可选：配置 L7 负载均衡器

L7 负载均衡器配置选项，作为 L4 的替代方案，适用于 Automation Suite 中的多节点 HA 就绪部署。

概述

第 7 层 (L7) 负载均衡器支持可作为标准第 4 层 (L4) 配置的可选替代方案，适用于多节点 HA 就绪生产部署。与在网络/传输层运行的 L4 负载均衡器不同，L7 负载均衡器提供具有高级流量管理功能的应用程序层智能。

使用 L7 负载均衡器的主要优势包括：

• 针对常见网页漏洞的网页应用程序防火墙 (WAF) 防护
• 在负载均衡器级别终止 SSL/TLS，以减少后端服务器负载
• 用于智能流量分配的基于内容和路径的路由
• 具有应用程序层可见性的高级监控和分析

重要提示：

• RKE2 不支持负载均衡器级别的 TLS 终止。这需要服务的直接 TCP/TLS 直通，例如 Kubernetes API 和 RKE2主管。
• 建议使用 L4 配置；但也支持 L7 配置。
• L7 负载均衡器支持将相同的 x-forwarded-for 标头保留用于客户端 IP 跟踪。

下图显示了 L7 负载均衡器如何处理 HTTPS 流量。

重要提示：

HTTPS 侦听器证书

您必须在负载均衡器的 HTTPS 侦听器上配置客户端验证的 TLS 证书（自定义 SAN 证书）。这可确保所有浏览器和 API 客户端都信任 Automation Suite 端点。客户端与负载均衡器的 SSL 连接需要该证书。

后端 TLS 证书

如果您的服务器端 TLS 证书是自签名证书或不是由公共 CA 颁发，请将相应的根证书上传到负载均衡器的后端配置中。这允许负载均衡器验证并重新加密 Automation Suite 服务器的流量。负载均衡器到服务器的 SSL 连接需要该证书。

Automation Suite 支持两种 L7 负载均衡器配置：

• 具有 L4 功能配置的 L7 负载均衡器（推荐）
• 仅 L7 负载均衡器配置（替代方案）

推荐配置：具有 L4 功能的 L7 负载均衡器

此配置提供完整的 L7 功能，同时保持 RKE2 兼容性。

要求

要使用此配置，负载均衡器必须满足以下要求：

• 同时支持 L7 和 L4 模式（例如 Azure 应用程序网关）
• 允许 Kubernetes 控制平面服务（端口 6443 和 9345）使用 TCP/TLS 直通，这些服务需要直接 TCP/TLS 连接

配置后端池

在配置中，您需要在负载均衡器上设置以下后端池：

• 服务器池：仅限所有服务器节点（无代理节点）
• 节点池：所有服务器节点加上非专业代理节点（无 GPU 或 Attended Robot）
• 临时注册表池: 安装了临时注册表的服务器节点
  • 此池仅在安装、节点加入和升级期间使用。完成这些过程后，您可以将其关闭。

在负载均衡器上启用端口

您必须启用负载均衡器上的以下端口。下表列出了所需的端口及其流量处理方式。

端口	协议	图层	用途	流量处理
443	https	L7	Automation Suite 网页访问	负载均衡器（节点池）处的 SSL 终止
300701	HTTP	L7	临时注册表访问权限	无 TLS 终止（临时注册表池）
6443	TCP	L4	Kubernetes API 访问权限（加入节点）	TCP/TLS 直通（服务器池）
9345	TCP	L4	Kubernetes API 访问权限（加入节点）	TCP/TLS 直通（服务器池）

¹如果您没有符合 OCI 的外部注册表，则必须在负载均衡器和安装了临时 Docker 注册表的服务器节点上打开端口30070 。

此外，根据上述定义，在负载均衡器中配置侦听器、运行状况探测器、路由规则和后端设置。

下图描述了如何在具有 L4 功能的 L7 负载均衡器中启用和映射端口。

替代配置：仅 L7 负载均衡器

此配置适用于 L4 功能不可用的环境。在这种情况下，节点加入将绕过 L7 负载均衡器，直接连接到服务器节点以获取控制平面流量。

重要提示：

• 如果节点在安装过程中发生故障，则此配置无法提供恢复。
• 如果主服务器已关闭或已删除，则必须更新集群配置。如果在删除后添加新的服务器节点，请在将其添加到服务器节点池之前根据您的要求进行适当配置。
• 必须将主服务器的 FQDN 重新映射到集群中的另一台可用计算机。

配置后端池

在此配置中，您需要在负载均衡器上创建以下后端池：

• 节点池: 包含所有服务器节点和非专业代理节点
• 临时注册表池（如果需要）：包含安装了临时注册表的服务器节点

在负载均衡器上启用端口

您必须启用负载均衡器上的以下端口。下表列出了所需的端口及其流量处理方式。

端口	协议	用途	流量处理
443	https	Automation Suite 网页访问	将流量转发到节点池

下图显示了仅 L7 负载均衡器的端口配置。