步骤 5：配置负载均衡器

概述

多节点 HA 就绪生产设置必须使用负载均衡器。

某些负载均衡器（例如 Azure 负载均衡器）能够将客户端的 IP 地址转发到服务器，而无需将其替换为其自己的地址。此功能允许服务器查看原始客户端的 IP，从而使服务器不需要额外的步骤来识别客户端的 IP 地址。另一方面，如果负载均衡器确实将客户端 IP 地址替换为自己的 IP 地址，则它可以通过在发送到服务器的请求中添加一个特殊标头（称为 x-forwarded-for 标头）来进行补偿。此标头包含原始客户端的 IP 地址。然后，服务器可以读取此标头以检索客户端的 IP 地址。

Automation Suite 支持两种类型的负载均衡器配置，如以下部分所示。

您可以将负载均衡器配置为使用会话持久性或粘性会话，但这不是必需的。

备注：

目前，Automation Suite 仅支持第 4 层（网络层）负载均衡器。

负载均衡器不支持 TLS 加密和终止。为了有效地操作服务，请确保配置负载均衡器以促进流量直通。

如果您正在使用 Azure 内部负载均衡器 (LB) 进行部署，则可能会遇到从后端虚拟机 (VM) 到 LB 前端 IP 的调用问题。出现此问题的原因是网络数据包的源 IP 和 MAC 地址不匹配。这会阻止收件人计算出正确的响应路径，从而导致从虚拟机到负载均衡器的调用失败。有关更多详细信息，请参阅 Azure 负载均衡器组件限制和后端流量故障排除。

服务器和节点池配置

这是负载均衡器的推荐配置。

配置后端池

您必须创建三个满足以下要求的后端池：

• 服务器池

  • 包含所有服务器节点。
  • 服务器池中不得有任何代理节点。

• 节点池

  • 包含所有服务器节点和非专用代理节点。专用代理节点包括 task-mining、gpu 和 asrobots。

• 临时注册表池

  • 仅包含安装了临时注册表的服务器节点。

  备注：

  临时注册表池仅在 Automation Suite 安装、节点加入和升级过程中使用。完成这些过程后，您可以关闭临时注册表池。

配置运行状况探测器

探测器	协议	端口	间隔	重新进入阈值	关联池
https-probe	TCP	443	15 秒	2	节点池
kubeapi-probe	TCP	6443	15 秒	2	服务器池

有关配置的更多详细信息，请参阅下图：

在负载均衡器上启用端口

确保在防火墙上为负载均衡器启用了以下端口：

端口	协议	用途	流量转发	运行状况探测器
443	TCP	对于 HTTPS（访问 Automation Suite）。	必须将此端口上的流量转发到节点池。	https-probe
30070 1	TCP	用于在安装和升级期间使用 HTTP 访问临时注册表。	必须将此端口上的流量转发到“临时注册表池”。	不适用
6443	TCP	用于使用 HTTPS 访问 Kube API；加入节点时需要。	此端口上的流量应转发到服务器池。	kubeapi-probe
9345	TCP	用于使用 HTTPS 访问 Kube API；加入节点时需要。	此端口上的流量应转发到服务器池。	kubeapi-probe

¹如果您没有符合 OCI 的外部注册表，则必须在负载均衡器和计划安装临时 Docker 注册表的服务器节点上打开端口 30070。

备注：

我们建议不要在集群外部公开除 HTTPS 端口以外的任何端口。在防火墙/安全组后面运行节点。

如果您在网络中设置了防火墙，请确保打开这些端口以允许来自这些端口的流量。

常规负载均衡器配置应类似于下图所示：

替代配置

重要提示：

此配置对安装过程中的节点故障没有弹性。

如果主服务器已关闭或已删除，则需要更新集群配置。

主服务器的 FQDN 需要重新映射到集群中可用的其他计算机。

配置后端池

创建一个后端池，如下所示：

• 创建节点池

在负载均衡器上启用端口

确保在防火墙上为负载均衡器启用了以下端口：

端口	协议	用途	流量转发
443	TCP	对于 HTTPS（访问 Automation Suite）。	此端口上的流量应转发到节点池。

配置运行状况探测器

探测器	协议	端口	间隔	重新进入阈值	关联池
https-probe	TCP	443	15 秒	2	节点池

有关配置的更多详细信息，请参阅下图。