步骤 7：配置节点端口

下图描述了在执行 Automation Suite 安装之前必须建立的端口通信系统：

确保在防火墙上为每个来源启用以下端口：

端口	协议	来源	用途	要求
22	TCP	跳转服务器/客户端计算机	对于 SSH（安装、集群管理调试）	不要打开此互联网端口。 允许访问客户端计算机或跳转服务器。
443	TCP	集群中的所有节点和负载均衡器	对于 HTTPS（访问 Automation Suite）。	此端口必须具有来自集群中所有节点和负载均衡器的入站和出站连接。
2379	TCP	集群中的所有节点	etcd 客户端端口	不要打开此互联网端口。 必须确保节点之间通过私有 IP 地址进行访问。
2380	TCP	集群中的所有节点	etcd 对等端口	不要打开此互联网端口。 必须确保节点之间通过私有 IP 地址进行访问。
6443	TCP	集群中的所有节点	用于使用 HTTPS 访问 Kube API；加入节点时需要。	此端口必须具有来自集群中所有节点的入站和出站连接。
8472	UDP	集群中的所有节点	Flannel 需要 (VXLAN)	不要打开此互联网端口。 必须确保节点之间通过私有 IP 地址进行访问。
9090	TCP	集群中的所有节点	由 Cilium 用于监控和处理 Pod 崩溃	此端口必须具有来自集群中所有节点的入站和出站连接。
9345	TCP	集群中的所有节点和负载均衡器	用于使用 HTTP 访问 Kube API；加入节点时需要	此端口必须具有来自集群中所有节点和负载均衡器的入站和出站连接。
10250	TCP	集群中的所有节点	kubelet/指标服务器	不要打开此互联网端口。 必须确保节点之间通过私有 IP 地址进行访问。
30071	TCP	集群中的所有节点	用于集群中节点之间内部通信的 NodePort 端口	不要打开此互联网端口。 必须确保节点之间通过私有 IP 地址进行访问。

离线安装需要以下附加端口：

端口	协议	来源	用途	要求
80	TCP	集群中的所有节点	用于发送系统电子邮件通知	不要打开此互联网端口。 必须确保通过私有 IP 地址在节点和 SMTP 服务器之间进行访问。
587	TCP	集群中的所有节点	用于发送系统电子邮件通知	不要打开此互联网端口。 必须确保通过私有 IP 地址在节点和 SMTP 服务器之间进行访问。
300701	TCP	您计划在其上触发安装或升级的计算机。	用于在使用 HTTP 安装和升级期间访问临时注册表。	必须将此端口上的流量转发到服务器池。

¹如果离线安装中没有可用的外部注册表，请在计划触发安装或升级的计算机上打开端口30070 。

重要提示：

Exposing port 6443 outside the cluster boundary is mandatory if there is a direct connection to the Kerberos API.

Port 9345 is used by nodes to discover existing nodes and join the cluster in the multi-node deployment. To keep the high availability discovery mechanisms running, we recommend exposing it via the load balancer with health check.

此外，请确保从所有节点连接到 SQL Server。 不要在其中一个Istio 保留端口上公开 SQL Server，因为这可能会导致连接失败。

如果您在网络中设置了防火墙，请确保根据上述要求打开这些端口并允许流量。