Facultatif : configurer l'équilibreur de charge L7

Options de configuration de l'équilibreur de charge L7 comme alternative à L4 pour les déploiements multi-nœuds compatibles haute disponibilité dans Automation Suite.

Vue d'ensemble (Overview)

La prise en charge de l’équilibreur de charge de couche 7 (L7) est disponible en tant qu’alternative facultative à la configuration standard de couche 4 (L4) pour les déploiements de production multi-nœuds compatibles haute disponibilité. Contrairement aux équilibreurs de charge L4, qui fonctionnent au niveau du réseau/du transport, les équilibreurs de charge L7 fournissent des informations au niveau de la couche d'application avec des capacités de gestion avancée du trafic.

Les principaux avantages de l’utilisation d’un équilibreur de charge L7 comprennent les principaux avantages suivants :

• Protection du pare-feu d'application Web (WAF) contre les vulnérabilités Web courantes
• Arrêt SSL/TLS au niveau de l'équilibreur de charge, réduisant ainsi la charge du serveur principal
• Un routage basé sur le contenu et les chemins pour une distribution intelligente du trafic
• Surveillance et analyse avancées avec une visibilité au niveau de l’application

Important :

• RKE2 ne prend pas en charge la fin d’exécution TLS au niveau de l’équilibreur de charge. Cela nécessite un passage direct TCP/TLS pour les services tels que l'API Kubernetes et le superviseur RKE2.
• La configuration L4 est recommandée ; cependant, la configuration L7 est également prise en charge.
• Les équilibreurs de charge L7 prennent en charge la même conservation de l’en-tête mise en place pour le suivi de l’adresse IP client.

Le diagramme suivant montre comment le trafic HTTPS est traité par l'équilibreur de charge L7.

Important :

Certificat d'écouteur HTTPS

Vous devez configurer un certificat TLS validé par le client sur l'écouteur HTTPS de l'équilibreur de charge. Cela garantit que tous les clients de navigateur et d'API font confiance au point de terminaison d'Automation Suite. Le certificat est requis pour la connexion SSL du client vers l’équilibreur de charge.

Certificats TLS backend

Si vos certificats TLS côté serveur sont auto-signés ou non émis par une autorité de certification publique, téléchargez le certificat racine correspondant dans la configuration backend de l'équilibreur de charge. Cela permet à l'équilibreur de charge de valider et de rechiffrer le trafic vers les serveurs Automation Suite. Le certificat est requis pour la connexion SSL de l’équilibreur de charge au serveur.

Automation Suite prend en charge deux configurations d'équilibreur de charge L7 :

• Équilibreur de charge L7 avec configuration des capacités L4
• Configuration de l'équilibreur de charge uniquement L7 (alternative)

Configuration recommandée : équilibreur de charge L7 avec capacités L4

Cette configuration fournit des fonctionnalités L7 complètes tout en conservant la compatibilité RKE2.

Prérequis

Pour utiliser cette configuration, votre équilibreur de charge doit répondre aux exigences suivantes :

• Prend en charge les modes L7 et L4
• Autoriser le passage TCP/TLS pour les services du plan de contrôle Kubernetes (ports 6443 et 9345), qui nécessitent une connectivité TCP/TLS directe

Configuration du pool principal

Dans le cadre de la configuration, vous devez configurer les pools de backend suivants sur l'équilibreur de charge :

• Pool de serveurs: Tous les nœuds de serveur uniquement
• Pool de nœuds: Tous les nœuds de serveur plus les nœuds d'agent non spécialisés
• Pool du registre temporaire: le nœud de serveur sur lequel le registre temporaire est installé
  • Ce pool est utilisé uniquement lors de l'installation, de la jonction de nœud et de la mise à niveau. Une fois ces procédures terminées, vous pouvez la fermer.

Activation des ports sur l'équilibreur de charge

Vous devez activer les ports suivants sur l'équilibreur de charge. Le tableau suivant répertorie les ports requis et leur gestion du trafic.

Port	Protocole	Couche	Objectif	Gestion du trafic
443	https	L7	Accès Web à Automation Suite	Arrêt SSL au niveau de l'équilibreur de charge
300701	http	L7	Accès au registre temporaire	Pas de fin d’exécution TLS (pool de registre temporaire)
6443	TCP	L4	Accès à l'API Kubernetes	Passer par TCP/TLS (pool de serveurs)
9345	TCP	L4	Accès à l'API Kubernetes	Passer par TCP/TLS (pool de serveurs)

¹Si vous n'avez pas de registre externe compatible OCI, vous devez ouvrir le port 30070 sur l'équilibreur de charge et sur le nœud de serveur où le registre Docker temporaire est installé.

Configurez également les auditeurs, les sondes de santé, les règles de routage et les paramètres de backend dans l'équilibreur de charge selon les définitions ci-dessus.

Le diagramme suivant décrit comment les ports sont activés et mappés dans un équilibreur de charge L7 avec des capacités L4.

Configuration alternative : équilibreur de charge L7 uniquement

Cette configuration est conçue pour les environnements où les capacités L4 ne sont pas disponibles. Dans ce cas, la jointure des nœuds contourne l'équilibreur de charge L7 et se connecte directement aux nœuds du serveur pour le trafic de plan de contrôle.

Important :

• Cette configuration n'offre pas de résilience si les nœuds échouent lors de l'installation.
• Si le serveur principal est arrêté ou supprimé, vous devez mettre à jour la configuration du cluster. Si vous ajoutez un nouveau nœud de serveur après sa suppression, configurez-le de manière appropriée en fonction de vos besoins avant de l'ajouter au pool de nœuds de serveur.
• Le nom de domaine complet du serveur principal doit être remappé sur une autre machine disponible du cluster.

Configuration du pool principal

Dans cette configuration, vous devez créer les pools de backend suivants sur l'équilibreur de charge :

• Pool de nœuds: contient tous les nœuds de serveur et les nœuds d'agent non spécialisés
• Pool du registre temporaire : contient le nœud de serveur sur lequel le registre temporaire est installé

Activation des ports sur l'équilibreur de charge

Vous devez activer les ports suivants sur l'équilibreur de charge. Le tableau suivant répertorie les ports requis et leur gestion du trafic.

Port	Protocole	Objectif	Gestion du trafic
443	https	Accès Web à Automation Suite	Transférer le trafic vers le pool de nœuds

Le diagramme suivant indique la configuration du port pour un équilibreur de charge L7 uniquement.