步骤 10：配置节点端口

备注：

不建议也不支持更改 IP 表。

确保在防火墙上为每个来源启用以下端口：

端口	协议	来源	用途	要求
22	TCP	跳转服务器/客户端计算机	对于 SSH（安装、集群管理调试）	不要打开此互联网端口。允许访问客户端计算机或跳转服务器。
443	TCP	集群中的所有节点和负载均衡器	对于 HTTPS（访问 Automation Suite）。	此端口必须具有来自集群中所有节点和负载均衡器的入站和出站连接。
2379	TCP	集群中的所有节点	etcd 客户端端口	不要打开此互联网端口。必须确保通过私有 IP 地址在节点之间进行访问。
2380	TCP	集群中的所有节点	etcd 对等端口	不要打开此互联网端口。必须确保通过私有 IP 地址在节点之间进行访问。
6443	TCP	集群中的所有节点	用于使用 HTTPS 访问 Kube API；加入节点时需要。	此端口必须具有来自集群中所有节点的入站和出站连接。
8472	UDP	集群中的所有节点	对于 Cilium 为必需。	不要打开此互联网端口。必须确保通过私有 IP 地址在节点之间进行访问。
9090	TCP	集群中的所有节点	由 Cilium 用于监控和处理 Pod 崩溃	此端口必须具有来自集群中所有节点的入站和出站连接。
9345	TCP	集群中的所有节点和负载均衡器	用于使用 HTTPS 访问 Kube API；加入节点时需要	此端口必须具有来自集群中所有节点和负载均衡器的入站和出站连接。
10250	TCP	集群中的所有节点	kubelet/指标服务器	不要打开此互联网端口。必须确保通过私有 IP 地址在节点之间进行访问。
30071	TCP	集群中的所有节点	用于集群中节点之间内部通信的 NodePort 端口	不要打开此互联网端口。必须确保通过私有 IP 地址在节点之间进行访问。

离线安装需要以下附加端口：

端口	协议	来源	用途	要求
80	TCP	集群中的所有节点	用于发送系统电子邮件通知	不要打开此互联网端口。必须确保通过私有 IP 地址在节点和 SMTP 服务器之间进行访问。
587	TCP	集群中的所有节点	用于发送系统电子邮件通知	不要打开此互联网端口。必须确保通过私有 IP 地址在节点和 SMTP 服务器之间进行访问。
300701	TCP	您计划在其上触发安装或升级的计算机。	用于在安装和升级期间使用 HTTP 访问临时注册表。	必须将此端口上的流量转发到临时注册表池。

¹如果外部注册表在离线安装中不可用，请在计划触发安装或升级的计算机上打开端口30070 。

重要提示：

如果有到 Kerberos API 的直接连接，则必须在集群边界外公开端口 6443。

端口 9345 由节点用于发现现有节点并加入多节点部署中的集群。为了保持高可用性发现机制运行，我们建议通过负载均衡器公开该端口与运行状况检查。

此外，请确保从所有节点都已与 SQL Server 相连。不要在其中一个 Istio 保留端口上公开 SQL Server，因为这可能会导致连接失败。

如果您在网络中设置了防火墙，请确保根据上述要求打开这些端口并允许流量进出。