Étape 10 : configuration des ports de nœud

Remarque :

Les modifications apportées aux tables d’adresses IP ne sont pas recommandées ou prises en charge.

Assurez-vous d'activer les ports suivants sur votre pare-feu pour chaque source :

Port	Protocole	Source	Objectif	Prérequis
22	TCP	Jump Server / machine client	Pour SSH (installation, débogage de la gestion du cluster)	N'ouvrez pas ce port à Internet. Autorisez l'accès à la machine cliente ou au serveur intermédiaire.
443	TCP	Tous les nœuds d'un cluster et l'équilibreur de charge	Pour HTTPS (accès à Automation Suite)	Ce port doit avoir une connectivité entrante et sortante à partir de tous les nœuds du cluster et de l'équilibreur de charge.
2379	TCP	Tous les nœuds du cluster	port client etcd	N'ouvrez pas ce port à Internet. L'accès entre les nœuds doit être assuré via une adresse IP privée.
2380	TCP	Tous les nœuds du cluster	port homologue etcd	N'ouvrez pas ce port à Internet. L'accès entre les nœuds doit être assuré via une adresse IP privée.
6443	TCP	Tous les nœuds du cluster	Sert à accéder à l'API Kube via HTTPS ; requis pour la jonction de nœud	Ce port doit avoir une connectivité entrante et sortante à partir de tous les nœuds du cluster.
8472	UDP	Tous les nœuds du cluster	Obligatoire pour Cilium.	N'ouvrez pas ce port à Internet. L'accès entre les nœuds doit être assuré via une adresse IP privée.
9090	TCP	Tous les nœuds du cluster	Utilisé par Cilium pour surveiller et gérer les plantages de pod	Ce port doit avoir une connectivité entrante et sortante à partir de tous les nœuds du cluster.
9345	TCP	Tous les nœuds d'un cluster et l'équilibreur de charge	Sert à accéder à l’API Kube via HTTPS ; requis pour la jonction de nœud	Ce port doit disposer d'une connectivité entrante et sortante à partir de tous les nœuds du cluster et de l'équilibreur de charge.
10250	TCP	Tous les nœuds du cluster	kubelet / serveur de métriques	N'ouvrez pas ce port à Internet. L'accès entre les nœuds doit être assuré via une adresse IP privée.
30071	TCP	Tous les nœuds du cluster	Port NodePort pour la communication interne entre les nœuds d'un cluster	N'ouvrez pas ce port à Internet. L'accès entre les nœuds doit être assuré via une adresse IP privée.

Les ports supplémentaires suivants sont requis dans les installations hors ligne :

Port	Protocole	Source	Objectif	Prérequis
80	TCP	Tous les nœuds du cluster	Requis pour l'envoi de notifications système par e-mail	N'ouvrez pas ce port à Internet. L'accès entre les nœuds et le serveur SMTP doit être assuré via une adresse IP privée.
587	TCP	Tous les nœuds du cluster	Requis pour l'envoi de notifications système par e-mail	N'ouvrez pas ce port à Internet. L'accès entre les nœuds et le serveur SMTP doit être assuré via une adresse IP privée.
300701	TCP	La machine sur laquelle vous prévoyez de déclencher l'installation ou la mise à niveau.	Pour accéder au registre temporaire lors de l'installation et de la mise à niveau à l'aide de HTTP.	Le trafic sur ce port doit être transféré vers le pool du registre temporaire.

¹ Si un registre externe n'est pas disponible dans l'installation hors ligne, ouvrez le port 30070 sur la machine sur laquelle vous prévoyez de déclencher l'installation ou la mise à niveau.

Important :

L'exposition du port 6443 en dehors des limites du cluster est obligatoire s'il existe une connexion directe à l'API Kerberos.
Le port 9345 est utilisé par les nœuds pour découvrir les nœuds existants et joindre le cluster dans le déploiement multi-nœuds. Pour que les mécanismes de découverte haute disponibilité restent en cours d'exécution, nous vous recommandons de les exposer via l'équilibreur de charge avec une vérification de l'état.
De plus, assurez-vous que tous les nœuds sont connectés au SQL server. N’exposez pas le SQL server sur l’un des ports réservés d’Istio, car cela pourrait entraîner des échecs de connexion.
Si vous avez configuré un pare-feu sur le réseau, assurez-vous que ces ports sont ouverts et autorisent le trafic conformément aux exigences mentionnées ci-dessus.