检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
用户可根据安全需求,登录CCE控制台,单击服务列表中的“网络 > 虚拟私有云 VPC”,在网络控制台单击“访问控制 > 安全组”,找到集群对应的安全组规则进行修改和加固。 如集群在创建时需要指定节点安全组,请参考集群自动创建的默认安全组规则放通指定端口,以保证集群中的正常网络通信。 不同网络模型的默认安全组规则如下:
NetworkPolicy的规则可以选择如下3种: namespaceSelector:根据命名空间的标签选择,具有该标签的命名空间都可以访问。 podSelector:根据Pod的标签选择,具有该标签的Pod都可以访问。 ipBlock:根据网络选择,网段内的IP地址都可以访问。(仅Egress支持IPBlock)
Ingress控制器,需将nginx替换为自定义的控制器名称,用于识别Ingress对接的控制器实例。 独享型ELB规格必须支持网络型(TCP/UDP),且网络类型必须支持私网(有私有IP地址)。 运行Nginx Ingress控制器实例的节点以及该节点上运行的容器,无法访问Nginx
图3 容器网络配置(以CCE Turbo为例) 表2 容器网络配置 参数 说明 容器网络模型 CCE Standard集群支持选择“VPC网络”和“容器隧道网络”。 CCE Turbo集群支持选择“云原生网络2.0”。 如需了解更多网络模型差异,请参见容器网络模型对比。 容器网段
名空间下 配置项标签 配置项附带的标签 参数名 取值范围 默认值 是否允许修改 作用范围 labels 无 无 允许 - 标签是资源对象的一种附加标识,可以通过标签进行过滤查询 配置建议: 用户按需将一些查询和管理维度(如配置项所属业务领域、微服务等)抽象为标签,方便对配置项进行过滤查询
节点上。 - 标签名 设置节点亲和性时,填写需要匹配的节点标签。 该标签可以使用系统默认的标签,也可以使用自定义标签。 gpu 操作符 可以设置六种匹配关系(In、NotIn、Exists、DoesNotExist、Gt、Lt)。 In:亲和/反亲和对象的标签在标签值列表(values字段)中。
实现了容器与宿主机之间的资源隔离与限制。Namespace提供了一种内核级别的环境隔离功能,它能够限制进程的视图,使其只能访问特定的资源集合,如文件系统、网络、进程和用户等。而Cgroup作为Linux内核的资源管理机制,能够限制进程对CPU、内存、磁盘和网络等资源的使用,防止单
登录CCE控制台,单击集群列表中的集群名称。 在左侧导航栏中选择“配置中心”,切换至“网络配置”页签。 查看“容器网络配置”,以default-network(默认容器子网)为例,复制容器子网的“IPv4网段”。 在左侧导航栏中选择“总览”,查看“网络信息”,单击“节点默认安全组”,跳转到安全组页面。 选择“
为弹性云服务器绑定弹性IP。 图1 节点是否已绑定弹性IP 排查项二:节点是否配置网络ACL 登录VPC控制台。 单击左侧导航栏的“访问控制 > 网络ACL”。 排查节点所在集群的子网是否配置了网络ACL,并限制了外部访问。 排查项三:检查容器DNS配置 在容器中执行cat /etc/resolv
取值为Local时,在不同容器网络模型和服务转发模式下访问不通的场景如下: 多实例的工作负载需要保证所有实例均可正常访问,否则可能出现概率性访问不通的情况。 CCE Turbo集群(云原生2.0网络模型)中,仅当Service的后端对接使用主机网络(HostNetwork)的Pod时,亲和级别支持配置为节点级别。
无法创建相同端口的ingress的情况(会提示端口冲突)。 解决方法 可以使用yaml创建,端口冲突只有前台限制,后台未限制。 父主题: 网络指导
在VPC网络集群中访问集群外地址时使用Pod IP作为客户端源IP 在使用VPC网络的CCE集群中,Pod与集群外部通信时,系统默认会将源Pod的IP地址转换为节点的IP地址,使Pod以节点IP的形式与外部进行通信。这一过程被称为“Pod IP伪装”,技术上也称为源网络地址转换(Source
01/NVIDIA-Linux-x86_64-470.103.01.run),各GPU节点均需要绑定EIP。获取驱动链接方法请参考获取驱动链接-公网地址。 若下载链接为OBS上的链接,无需绑定EIP 。获取驱动链接方法请参考获取驱动链接-OBS地址。 请确保Nvidia驱动版本与GPU节点适配。配套关系请参见GPU驱动支持列表。
问题场景 集群版本:v1.15.6-r1版本 集群类型:CCE集群 网络模式:容器隧道网络模式 节点操作系统:CentOS 7.6 上述集群的用户配置使用networkpolicy后,由于节点上canal-agent网络组件与CentOS 7.6内核存在不兼容,概率性导致CentOS
ELB侧开启获取客户端IP 独享型ELB默认开启源地址透传功能,无需手动开启。 在管理控制台左上角单击图标,选择区域和项目。 选择“服务列表 > 网络 > 弹性负载均衡 ELB”。 在“弹性负载均衡器”界面,单击需要操作的负载均衡名称。 切换到“监听器”页签,单击需要修改的监听器名称右侧
此处tls.crt和tls.key为示例,请获取真实密钥进行替换。tls.crt和tls.key的值为Base64加密后的内容。 父主题: 网络异常问题排查
6双栈网卡,请勿在页面上直接移除或调用VPC的API移除,以免影响您的业务。 通过控制台设置 您可以在创建工作负载时,选择“高级配置 > 网络配置”设置IPv6共享带宽。 通过kubectl命令行设置 您可以通过对Deployment添加annotations指定Pod的IPv6双栈网卡将要加入的共享带宽,如下所示。
高级转发规则详情请参见为ELB Ingress配置高级转发规则。 修改Ingress配置,设置转发策略中的规则数量不超过上限。 父主题: 网络异常问题排查
更新完密钥后,登录网络控制台,在左侧导航栏选择“弹性负载均衡 > 证书管理”,通过查看证书的更新时间确认服务器证书更新是否成功。 如果您的Ingress使用ELB方式创建监听器服务器证书,请在ELB侧直接修改证书内容。 获取ELB监听器的服务器证书ID。 登录网络控制台,在左侧导航栏选择“弹性负载均衡
type L7.","error_code":"ELB.8907","request_id":"xxx"}, status code: 409 网络型ELB无法创建七层监听器。 按需准确选择对应规格的负载均衡器实例。 如果需要创建HTTP/HTTPS类型的七层监听器,请使用包含应用型规格的负载均衡器实例。