cdn03.quay.io

    443

    提供核心容器镜像

    cdn04.quay.io

    443

    提供核心容器镜像

    cdn05.quay.io

    443

    提供核心容器镜像

    cdn06.quay.io

    443

    提供核心容器镜像

    sso.redhat.com

    443

    https://console.redhat.com站点使用来自sso.redhat.com的身份验证

    • 您可以使用通配符*.quay.io和*.openshiftapps.com代替cdn.quay.io和cdn0[1-6].quay.io在您的允许列表中。

    • 您可以使用通配符*.access.redhat.com简化配置并确保允许所有子域名，包括registry.access.redhat.com。

    • 将站点（例如quay.io）添加到允许列表时，请不要将通配符条目（例如*.quay.io）添加到拒绝列表。在大多数情况下，镜像注册表使用内容分发网络 (CDN) 来提供镜像。如果防火墙阻止访问，则初始下载请求重定向到主机名（例如cdn01.quay.io）时，镜像下载将被拒绝。

  2. 将防火墙的允许列表设置为包含为构建所需的语言或框架提供资源的任何站点。

  3. 如果您未禁用遥测，则必须授予对以下 URL 的访问权限才能访问 Red Hat Insights

    URL 端口 功能

    cert-api.access.redhat.com

    443

    遥测所需

    api.access.redhat.com

    443

    遥测所需

    infogw.api.openshift.com

    443

    遥测所需

    console.redhat.com

    443

    遥测和insights-operator所需

  4. 如果您使用阿里云、亚马逊网络服务 (AWS)、Microsoft Azure 或 Google Cloud Platform (GCP) 托管您的集群，则必须授予对提供该云的云提供商 API 和 DNS 的 URL 的访问权限

    云 URL 端口 功能

    阿里云

    *.aliyuncs.com

    443

    访问阿里云服务和资源所需。请查看阿里云 endpoints_config.go 文件以查找您使用的区域允许的确切端点。

    AWS

    aws.amazon.com

    443

    用于在 AWS 环境中安装和管理集群。

    *.amazonaws.com

    或者，如果您选择不为 AWS API 使用通配符，则必须在允许列表中包含以下 URL

    443

    访问 AWS 服务和资源所需。请查看 AWS 文档中的AWS 服务端点以查找您使用的区域允许的确切端点。

    ec2.amazonaws.com

    443

    用于在 AWS 环境中安装和管理集群。

    events.amazonaws.com

    443

    用于在 AWS 环境中安装和管理集群。

    iam.amazonaws.com

    443

    用于在 AWS 环境中安装和管理集群。

    route53.amazonaws.com

    443

    用于在 AWS 环境中安装和管理集群。

    *.s3.amazonaws.com

    443

    用于在 AWS 环境中安装和管理集群。

    *.s3.<aws_region>.amazonaws.com

    443

    用于在 AWS 环境中安装和管理集群。

    *.s3.dualstack.<aws_region>.amazonaws.com

    443

    用于在 AWS 环境中安装和管理集群。

    sts.amazonaws.com

    443

    用于在 AWS 环境中安装和管理集群。

    sts.<aws_region>.amazonaws.com

    443

    用于在 AWS 环境中安装和管理集群。

    tagging.us-east-1.amazonaws.com

    443

    用于在 AWS 环境中安装和管理集群。此端点始终为us-east-1，而不管集群部署在哪个区域。

    ec2.<aws_region>.amazonaws.com

    443

    用于在 AWS 环境中安装和管理集群。

    elasticloadbalancing.<aws_region>.amazonaws.com

    443

    用于在 AWS 环境中安装和管理集群。

    servicequotas.<aws_region>.amazonaws.com

    443

    必需。用于确认部署服务的配额。

    tagging.<aws_region>.amazonaws.com

    443

    允许以标签形式分配有关 AWS 资源的元数据。

    *.cloudfront.net

    443

    用于提供对 CloudFront 的访问。如果您使用 AWS 安全令牌服务 (STS) 和私有 S3 存储桶，则必须提供对 CloudFront 的访问权限。

    GCP

    *.googleapis.com

    443

    访问 GCP 服务和资源所需。请查看 GCP 文档中的Cloud Endpoints以查找您 API 允许的端点。

    accounts.google.com

    443

    访问您的 GCP 帐户所需。

    Microsoft Azure

    management.azure.com

    443

    访问 Microsoft Azure 服务和资源所需。请查看 Microsoft Azure 文档中的Microsoft Azure REST API 参考以查找您 API 允许的端点。

    *.blob.core.windows.net

    443

    下载 Ignition 文件所需。

    login.microsoftonline.com

    443

    访问 Microsoft Azure 服务和资源所需。请查看 Microsoft Azure 文档中的Azure REST API 参考，查找允许您的 API 使用的端点。

  5. 允许访问以下 URL

    URL 端口 功能

    *.apps.<集群名称>.<基础域名>

    443

    除非您在安装期间设置了 Ingress 通配符，否则需要访问默认集群路由。

    api.openshift.com

    443

    同时用于您的集群令牌以及检查集群是否有可用更新。

    console.redhat.com

    443

    用于您的集群令牌。

    mirror.openshift.com

    443

    访问镜像安装内容和镜像所需。此站点也是发布镜像签名的来源，尽管集群版本操作符只需要一个可用的来源。

    quayio-production-s3.s3.amazonaws.com

    443

    访问 AWS 中的 Quay 镜像内容所需。

    rhcos.mirror.openshift.com

    443

    下载 Red Hat Enterprise Linux CoreOS (RHCOS) 镜像所需。

    sso.redhat.com

    443

    https://console.redhat.com站点使用来自sso.redhat.com的身份验证

    storage.googleapis.com/openshift-release

    443

    发布镜像签名的来源之一，尽管集群版本操作符只需要一个可用的来源。

    操作符需要路由访问权限才能执行健康检查。具体来说，身份验证和 Web 控制台操作符连接到两条路由以验证路由是否正常工作。如果您是集群管理员并且不想允许 *.apps.<集群名称>.<基础域名>，则允许访问这些路由

    • oauth-openshift.apps.<集群名称>.<基础域名>

    • canary-openshift-ingress-canary.apps.<集群名称>.<基础域名>

    • console-openshift-console.apps.<集群名称>.<基础域名>，或者如果 consoles.operator/cluster 对象的 spec.route.hostname 字段非空，则允许访问该字段中指定的域名。

  6. 允许访问以下 URL，用于可选的第三方内容

    URL 端口 功能

    registry.connect.redhat.com

    443

    所有第三方镜像和认证操作符所需。

    rhc4tp-prod-z8cxf-image-registry-us-east-1-evenkyleffocxqvofrk.s3.dualstack.us-east-1.amazonaws.com

    443

    提供对托管在 registry.connect.redhat.com 上的容器镜像的访问。

    oso-rhc4tp-docker-registry.s3-us-west-2.amazonaws.com

    443

    Sonatype Nexus、F5 Big IP 操作符所需。

  7. 如果您使用默认的 Red Hat 网络时间协议 (NTP) 服务器，请允许访问以下 URL

    • 1.rhel.pool.ntp.org

    • 2.rhel.pool.ntp.org

    • 3.rhel.pool.ntp.org

如果您不使用默认的 Red Hat NTP 服务器，请验证您平台的 NTP 服务器并在防火墙中允许其访问。
其他资源

OpenShift Container Platform 网络流量矩阵

网络流量矩阵描述了 OpenShift Container Platform 服务的入站流量。矩阵中的网络信息对于裸机和云环境都适用。使用网络流量矩阵中的信息来帮助您管理入站流量。您可以将入站流量限制在必要的流量上以提高网络安全性。

要查看或下载原始 CSV 内容，请参阅此资源。

此外，在管理入站流量时，请考虑以下动态端口范围

  • 9000-9999：主机级服务

  • 30000-32767：Kubernetes 节点端口

  • 49152-65535：动态端口或私有端口

网络流量矩阵描述了基本 OpenShift Container Platform 安装的入站流量。它不描述其他组件（例如 Red Hat Marketplace 上提供的可选操作符）的网络流量。该矩阵不适用于托管控制平面、Red Hat 构建的 MicroShift 或独立集群。
表 1. 网络流量矩阵
方向 协议 端口 命名空间 服务 Pod 容器 节点角色 可选

入站

TCP

22

主机系统服务

sshd

主节点

是

入站

TCP

53

openshift-dns

dns-default

dnf-default

dns

主节点

否

入站

TCP

80

openshift-ingress

router-default

router-default

路由器

主节点

否

入站

TCP

111

主机系统服务

rpcbind

主节点

是

入站

TCP

443

openshift-ingress

router-default

router-default

路由器

主节点

否

入站

TCP

1936

openshift-ingress

router-default

router-default

路由器

主节点

否

入站

TCP

2379

openshift-etcd

etcd

etcd

etcdctl

主节点

否

入站

TCP

2380

openshift-etcd

healthz

etcd

etcd

主节点

否

入站

TCP

5050

openshift-machine-api

ironic-proxy

ironic-proxy

主节点

否

入站

TCP

6080

openshift-kube-apiserver

kube-apiserver

kube-apiserver-insecure-readyz

主节点

否

入站

TCP

6180

openshift-machine-api

metal3-state

metal3

metal3-httpd

主节点

否

入站

TCP

6183

openshift-machine-api

metal3-state

metal3

metal3-httpd

主节点

否

入站

TCP

6385

openshift-machine-api

ironic-proxy

ironic-proxy

主节点

否

入站

TCP

6388

openshift-machine-api

metal3-state

metal3

metal3-httpd

主节点

否

入站

TCP

6443

openshift-kube-apiserver

apiserver

kube-apiserver

kube-apiserver

主节点

否

入站

TCP

8080

openshift-network-operator

network-operator

network-operator

主节点

否

入站

TCP

8798

openshift-machine-config-operator

machine-config-daemon

machine-config-daemon

machine-config-daemon

主节点

否

入站

TCP

9001

openshift-machine-config-operator

machine-config-daemon

machine-config-daemon

kube-rbac-proxy

主节点

否

入站

TCP

9099

openshift-cluster-version

cluster-version-operator

cluster-version-operator

cluster-version-operator

主节点

否

入站

TCP

9100

openshift-monitoring

node-exporter

node-exporter

kube-rbac-proxy

主节点

否

入站

TCP

9103

openshift-ovn-kubernetes

ovn-kubernetes-node

ovnkube-node

kube-rbac-proxy-node

主节点

否

入站

TCP

9104

openshift-network-operator

metrics

network-operator

network-operator

主节点

否

入站

TCP

9105

openshift-ovn-kubernetes

ovn-kubernetes-node

ovnkube-node

kube-rbac-proxy-ovn-metrics

主节点

否

入站

TCP

9107

openshift-ovn-kubernetes

egressip-node-healthcheck

ovnkube-node

ovnkube-controller

主节点

否

入站

TCP

9108

openshift-ovn-kubernetes

ovn-kubernetes-control-plane

ovnkube-control-plane

kube-rbac-proxy

主节点

否

入站

TCP

9192

openshift-cluster-machine-approver

machine-approver

machine-approver

kube-rbac-proxy

主节点

否

入站

TCP

9258

openshift-cloud-controller-manager-operator

machine-approver

cluster-cloud-controller-manager

cluster-cloud-controller-manager

主节点

否

入站

TCP

9444

openshift-kni-infra

haproxy

haproxy

主节点

否

入站

TCP

9445

openshift-kni-infra

haproxy

haproxy

主节点

否

入站

TCP

9447

openshift-machine-api

metal3-baremetal-operator

主节点

否

入站

TCP

9537

主机系统服务

crio-metrics

主节点

否

入站

TCP

9637

openshift-machine-config-operator

kube-rbac-proxy-crio

kube-rbac-proxy-crio

kube-rbac-proxy-crio

主节点

否

入站

TCP

9978

openshift-etcd

etcd

etcd

etcd-metrics

主节点

否

入站

TCP

9979

openshift-etcd

etcd

etcd

etcd-metrics

主节点

否

入站

TCP

9980

openshift-etcd

etcd

etcd

etcd

主节点

否

入站

TCP

10250

主机系统服务

kubelet

主节点

否

入站

TCP

10256

openshift-ovn-kubernetes

ovnkube

ovnkube

ovnkube-controller

主节点

否

入站

TCP

10257

openshift-kube-controller-manager

kube-controller-manager

kube-controller-manager

kube-controller-manager

主节点

否

入站

TCP

10258

openshift-cloud-controller-manager-operator

cloud-controller

cloud-controller-manager

cloud-controller-manager

主节点

否

入站

TCP

10259

openshift-kube-scheduler

scheduler

openshift-kube-scheduler

kube-scheduler

主节点

否

入站

TCP

10260

openshift-cloud-controller-manager-operator

cloud-controller

cloud-controller-manager

cloud-controller-manager

主节点

否

入站

TCP

10300

openshift-cluster-csi-drivers

csi-livenessprobe

csi-driver-node

csi-driver

主节点

否

入站

TCP

10309

openshift-cluster-csi-drivers

csi-node-driver

csi-driver-node

csi-node-driver-registrar

主节点

否

入站

TCP

10357

openshift-kube-apiserver

openshift-kube-apiserver-healthz

kube-apiserver

kube-apiserver-check-endpoints

主节点

否

入站

TCP

17697

openshift-kube-apiserver

openshift-kube-apiserver-healthz

kube-apiserver

kube-apiserver-check-endpoints

主节点

否

入站

TCP

18080

openshift-kni-infra

coredns

coredns

主节点

否

入站

TCP

22623

openshift-machine-config-operator

machine-config-server

machine-config-server

machine-config-server

主节点

否

入站

TCP

22624

openshift-machine-config-operator

machine-config-server

machine-config-server

machine-config-server

主节点

否

入站

UDP

53

openshift-dns

dns-default

dnf-default

dns

主节点

否

入站

UDP

111

主机系统服务

rpcbind

主节点

是

入站

UDP

6081

openshift-ovn-kubernetes

ovn-kubernetes geneve

主节点

否

入站

TCP

22

主机系统服务

sshd

工作节点

是

入站

TCP

53

openshift-dns

dns-default

dnf-default

dns

工作节点

否

入站

TCP

80

openshift-ingress

router-default

router-default

路由器

工作节点

否

入站

TCP

111

主机系统服务

rpcbind

工作节点

是

入站

TCP

443

openshift-ingress

router-default

router-default

路由器

工作节点

否

入站

TCP

1936

openshift-ingress

router-default

router-default

路由器

工作节点

否

入站

TCP

8798

openshift-machine-config-operator

machine-config-daemon

machine-config-daemon

machine-config-daemon

工作节点

否

入站

TCP

9001

openshift-machine-config-operator

machine-config-daemon

machine-config-daemon

kube-rbac-proxy

工作节点

否

入站

TCP

9100

openshift-monitoring

node-exporter

node-exporter

kube-rbac-proxy

工作节点

否

入站

TCP

9103

openshift-ovn-kubernetes

ovn-kubernetes-node

ovnkube-node

kube-rbac-proxy-node

工作节点

否

入站

TCP

9105

openshift-ovn-kubernetes

ovn-kubernetes-node

ovnkube-node

kube-rbac-proxy-ovn-metrics

工作节点

否

入站

TCP

9107

openshift-ovn-kubernetes

egressip-node-healthcheck

ovnkube-node

ovnkube-controller

工作节点

否

入站

TCP

9537

主机系统服务

crio-metrics

工作节点

否

入站

TCP

9637

openshift-machine-config-operator

kube-rbac-proxy-crio

kube-rbac-proxy-crio

kube-rbac-proxy-crio

工作节点

否

入站

TCP

10250

主机系统服务

kubelet

工作节点

否

入站

TCP

10256

openshift-ovn-kubernetes

ovnkube

ovnkube

ovnkube-controller

工作节点

是

入站

TCP

10300

openshift-cluster-csi-drivers

csi-livenessprobe

csi-driver-node

csi-driver

工作节点

否

入站

TCP

10309

openshift-cluster-csi-drivers

csi-node-driver

csi-driver-node

csi-node-driver-registrar

工作节点

否

入站

TCP

18080

openshift-kni-infra

coredns

coredns

工作节点

否

入站

UDP

53

openshift-dns

dns-default

dnf-default

dns

工作节点

否

入站

UDP

111

主机系统服务

rpcbind

工作节点

是

入站

UDP

6081

openshift-ovn-kubernetes

ovn-kubernetes geneve

工作节点

否