Optional: Konfigurieren des L7-Lastenausgleichs

Überblick

Die Unterstützung des Layer-7-Lastenausgleichs (L7) ist als optionale Alternative zur standardmäßigen Layer-4-(L4)-Konfiguration für HA-fähige Produktionsbereitstellungen mit mehreren Knoten verfügbar. Im Gegensatz zu L4-Lastausgleichen, die auf der Netzwerk-/Transportebene arbeiten, bieten L7-Lastausgleiche Informationen auf der Anwendungsebene mit erweiterten Datenverkehrsverwaltungsfunktionen.

Die wichtigsten Vorteile der Verwendung eines L7-Lastausgleichs umfassen:

• Zum Schutz durch eine Web Application Firewall (WCF) vor häufigen Web-Sicherheitslücken
• SSL/TLS-Beendigung auf Lastausgleichsebene, wodurch die Backend-Serverlast reduziert wird
• Inhalts- und pfadbasiertes Routing für eine intelligente Datenverkehrsverteilung
• Erweiterte Überwachung und Analysen mit Transparenz auf der Anwendungsebene

Wichtig:

• RKE2 unterstützt keine TLS-Beendigung auf Lastausgleichsebene. Dies erfordert eine direkte TCP/TLS-Übermittlung für Dienste wie die Kubernetes API und den RKE2-Supervisor.
• Die L4-Konfiguration wird empfohlen; die L7-Konfiguration wird jedoch auch unterstützt.
• L7-Lastausgleiche unterstützen das gleiche x-forwarded-for-Header-Ergebnis für die Client-IP-Nachverfolgung.

Das folgende Diagramm zeigt, wie HTTPS-Datenverkehr vom L7-Lastenausgleich verarbeitet wird.

Wichtig:

1. HTTPS-Listener-Zertifikat

   Sie müssen ein vom Client validiertes TLS-Zertifikat (benutzerdefiniertes SAN-Zertifikat) auf dem HTTPS-Listener des Lastenausgleichs konfigurieren. Dadurch wird sichergestellt, dass alle Browser- und API-Clients dem Automation Suite-Endpunkt vertrauen. Das Zertifikat ist für die SSL-Verbindung vom Client zum Lastausgleich erforderlich.

2. Backend-TLS-Zertifikate

   Wenn Ihre serverseitigen TLS-Zertifikate selbstsigniert oder nicht von einer öffentlichen Zertifizierungsstelle ausgestellt wurden, laden Sie das entsprechende Stammzertifikat in die Backend-Konfiguration des Lastenausgleichs hoch. Dadurch kann der Lastausgleich den Datenverkehr zu den Automation Suite-Servern validieren und erneut verschlüsseln. Das Zertifikat ist für die SSL-Verbindung vom Lastausgleich zum Server erforderlich.

Die Automation Suite unterstützt zwei L7-Lastenausgleich-Konfigurationen:

• L7-Lastausgleich mit L4-Funktionen-Konfiguration (empfohlen)
• Nur-L7-Lastenausgleich-Konfiguration (Alternativ)

Empfohlene Konfiguration: L7-Lastausgleich mit L4-Funktionen

Diese Konfiguration bietet volle L7-Funktionen bei gleichzeitiger Aufrechterhaltung der RKE2-Kompatibilität.

Anforderungen

Um diese Konfiguration zu verwenden, muss Ihr Lastausgleich die folgenden Anforderungen erfüllen:

• Unterstützt sowohl den L7- als auch den L4-Modus (z. B. Azure Application Gateway)
• TCP/TLS-Passthrough für Kubernetes-Steuerebenendienste (Ports 6443 und 9345) zulassen, die eine direkte TCP/TLS-Konnektivität erfordern

Konfigurieren des Backend-Pools

Als Teil der Konfiguration müssen Sie die folgenden Backend-Pools auf dem Lastenausgleich einrichten:

• Serverpool: Nur alle Serverknoten (keine Agent-Knoten)
• Knotenpool: Alle Serverknoten sowie nicht spezialisierte Agent-Knoten (keine GPU oder Attended-Roboter)
• Temporärer Registrierungspool: Der Serverknoten, auf dem die temporäre Registrierung installiert ist
  • Dieser Pool wird nur während der Installation, bei der Knotenverbindung und im Upgrade verwendet. Nachdem Sie diese Verfahren abgeschlossen haben, können Sie es schließen.

Aktivieren von Ports auf dem Lastenausgleich

Sie müssen die folgenden Ports auf dem Lastenausgleich aktivieren. In der folgenden Tabelle sind die erforderlichen Ports und deren Datenverkehrsbehandlung aufgeführt.

Port	Protokoll	Ebene	Zweck	Abwicklung des Datenverkehrs
443	https	L7	Automation Suite-Webzugriff	SSL-Beendigung am Lastausgleich (Knotenpool)
300701	http	L7	Temporärer Registrierungszugriff	Keine TLS-Beendigung (temporärer Registrierungspool)
6443	TCP	L4	Kubernetes-API-Zugriff (Knotenverknüpfung)	TCP/TLS-Passthrough (Serverpool)
9345	TCP	L4	Kubernetes-API-Zugriff (Knotenverknüpfung)	TCP/TLS-Passthrough (Serverpool)

¹Wenn Sie keine externe OCI-konforme Registrierung haben, müssen Sie Port 30070 auf dem Lastausgleich und auf dem Serverknoten öffnen, auf dem die temporäre Docker-Registrierung installiert ist.

Konfigurieren Sie auch Listener, Integritätstests, Routing-Regeln und Backend-Einstellungen im Lastausgleich gemäß den oben genannten Definitionen.

Das folgende Diagramm beschreibt, wie Ports in einem L7-Lastausgleich mit L4-Funktionen aktiviert und zugeordnet werden.

Alternative Konfiguration: Nur-L7-Lastausgleich

Diese Konfiguration ist für Umgebungen gedacht, in denen keine L4-Funktionen verfügbar sind. In diesem Fall umgeht das Verbinden von Knoten den L7-Lastausgleich und stellt eine direkte Verbindung mit den Serverknoten für den Steuerungsebenendatenverkehr her.

Wichtig:

• Diese Konfiguration bietet keine Widerstandsfähigkeit, wenn Knoten während der Installation ausfallen.
• Wenn der primäre Server ausfällt oder gelöscht wird, müssen Sie die Clusterkonfiguration aktualisieren. Wenn Sie nach dem Löschen einen neuen Serverknoten hinzufügen, konfigurieren Sie ihn entsprechend Ihren Anforderungen, bevor Sie ihn dem Serverknotenpool hinzufügen.
• Der FQDN des primären Servers muss einer anderen verfügbaren Maschine im Cluster neu zugeordnet werden.

Konfigurieren des Backend-Pools

In dieser Konfiguration müssen Sie die folgenden Backend-Pools auf dem Lastenausgleich erstellen:

• Knotenpool: Enthält alle Serverknoten und nicht spezialisierten Agent-Knoten
• Temporärer Registrierungspool (falls erforderlich): Enthält den Serverknoten, auf dem die temporäre Registrierung installiert ist

Aktivieren von Ports auf dem Lastenausgleich

Sie müssen die folgenden Ports auf dem Lastenausgleich aktivieren. In der folgenden Tabelle sind die erforderlichen Ports und deren Datenverkehrsbehandlung aufgeführt.

Port	Protokoll	Zweck	Abwicklung des Datenverkehrs
443	https	Automation Suite-Webzugriff	Leitet Datenverkehr an den Knotenpool weiter

Das folgende Diagramm zeigt die Portkonfiguration für einen reinen L7-Lastenausgleich.