Etapa 10: configuração das portas do nó

Habilite as portas do firewall para a comunicação de cluster do Automation Suite no Linux.

Observação:

Alterações nas tabelas de IP não são recomendadas e não são suportadas.

Certifique-se de habilitar as seguintes portas no seu firewall para cada origem.

As seguintes portas exigem acesso de rede de entrada ou de saída entre nós do cluster, clientes externos ou o balanceador de carga:

Porta	Protocol	Origem	Finalidade	Requisitos
22	TCP	Jump Server/máquina cliente	Para SSH (instalação, depuração de gerenciamento de cluster)	Não abra esta porta para a Internet. Permita o acesso à máquina cliente ou ao servidor intermediário.
443	TCP	Todos os nós em um cluster e o balanceador de carga	Para HTTPS (acessando o Automation Suite)	Essa porta deve ter conectividade de entrada e saída de todos os nós do cluster e do balanceador de carga.
2334	TCP	Todos os nós em um cluster	Servidor de arquivo HTTP transitório (hostNetwork: true, 0.0.0.0) usado por uipathctl support-bundle para coletar logs e métricas. Abrir apenas durante a coleta de pacote de suporte, logs históricos ou métricas de serviço.	Não abra esta porta para a Internet. Permita a conectividade entre nós dentro do CIDR do cluster.
2379	TCP	Todos os nós em um cluster	Porta do cliente do etcd	Não abra esta porta para a Internet. O acesso entre os nós deve ser garantido em um endereço IP privado.
2380	TCP	Todos os nós em um cluster	Porta do par do etcd	Não abra esta porta para a Internet. O acesso entre os nós deve ser garantido em um endereço IP privado.
4240	TCP	Pods de agente par Cilium em outros nós do cluster	Investigação de integridade em todo o cluster Cilium para verificar a acessibilidade L3 entre nós; vincula ao IP do nó, não 0.0.0.0. O bloqueio da conectividade entre nós causa alertas de nó inativo falsos positivos.	Não abra esta porta para a Internet. Permita a conectividade entre nós dentro do CIDR do cluster.
5001	TCP	RKE2 interno (extração de imagem do kubelet/contêiner)	Registro de imagem interna incorporada do RKE2 (separado da porta de registro offline 30070), hospedando imagens pré-carregadas extraídas durante a inicialização do cluster. Presente apenas no nó do servidor de inicialização.	Vincula a 0.0.0.0:5001 no servidor de inicialização; permitir o acesso dentro do cluster de nós de pares. Não abra esta porta para a Internet.
6443	TCP	Todos os nós em um cluster	Para acessar a API do Kube usando HTTPS, e necessário para associação de nós. Em nós de trabalho, rke2 agent também vincula 127.0.0.1:6443 como um balanceador de carga local para acesso do APIServer.	Essa porta deve ter conectividade de entrada e saída de todos os nós do cluster. Não o bloqueie na interface de loopback; os nós de trabalho irá NotReady.
8472	UDP	Todos os nós em um cluster	Necessário para Cilium.	Não abra esta porta para a Internet. O acesso entre os nós deve ser garantido em um endereço IP privado.
9090	TCP	Todos os nós no cluster	Usado pelo Cilium para monitorar e lidar com falhas de pod	Essa porta deve ter conectividade de entrada e saída de todos os nós do cluster.
9100	TCP	Pods de Prometheus de cluster	Prometheus node_exporter (monitoring-prometheus-node-exporter DaemonSet): métricas no nível do host (CPU, memória, sistema de arquivos, rede, contagens de processos). Vincula a 0.0.0.0:9100.	Não abra esta porta para a Internet; expõe a telemetria do host confidencial. Permita a extração dentro do cluster de pods do Prometheus.
9345	TCP	Todos os nós em um cluster e o balanceador de carga	Para acessar a API do Kube usando HTTPS, necessário para associação de nó	Essa porta deve ter conectividade de entrada e saída de todos os nós do cluster e do balanceador de carga.
9963	TCP	Pods de Prometheus de cluster	cilium-operator Endpoint de métricas do Prometheus: métricas no nível do operador (eleção de líder, identidade GC, processamento de CNP). Vincula a 0.0.0.0:9963.	Não abra esta porta para a Internet. Permita a extração dentro do cluster de pods do Prometheus.
10250	TCP	Todos os nós em um cluster	kubelet / servidor de métricas	Não abra esta porta para a Internet. O acesso entre os nós deve ser garantido em um endereço IP privado.
30000–32767	TCP	Todos os nós em um cluster	Intervalo NodePort para o gateway do Istio Ingress; necessário para rotear o tráfego externo para o cluster por meio dos serviços NodePort do Kubernetes	Esse intervalo de portas deve ter conectividade de entrada do balanceador de carga para todos os nós no cluster. Não abra este intervalo de portas para a Internet; roteie o tráfego apenas por meio do balanceador de carga.
30071	TCP	Todos os nós em um cluster	A porta NodePort para comunicação interna entre nós em um cluster	Não abra esta porta para a Internet. O acesso entre os nós deve ser garantido em um endereço IP privado.

As seguintes portas ligam-se apenas a 127.0.0.1 (loopback) e não são acessíveis pela rede. Não os bloqueie na interface de loopback:

Porta	Protocol	Origem	Finalidade	Requisitos
2381	TCP	Somente nó local (loopback)	endpoint de métricas etcd usado para testes de prontidão etcd. Nenhuma extração entre clusters é configurada por padrão.	Associa-se apenas a 127.0.0.1 . Não bloqueie na interface de loopback.
2382	TCP	Somente nó local (loopback)	endpoint pares de loopback etcd usado pelo controlador etcd interno do RKE2 para operações de lista de membros e gerenciamento de clusters	Associa-se apenas a 127.0.0.1 . Não bloqueie na interface de loopback.
6444	TCP	Somente nó local (loopback)	Em nós de trabalho: supervisor de agente do RKE2; roteia componentes do agente locais (kubelet, kube-proxy, helm-controller) para servidores supervisores íntegros na porta 9345	Associa-se apenas a 127.0.0.1 . Não bloqueie na interface de loopback; O kubelet e o kube-proxy perderão a conectividade do plano de controle e o nó irá NotReady.
9234	TCP	Somente nó local (loopback)	API REST do operador do Cilium (/healthz); destino da investigação de atividade ao vivo do pod do cilium-operator	Associa-se apenas a 127.0.0.1 . Não bloqueie na interface de loopback; a investigação de atividade falhará, interrompendo a reconciliação de CRD, a identidade GC e o roteamento de BGP.
9879	TCP	Somente nó local (loopback)	cilium-agent /healthz ponto de extremidade; destino das testes de atividade, prontidão e inicialização do cilium-agent	Associa-se apenas a 127.0.0.1 . Não bloqueie na interface de loopback; as testes do kubelet falharão e o cilium-agent será reiniciado, causando a interrupção da CNI em todo o cluster.
10256	TCP	Somente nó local (loopback)	kube-proxy /livez ponto de extremidade integridade; destino da investigação de atividade estática-Pod do kube-proxy	Associa-se apenas a 127.0.0.1 . Não bloqueie na interface de loopback; a teste de atividade falhará e o kubelet reiniciará o kube-proxy.
10257	TCP	Somente nó local (loopback)	kube-controller-manager endpoint de porta segura (/healthz, /metrics, eleição do líder). Somente nós do plano de controle.	Associa-se apenas a 127.0.0.1 .
10259	TCP	Somente nó local (loopback)	kube-scheduler endpoint de porta segura (/healthz, /metrics, eleição do líder). Somente nós do plano de controle.	Associa-se apenas a 127.0.0.1 .

As seguintes portas adicionais são necessárias em instalações offline:

Porta	Protocol	Origem	Finalidade	Requisitos
80	TCP	Todos os nós no cluster	Necessário para enviar notificações de email do sistema	Não abra esta porta para a Internet. O acesso entre os nós e o servidor SMTP deve ser garantido por meio de um endereço IP privado.
587	TCP	Todos os nós no cluster	Necessário para enviar notificações de email do sistema	Não abra esta porta para a Internet. O acesso entre os nós e o servidor SMTP deve ser garantido por meio de um endereço IP privado.
300701	TCP	A máquina na qual você planeja disparar a instalação ou atualização.	Para acessar o registro temporário durante a instalação e atualização usando HTTP.	O tráfego nessa porta deve ser encaminhado para o Pool de Registro Temporário.

¹ Se um registro externo não estiver disponível na instalação offline, abra a porta 30070 na máquina na qual você planeja disparar a instalação ou atualização.

Importante:

Expor a porta 6443 fora do limite do cluster é obrigatório se houver uma conexão direta com a API do Kerberos.

A porta 9345 é usada pelos nós para descobrir nós existentes e ingressar no cluster na implantação de vários nós. Para manter os mecanismos de descoberta de alta disponibilidade em funcionamento, recomendamos expô-los por meio do balanceador de carga com verificação de integridade.

Além disso, certifique-se de ter conectividade de todos os nós com o SQL Server. Não exponha o SQL Server em uma das portas reservadas do Istio, pois isso pode causar falhas de conexão.

Se você tiver um firewall configurado na rede, certifique-se de que ele tenha essas portas abertas e permita o tráfego de acordo com os requisitos mencionados acima.