Opcional: configurar el equilibrador de carga L7

Información general

La compatibilidad con el equilibrador de carga de capa 7 (L7) está disponible como alternativa opcional a la configuración estándar de capa 4 (L4) para implementaciones de producción multinodo preparadas para alta disponibilidad. A diferencia de los equilibradores de carga L4, que operan en la capa de red/transporte, los equilibradores de carga L7 proporcionan inteligencia en la capa de aplicación con capacidades avanzadas de gestión del tráfico.

Las principales ventajas de utilizar un equilibrador de carga L7 incluyen:

• Protección del firewall de aplicaciones web (WAF) contra las vulnerabilidades web comunes
• Terminación SSL/TLS en el nivel de equilibrador de carga, lo que reduce la carga del servidor backend
• Enrutamiento basado en contenido y ruta para la distribución inteligente del tráfico
• Supervisión y análisis avanzados con visibilidad de la capa de aplicación

Importante:

• RKE2 no admite la terminación TLS en el nivel de equilibrador de carga. Esto requiere el paso directo de TCP/TLS para servicios como la API de Kubernetes y el supervisor RKE2.
• Se recomienda la configuración L4; sin embargo, también se admite la configuración L7.
• Los equilibradores de carga L7 admiten la misma conservación de encabezado x-forwarded-for para el seguimiento de IP del cliente.

El siguiente diagrama muestra cómo el equilibrador de carga L7 procesa el tráfico HTTPS.

Importante:

1. Certificado de escucha HTTPS

   Debes configurar un certificado TLS validado por el cliente (certificado SAN personalizado) en el agente de escucha HTTPS del equilibrador de carga. Esto garantiza que todos los clientes de navegador y API confíen en el punto final de Automation Suite. El certificado es necesario para la conexión SSL del cliente al equilibrador de carga.

2. Certificados TLS de backend

   Si tus certificados TLS del lado del servidor están autofirmados o no son emitidos por una CA pública, carga el certificado raíz correspondiente en la configuración del backend del equilibrador de carga. Esto permite que el equilibrador de carga valide y vuelva a cifrar el tráfico a los servidores de Automation Suite. El certificado es necesario para la conexión SSL del equilibrador de carga al servidor.

Automation Suite admite dos configuraciones de equilibrador de carga L7:

• Configuración del equilibrador de carga L7 con capacidades L4 (recomendado)
• Configuración del equilibrador de carga solo L7 (alternativa)

Configuración recomendada: equilibrador de carga L7 con capacidades L4

Esta configuración proporciona capacidades L7 completas a la vez que mantiene la compatibilidad con RKE2.

Requisitos

Para utilizar esta configuración, tu equilibrador de carga debe cumplir los siguientes requisitos:

• Admite los modos L7 y L4 (por ejemplo, Azure Application Gateway)
• Permitir el paso de TCP/TLS para los servicios del plano de control de Kubernetes (puertos 6443 y 9345), que requieren conectividad TCP/TLS directa

Configurar el grupo de backend

Como parte de la configuración, debes configurar los siguientes grupos de backend en el equilibrador de carga:

• Grupo de servidores: solo todos los nodos de servidor (sin nodos de agente)
• Grupo de nodos: todos los nodos de servidor más nodos de agente no especializados (sin GPU ni robots atendidos)
• Grupo de registros temporales: el nodo del servidor donde está instalado el registro temporal
  • Este grupo solo se utiliza durante la instalación, la unión de nodos y la actualización. Después de completar esos procedimientos, puedes cerrarlo.

Habilitar puertos en el equilibrador de carga

Debes habilitar los siguientes puertos en el equilibrador de carga. La siguiente tabla enumera los puertos necesarios y su gestión del tráfico.

Puerto	Protocolo	Capa	Propósito	Gestión del tráfico
443	Https	L7	Acceso web a Automation Suite	Terminación SSL en el equilibrador de carga (grupo de nodos)
300701	Http	L7	Acceso al registro temporal	Sin terminación de TLS (grupo de registros temporal)
6443	TCP	L4	Acceso a la API de Kubernetes (unión de nodos)	Paso de TCP/TLS (grupo de servidores)
9345	TCP	L4	Acceso a la API de Kubernetes (unión de nodos)	Paso de TCP/TLS (grupo de servidores)

¹Si no tienes un registro externo compatible con OCI, debes abrir el puerto 30070 en el equilibrador de carga y en el nodo del servidor donde está instalado el registro temporal de Docker.

Configura también los listeners, los sondeos de estado, las reglas de enrutamiento y la configuración del backend en el equilibrador de carga de acuerdo con las definiciones anteriores.

El siguiente diagrama describe cómo se habilitan y asignan los puertos en un equilibrador de carga L7 con capacidades L4.

Configuración alternativa: equilibrador de carga solo L7

Esta configuración está destinada a entornos en los que las capacidades L4 no están disponibles. En este caso, la unión de nodos omite el equilibrador de carga L7 y se conecta directamente a los nodos del servidor para el tráfico del plano de control.

Importante:

• Esta configuración no proporciona resistencia si los nodos fallan durante la instalación.
• Si el servidor principal está inactivo o eliminado, debes actualizar la configuración del clúster. Si añades un nuevo nodo de servidor después de la eliminación, configúralo adecuadamente en función de tus requisitos antes de añadirlo al grupo de nodos de servidor.
• El FQDN del servidor principal debe reasignarse a otra máquina disponible en el clúster.

Configurar el grupo de backend

En esta configuración, debes crear los siguientes grupos de backend en el equilibrador de carga:

• Grupo de nodos: contiene todos los nodos de servidor y nodos de agente no especializados
• Grupo de registros temporales (si es necesario): contiene el nodo del servidor donde está instalado el registro temporal

Habilitar puertos en el equilibrador de carga

Debes habilitar los siguientes puertos en el equilibrador de carga. La siguiente tabla enumera los puertos necesarios y su gestión del tráfico.

Puerto	Protocolo	Propósito	Gestión del tráfico
443	Https	Acceso web a Automation Suite	Reenviar el tráfico al grupo de nodos

El siguiente diagrama muestra la configuración del puerto para un equilibrador de carga solo L7.