Ausgehenden Internetzugang für Pods aktivieren

Fokusmodus

Ausgehenden Internetzugang für Pods aktivieren - Amazon EKS

Hilf mit, diese Seite zu verbessern

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Wenn Sie zu diesem Benutzerhandbuch beitragen möchten, wählen Sie den GitHub Link Diese Seite bearbeiten auf, der sich im rechten Bereich jeder Seite befindet.

Hilf mit, diese Seite zu verbessern

Wenn Sie zu diesem Benutzerhandbuch beitragen möchten, wählen Sie den GitHub Link Diese Seite bearbeiten auf, der sich im rechten Bereich jeder Seite befindet.

Gilt für: Linux IPv4 Fargate-Knoten, Linux-Knoten mit Amazon-Instances EC2

Wenn Sie Ihren Cluster mithilfe der IPv6 Familie bereitgestellt haben, gelten die Informationen in diesem Thema nicht für Ihren Cluster, da IPv6 Adressen nicht netzwerkübersetzt werden. Weitere Informationen zur Verwendung von IPv6 mit Ihrem Cluster finden Sie unter Erfahren Sie mehr über IPv6 Adressen für Cluster, Pods und Dienste.

Standardmäßig wird jedem Pod in Ihrem Cluster eine private IPv4 Adresse aus einem CIDR-Block (Classless Interdomain Routing) zugewiesen, der der VPC zugeordnet ist, in der der Pod bereitgestellt wird. Pods in derselben VPC kommunizieren miteinander und verwenden diese privaten IP-Adressen als Endpunkte. Wenn ein Pod mit einer IPv4 Adresse kommuniziert, die sich nicht in einem CIDR-Block befindet, der Ihrer VPC zugeordnet ist, übersetzt das Amazon VPC CNI-Plugin (sowohl für Linux als auch für Windows) die IPv4 Adresse des Pods standardmäßig in die primäre private IPv4 Adresse der primären elastic network interface des Knotens, auf dem der Pod läuft, standardmäßig *.

Anmerkung

Bei Windows-Knoten müssen zusätzliche Details berücksichtigt werden. Standardmäßig ist das VPC-CNI-Plug-In für Windows mit einer Netzwerkkonfiguration definiert, in der der Datenverkehr zu einem Ziel innerhalb derselben VPC für SNAT ausgeschlossen ist. Das bedeutet, dass für die interne VPC-Kommunikation SNAT deaktiviert ist und die einem Pod zugewiesene IP-Adresse innerhalb der VPC routbar ist. Bei Datenverkehr zu einem Ziel außerhalb der VPC wird die Quell-Pod-IP jedoch an die primäre IP-Adresse der Instanz ENI gesendet. Diese Standardkonfiguration für Windows stellt sicher, dass der Pod genauso auf Netzwerke außerhalb Ihrer VPC zugreifen kann wie die Host-Instance.

Folgen dieses Verhaltens:

Ihre Pods können nur dann mit Internetressourcen kommunizieren, wenn dem Knoten, auf dem sie ausgeführt werden, eine öffentliche oder elastische IP-Adresse zugewiesen wurde und er sich in einem öffentlichen Subnetz befindet. Die einem öffentlichen Subnetz zugeordnete Routing-Tabelle enthält eine Route zu einem Internet-Gateway. Wir empfehlen, Knoten nach Möglichkeit in privaten Subnetzen bereitzustellen.
Bei früheren Versionen des Plug-ins können Ressourcen1.8.0, die sich in Netzwerken befinden oder VPCs die über VPC-Peering, eine Transit-VPC oder AWS Direct Connect mit Ihrer Cluster-VPC verbunden sind, keine Kommunikation mit Ihren Pods hinter sekundären elastischen Netzwerkschnittstellen initiieren. Ihre Pods können jedoch die Kommunikation mit diesen Ressourcen initiieren und Antworten von ihnen erhalten.

Wenn eine der folgenden Aussagen in Ihrer Umgebung zutrifft, ändern Sie die Standardkonfiguration mit dem folgenden Befehl.

Sie haben Ressourcen in Netzwerken oder VPCs die über VPC-Peering, eine Transit-VPC oder AWS Direct Connect mit Ihrer Cluster-VPC verbunden sind und die die Kommunikation mit Ihren Pods über eine IPv4 Adresse initiieren müssen und Ihre Plugin-Version ist älter als. 1.8.0
Ihre Pods befinden sich in einem privaten Subnetz und müssen ausgehend mit dem Internet kommunizieren. Das Subnetz hat eine Route zu einem NAT-Gateway.


kubectl set env daemonset -n kube-system aws-node AWS_VPC_K8S_CNI_EXTERNALSNAT=true

Anmerkung

Die Konfigurationsvariablen AWS_VPC_K8S_CNI_EXTERNALSNAT und AWS_VPC_K8S_CNI_EXCLUDE_SNAT_CIDRS CNI gelten nicht für Windows-Knoten. Die Deaktivierung von SNAT wird für Windows nicht unterstützt. Um eine Liste von IPv4 CIDRs aus SNAT auszuschließen, können Sie dies definieren, indem Sie den ExcludedSnatCIDRs Parameter im Windows-Bootstrap-Skript angeben. Weitere Informationen zur Verwendung dieses Parameters finden Sie unter Bootstrap-Skript-Konfigurationsparameter.

Host-Netzwerke

* Wenn die Spezifikation eines Pods Folgendes enthält hostNetwork=true (Standard istfalse), wird seine IP-Adresse nicht in eine andere Adresse übersetzt. Dies ist standardmäßig für das kube-proxy Amazon VPC CNI-Plugin für Kubernetes-Pods der Fall, die auf Ihrem Cluster ausgeführt werden. Bei diesen Pods entspricht die IP-Adresse der primären IP-Adresse des Knotens, sodass die IP-Adresse des Pods nicht übersetzt wird. Weitere Informationen zu den hostNetwork Einstellungen eines Pods finden Sie unter PodSpec v1 core in der Kubernetes-API-Referenz.