Schritt 10: Konfigurieren der Knotenports

Aktivieren Sie Firewall-Ports für die Automation Suite-Clusterkommunikation unter Linux.

Hinweis:

Änderungen an IP-Tabellen werden nicht empfohlen oder unterstützt.

Stellen Sie sicher, dass Sie für jede Quelle die folgenden Ports auf Ihrer Firewall aktivieren.

Die folgenden Ports erfordern eingehenden oder ausgehenden Netzwerkzugriff zwischen Clusterknoten, externen Clients oder dem Lastenausgleich:

Port	Protokoll	Quelle	Zweck	Anforderungen
22	TCP	Jump Server/Clientmaschine	Für SSH (Installation, Fehlerbehebung bei der Clusterverwaltung)	Öffnen Sie diesen Port nicht für das Internet. Lassen Sie den Zugriff auf die Clientmaschine oder den Jump Server zu.
443	TCP	Alle Knoten in einem Cluster und der Lastausgleich	Bei HTTPS (Zugriff auf die Automation Suite)	Dieser Port muss über eingehende und ausgehende Verbindungen von allen Knoten im Cluster und dem Lastenausgleich verfügen.
2334	TCP	Alle Knoten in einem Cluster	Temporärer HTTP-Dateiserver (hostNetwork: true, 0.0.0.0), der von uipathctl support-bundle zum Sammeln von Protokollen und Metriken verwendet wird. Nur während der Erfassung von Supportpaketen, historischen Protokollen oder Servicemetriken geöffnet.	Öffnen Sie diesen Port nicht für das Internet. Lassen Sie eine Knoten-zu-Knoten-Verbindung innerhalb des Cluster-CIDR zu.
2379	TCP	Alle Knoten in einem Cluster	etcd-Clientport	Öffnen Sie diesen Port nicht für das Internet. Der Zugriff zwischen Knoten muss über eine private IP-Adresse sichergestellt werden.
2380	TCP	Alle Knoten in einem Cluster	etcd-Peer-Port	Öffnen Sie diesen Port nicht für das Internet. Der Zugriff zwischen Knoten muss über eine private IP-Adresse sichergestellt werden.
4240	TCP	Vergleichen Sie Cilium-Agent-Pods auf anderen Clusterknoten	Cilium-Cluster-weiter Integritätstest zur Überprüfung der L3-Erreichbarkeit zwischen Knoten; wird an die Knoten-IP gebunden, nicht an 0.0.0.0. Das Blockieren der Verbindung zwischen Knoten verursacht falsch positive Warnungen beim Ausfall des Knotens.	Öffnen Sie diesen Port nicht für das Internet. Lassen Sie eine Knoten-zu-Knoten-Verbindung innerhalb des Cluster-CIDR zu.
5001	TCP	RKE2 intern (kubelet/containerd Image-Pull)	In RKE2 eingebettete interne Image-Registrierung (getrennt vom Offline-Registrierungsport 30070), die vorab geladene Images hostet, die während des Clusterstarts abgerufen wurden. Nur auf dem Bootstrap-Serverknoten vorhanden.	Wird an 0.0.0.0:5001 auf dem Bootstrap-Server gebunden; Ermöglicht den Zugriff innerhalb des Clusters von Peer-Knoten. Öffnen Sie diesen Port nicht für das Internet.
6443	TCP	Alle Knoten in einem Cluster	Für den Zugriff auf Kube API mit HTTPS und erforderlich für das Verbinden von Knoten. Auf Worker-Knoten bindet rke2 agent auch 127.0.0.1:6443 als lokaler Lastausgleich für den APIServer-Zugriff.	Dieser Port muss über eingehende und ausgehende Verbindungen von allen Knoten im Cluster verfügen. Blockieren Sie es nicht auf der Loopback-Schnittstelle; Worker-Knoten werden zu NotReady.
8472	UDP	Alle Knoten in einem Cluster	Erforderlich für Cilium.	Öffnen Sie diesen Port nicht für das Internet. Der Zugriff zwischen Knoten muss über eine private IP-Adresse sichergestellt werden.
9090	TCP	Alle Knoten im Cluster	Wird von Cilium zur Überwachung und Handhabung von Pod-Abstürzen verwendet	Dieser Port muss über eingehende und ausgehende Verbindungen von allen Knoten im Cluster verfügen.
9100	TCP	Clustern Sie Prometheus-Pods	Prometheus node_exporter (monitoring-prometheus-node-exporter DaemonSet): Metriken auf Hostebene (CPU, Arbeitsspeicher, Dateisystem, Netzwerk, Prozessanzahlen). Wird an 0.0.0.0:9100 gebunden.	Öffnen Sie diesen Port nicht für das Internet; Macht vertrauliche Hosttelemetrie verfügbar. Ermöglicht das Scraping innerhalb des Clusters von Prometheus-Pods.
9345	TCP	Alle Knoten in einem Cluster und der Lastausgleich	Für den Zugriff auf Kube API mit HTTPS, erforderlich für das Verbinden von Knoten	Dieser Port muss über eingehende und ausgehende Verbindungen von allen Knoten im Cluster und dem Lastenausgleich verfügen.
9963	TCP	Clustern Sie Prometheus-Pods	cilium-operator Prometheus-Metrikendpunkt: Metriken auf Operator-Ebene (Führungskräfte-Auswahl, Identitäts-GC, CCP-Verarbeitung). Wird an 0.0.0.0:9963 gebunden.	Öffnen Sie diesen Port nicht für das Internet. Ermöglicht das Scraping innerhalb des Clusters von Prometheus-Pods.
10250	TCP	Alle Knoten in einem Cluster	kubelet-/Metrikserver	Öffnen Sie diesen Port nicht für das Internet. Der Zugriff zwischen Knoten muss über eine private IP-Adresse sichergestellt werden.
30000–32767	TCP	Alle Knoten in einem Cluster	NodePort-Bereich für Istio Ingress Gateway; erforderlich, um externen Datenverkehr über Kubernetes NodePort-Dienste in den Cluster weiterzuleiten	Dieser Portbereich muss über eingehende Verbindungen vom Lastenausgleich zu allen Knoten im Cluster verfügen. Öffnen Sie diesen Portbereich nicht für das Internet; Leiten Sie den Datenverkehr nur über den Lastausgleich weiter.
30071	TCP	Alle Knoten in einem Cluster	NodePort-Port für die interne Kommunikation zwischen Knoten in einem Cluster	Öffnen Sie diesen Port nicht für das Internet. Der Zugriff zwischen Knoten muss über eine private IP-Adresse sichergestellt werden.

Die folgenden Ports binden nur an 127.0.0.1 (Loopback) und sind nicht über das gesamte Netzwerk erreichbar. Blockieren Sie sie nicht auf der Loopback-Schnittstelle:

Port	Protokoll	Quelle	Zweck	Anforderungen
2381	TCP	Nur lokaler Knoten (Loopback)	etcd-Metriken-Endpunkt, der für etcd-Bereitschaftstests verwendet wird. Standardmäßig ist kein clusterübergreifendes Scraping konfiguriert.	Nur an 127.0.0.1 gebunden. Die Loopback-Schnittstelle nicht blockieren.
2382	TCP	Nur lokaler Knoten (Loopback)	etcd-Loopback-Peer-Endpunkt, der vom internen etcd-Controller von RKE2 für Mitgliederlisten- und Clusterverwaltungsvorgänge verwendet wird	Nur an 127.0.0.1 gebunden. Die Loopback-Schnittstelle nicht blockieren.
6444	TCP	Nur lokaler Knoten (Loopback)	Auf Worker-Knoten: RKE2-Agent-Supervisor-Lastausgleich; leitet lokale Agent-Komponenten (kubelet, kube-proxy, Helm-Controller) an fehlerfreie Supervisor-Server auf Port 9345 weiter	Nur an 127.0.0.1 gebunden. Die Loopback-Schnittstelle nicht blockieren; kubelet und kube-proxy verlieren die Verbindung zur Steuerungsebene und der Knoten wird NotReady.
9234	TCP	Nur lokaler Knoten (Loopback)	Cilium-Operator REST API (/healthz); Ziel des Cilium-Operator-Pod-Liveaktivitätstests	Nur an 127.0.0.1 gebunden. Die Loopback-Schnittstelle nicht blockieren; Der Livestreaming-Test schlägt fehl und beendet den CRD-Abgleich, die Identitäts-GC und das BGP-Routing.
9879	TCP	Nur lokaler Knoten (Loopback)	cilium-agent /healthz Endpunkt; Ziel der Tests zur Aktivität, Bereitschaft und Start von Cilium-Agents	Nur an 127.0.0.1 gebunden. Die Loopback-Schnittstelle nicht blockieren; Kubelet-Tests schlagen fehl und Cilium-Agent wird neu gestartet, was zu einer CNI-Unterbrechung im gesamten Cluster führt.
10256	TCP	Nur lokaler Knoten (Loopback)	kube-proxy /livez Healthz-Endpunkt; Ziel des Liveaktivitätstests „kube-proxy sta-pod“.	Nur an 127.0.0.1 gebunden. Die Loopback-Schnittstelle nicht blockieren; Der Lively-Test schlägt fehl und Kubelet startet Kube-Proxy neu.
10257	TCP	Nur lokaler Knoten (Loopback)	kube-controller-manager Secure-Port-Endpunkt (/healthz, /metrics, Ringalgorithmus). Nur Knoten auf Steuerungsebene.	Nur an 127.0.0.1 gebunden.
10259	TCP	Nur lokaler Knoten (Loopback)	kube-scheduler Secure-Port-Endpunkt (/healthz, /metrics, Ringalgorithmus). Nur Knoten auf Steuerungsebene.	Nur an 127.0.0.1 gebunden.

Die folgenden zusätzlichen Ports sind für Offlineinstallationen erforderlich:

Port	Protokoll	Quelle	Zweck	Anforderungen
80	TCP	Alle Knoten im Cluster	Erforderlich zum Senden von System-E-Mail-Benachrichtigungen	Öffnen Sie diesen Port nicht für das Internet. Der Zugriff zwischen Knoten und dem SMTP-Server muss über eine private IP-Adresse sichergestellt werden.
587	TCP	Alle Knoten im Cluster	Erforderlich zum Senden von System-E-Mail-Benachrichtigungen	Öffnen Sie diesen Port nicht für das Internet. Der Zugriff zwischen Knoten und dem SMTP-Server muss über eine private IP-Adresse sichergestellt werden.
300701	TCP	Die Maschine, auf der Sie die Installation oder das Upgrade auslösen möchten.	Für den Zugriff auf die temporäre Registrierung während der Installation und Aktualisierung mit HTTP.	Der Datenverkehr auf diesem Port muss an den temporären Registrierungspool weitergeleitet werden.

¹ Wenn eine externe Registrierung in der Offline-Installation nicht verfügbar ist, öffnen Sie den Port 30070 auf der Maschine, auf der Sie die Installation oder das Upgrade auslösen möchten.

Wichtig:

Das Offenlegen des Ports 6443 außerhalb der Clustergrenze ist obligatorisch, wenn eine direkte Verbindung mit der Kerberos-API besteht.

Port 9345 wird von Knoten verwendet, um vorhandene Knoten zu erkennen und dem Cluster in der Bereitstellung mit mehreren Knoten beizutreten. Um die Erkennungsmechanismen der Hochverfügbarkeit am Laufen zu halten, empfehlen wir, ihn über den Lastausgleich mit Zustandsprüfung verfügbar zu machen.

Stellen Sie außerdem sicher, dass alle Knoten eine Verbindung zum SQL-Server haben. Exponieren Sie den SQL-Server nicht auf einem der reservierten Istio-Ports, da dies zu Verbindungsfehlern führen kann.

Wenn Sie im Netzwerk eine Firewall eingerichtet haben, stellen Sie sicher, dass diese Ports geöffnet sind und der Datenverkehr gemäß den oben genannten Anforderungen zulässt.