Paso 10: configurar los puertos de nodo

Nota:

No se recomiendan ni se admiten cambios en las tablas de IP.

Asegúrate de habilitar los siguientes puertos en tu firewall para cada origen:

Puerto	Protocolo	Origen	Propósito	Requisitos
22	TCP	Servidor de salto o máquina cliente	Para SSH (instalación, depuración de la gestión del clúster)	No abras este puerto a Internet. Permitir el acceso a la máquina cliente o servidor de salto.
443	TCP	Todos los nodos de un clúster y el equilibrador de carga	Para HTTPS (acceso a Automation Suite)	Este puerto debe tener conectividad entrante y saliente de todos los nodos del clúster y del equilibrador de carga.
2379	TCP	Todos los nodos de un clúster	Puerto cliente etcd	No abras este puerto a Internet. El acceso entre nodos debe garantizarse a través de una dirección IP privada.
2380	TCP	Todos los nodos de un clúster	Puerto de pares etcd	No abras este puerto a Internet. El acceso entre nodos debe garantizarse a través de una dirección IP privada.
6443	TCP	Todos los nodos de un clúster	Se requiere para acceder a la API de Kubernetes mediante HTTPS y para la unión de nodos	Este puerto debe tener conectividad entrante y saliente de todos los nodos del clúster.
8472	UDP	Todos los nodos de un clúster	Obligatorio para Cilium.	No abras este puerto a Internet. El acceso entre nodos debe garantizarse a través de una dirección IP privada.
9090	TCP	Todos los nodos en un clúster	Utilizado por Cilium para supervisar y gestionar las caídas de pods	Este puerto debe tener conectividad entrante y saliente de todos los nodos del clúster.
9345	TCP	Todos los nodos de un clúster y el equilibrador de carga	Se requiere para acceder a la API de Kubernetes mediante HTTPS, para la unión de nodos	Este puerto debe tener conectividad entrante y saliente de todos los nodos del clúster y el equilibrador de carga.
10250	TCP	Todos los nodos de un clúster	Kubelet o servidor de métricas	No abras este puerto a Internet. El acceso entre nodos debe garantizarse a través de una dirección IP privada.
30071	TCP	Todos los nodos de un clúster	Puerto NodePort para la comunicación interna entre los nodos de un clúster	No abras este puerto a Internet. El acceso entre nodos debe garantizarse a través de una dirección IP privada.

Los siguientes puertos adicionales son necesarios en las instalaciones sin conexión:

Puerto	Protocolo	Origen	Propósito	Requisitos
80	TCP	Todos los nodos en un clúster	Obligatorio para enviar notificaciones por correo electrónico del sistema	No abras este puerto a Internet. El acceso entre los nodos y el servidor SMTP debe garantizarse a través de una dirección IP privada.
587	TCP	Todos los nodos en un clúster	Obligatorio para enviar notificaciones por correo electrónico del sistema	No abras este puerto a Internet. El acceso entre los nodos y el servidor SMTP debe garantizarse a través de una dirección IP privada.
300701	TCP	La máquina en la que planeas desencadenar la instalación o la actualización.	Para acceder al registro temporal durante la instalación y actualización mediante HTTP.	El tráfico en este puerto debe reenviarse al Grupo de registros temporales.

¹ Si no hay un registro externo disponible en la instalación sin conexión, abre el puerto 30070 en la máquina en la que planeas desencadenar la instalación o actualización.

Importante:

Exponer el puerto 6443 fuera del límite del clúster es obligatorio si hay una conexión directa a la API de Kerberos.

Los nodos utilizan el puerto 9345 para descubrir nodos existentes y unirse al clúster en la implementación multinodo. Para mantener en funcionamiento los mecanismos de descubrimiento de alta disponibilidad, recomendamos exponerlo a través del equilibrador de carga con la comprobación de estado.

Además, asegúrate de tener conectividad desde todos los nodos al servidor SQL. No expongas el servidor SQL en uno de los puertos reservados de Istio, ya que puede provocar fallos de conexión.

Si tienes un firewall configurado en la red, asegúrate de que tenga estos puertos abiertos y permita el tráfico de acuerdo con los requisitos mencionados anteriormente.