Etapa 10: configuração das portas do nó

Observação:

Alterações nas tabelas de IP não são recomendadas e não são suportadas.

Certifique-se de habilitar as seguintes portas no seu firewall para cada origem:

Porta	Protocol	Origem	Finalidade	Requisitos
22	TCP	Jump Server/máquina cliente	Para SSH (instalação, depuração de gerenciamento de cluster)	Não abra esta porta para a Internet. Permita o acesso à máquina cliente ou ao servidor intermediário.
443	TCP	Todos os nós em um cluster e o balanceador de carga	Para HTTPS (acessando o Automation Suite)	Essa porta deve ter conectividade de entrada e saída de todos os nós do cluster e do balanceador de carga.
2379	TCP	Todos os nós em um cluster	Porta do cliente do etcd	Não abra esta porta para a Internet. O acesso entre os nós deve ser garantido em um endereço IP privado.
2380	TCP	Todos os nós em um cluster	Porta do par do etcd	Não abra esta porta para a Internet. O acesso entre os nós deve ser garantido em um endereço IP privado.
6443	TCP	Todos os nós em um cluster	Para acessar a API do Kube usando HTTPS, e obrigatório para associação de nó	Essa porta deve ter conectividade de entrada e saída de todos os nós do cluster.
8472	UDP	Todos os nós em um cluster	Necessário para Cilium.	Não abra esta porta para a Internet. O acesso entre os nós deve ser garantido em um endereço IP privado.
9090	TCP	Todos os nós no cluster	Usado pelo Cilium para monitorar e lidar com falhas de pod	Essa porta deve ter conectividade de entrada e saída de todos os nós do cluster.
9345	TCP	Todos os nós em um cluster e o balanceador de carga	Para acessar a API do Kube usando HTTPS, necessário para associação de nó	Essa porta deve ter conectividade de entrada e saída de todos os nós do cluster e do balanceador de carga.
10250	TCP	Todos os nós em um cluster	kubelet / servidor de métricas	Não abra esta porta para a Internet. O acesso entre os nós deve ser garantido em um endereço IP privado.
30071	TCP	Todos os nós em um cluster	A porta NodePort para comunicação interna entre nós em um cluster	Não abra esta porta para a Internet. O acesso entre os nós deve ser garantido em um endereço IP privado.

As seguintes portas adicionais são necessárias em instalações offline:

Porta	Protocol	Origem	Finalidade	Requisitos
80	TCP	Todos os nós no cluster	Necessário para enviar notificações de email do sistema	Não abra esta porta para a Internet. O acesso entre os nós e o servidor SMTP deve ser garantido por meio de um endereço IP privado.
587	TCP	Todos os nós no cluster	Necessário para enviar notificações de email do sistema	Não abra esta porta para a Internet. O acesso entre os nós e o servidor SMTP deve ser garantido por meio de um endereço IP privado.
300701	TCP	A máquina na qual você planeja disparar a instalação ou atualização.	Para acessar o registro temporário durante a instalação e atualização usando HTTP.	O tráfego nessa porta deve ser encaminhado para o Pool de Registro Temporário.

¹ Se um registro externo não estiver disponível na instalação offline, abra a porta 30070 na máquina na qual você planeja disparar a instalação ou atualização.

Importante:

Expor a porta 6443 fora do limite do cluster é obrigatório se houver uma conexão direta com a API do Kerberos.
A porta 9345 é usada pelos nós para descobrir nós existentes e ingressar no cluster na implantação de vários nós. Para manter os mecanismos de descoberta de alta disponibilidade em funcionamento, recomendamos expô-los por meio do balanceador de carga com verificação de integridade.
Além disso, certifique-se de ter conectividade de todos os nós com o SQL Server. Não exponha o SQL Server em uma das portas reservadas do Istio, pois isso pode causar falhas de conexão.
Se você tiver um firewall configurado na rede, certifique-se de que ele tenha essas portas abertas e permita o tráfego de acordo com os requisitos mencionados acima.