检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
服务加入Istio后，如何获取客户端真实源IP？ 问题现象 服务启用Istio后，访问日志中无法获取到客户端源IP。 解决方案 本文以绑定ELB类型Service的nginx应用为例，详细步骤如下： ELB侧开启获取客户端IP 独享型ELB默认开启源地址透传功能，无需手动开启。
ECS）使用IPv4，那么启用IPv6后，工作节点可在双栈模式下运行，即工作节点可以拥有两个不同版本的IP地址：IPv4地址和IPv6地址，这两个IP地址都可以进行内网/公网访问。 图1 IPv4/IPv6双栈集群示意图 使用场景 如果您的应用需要为使用IPv6终端的用户提供访问
为ELB Ingress配置HTTPS证书 Ingress支持配置SSL/TLS证书，以HTTPS协议的方式对外提供安全服务。 当前支持在集群中使用以下方式配置Ingress证书： 使用TLS类型的密钥证书：需要将证书导入至Secret中，CCE会将该证书自动配置到ELB侧（证书
取客户端源IP。 当节点访问类型Service的“服务亲和”配置为“节点级别”时，流量不经过转发直接访问节点上的容器，因此Service后端的容器可以获取客户端源IP。 若已使用Istio服务网格，获取源IP地址的方法请参见服务加入Istio后，如何获取客户端真实源IP？ 支持获取源IP地址的场景
ELB IPv4私网地址检查异常处理 检查项内容 检查集群内负载均衡类型的Service所关联的ELB实例是否包含IPv4私网IP。 解决方案 解决方案一：删除关联无IPv4私网地址ELB的负载均衡型Service。 解决方案二：为无IPv4私网IP地址的ELB绑定一个私网IP。步骤如下：
CCE集群的节点可以更改IP吗？ 不支持修改私网IP：当前CCE的集群中把节点私网IP作为kubernetes node名称，kubernetes node名称不支持修改，修改后会导致节点不可用及容器网络异常等故障，所以不支持更换节点私网IP。 支持修改公网IP：节点上的公网IP可以在ECS控制台更换。
Name，缩写SAN）允许将多种值（包括IP地址、域名等）与证书关联。SAN通常在TLS握手阶段被用于客户端校验服务端的合法性：服务端证书是否被客户端信任的CA所签发，且证书中的SAN是否与客户端实际访问的IP地址或DNS域名匹配。 当客户端无法直接访问集群内网私有IP地址或者公网弹性IP地址时，您可以将
前剩余可加入的IPv6网卡数。 配置了共享带宽的IPv6双栈Pod：Pod创建时，CNI会等待IPv6双栈网卡插入共享带宽完成后才会返回成功；Pod删除时，会等待Pod完全删除或最长30秒删除状态后进行IPv6双栈网卡移出共享带宽。 如果Pod对应的IPv6双栈网卡加入共享带宽失
在VPC网络集群中访问集群外地址时使用Pod IP作为客户端源IP 在使用VPC网络的CCE集群中，Pod与集群外部通信时，系统默认会将源Pod的IP地址转换为节点的IP地址，使Pod以节点IP的形式与外部进行通信。这一过程被称为“Pod IP伪装”，技术上也称为源网络地址转换（Source
如何使容器重启后所在容器IP仍保持不变？ 单节点场景 如果集群下仅有1个节点时，要使容器重启后所在容器IP保持不变，需在工作负载中配置主机网络，在工作负载的yaml中的spec.spec.下加入hostNetwork: true字段。 多节点场景 如果集群下有多个节点时，除进行以
r，负载均衡器只支持ipv4私网；设置pulic，负载均衡器支持ipv4私网和ipv4公网。设置public会创建对应的弹性公网ip，并收取一定费用。 配置建议： 需要对外网提供服务时，需要有公网访问地址，需要选择public类型。无对外访问需求，仅在局域网内访问时，设置inner类型即可。
r，负载均衡器只支持ipv4私网；设置pulic，负载均衡器支持ipv4私网和ipv4公网。设置public会创建对应的弹性公网ip，并收取一定费用。 配置建议： 需要对外网提供服务时，需要有公网访问地址，需要选择public类型。无对外访问需求，仅在局域网内访问时，设置inner类型即可。
集群与虚拟私有云、子网的关系是怎样的？ “虚拟私有云”类似家庭生活中路由器管理192.168.0.0/16的私有局域网，是为用户在云上构建的一个私有网络，是弹性云服务器、负载均衡、中间件等工作的基本网络环境。根据实际业务需要可以设置不同规模的网络，一般可为10.0.0.0/8~24，172
使用已有EIP的annotation配置 annotation 是否可选 参数说明 yangtse.io/eip-id 必选 弹性公网IP的ID。 获取方法： 登录弹性公网IP控制台，在弹性公网IP列表单击需要绑定的EIP名称，找到“ID”字段复制即可。 检查Pod的EIP就绪 容器网络控制器会在Pod
iptables与IPVS如何选择 kube-proxy是Kubernetes集群的关键组件，负责Service和其后端容器Pod之间进行负载均衡转发。 CCE当前支持iptables和IPVS两种服务转发模式，各有优缺点。 特性差异 iptables IPVS 定位 成熟稳定的
容器访问公网有如下方法可以实现。 给容器所在节点绑定弹性公网IP（容器网络模型为VPC网络或容器隧道网络）。 给Pod IP绑定弹性公网IP（仅支持云原生2.0网络模型集群，在VPC控制台中手动为Pod的弹性网卡或辅助弹性网卡绑定弹性公网IP。不推荐使用，因为Pod被重调度后IP会变化导致新的Pod无法访问公网）。
erences的Pod固定IP，暂不支持Deployment、DaemonSet等其他类型的工作负载配置Pod固定IP，且不支持已设置HostNetwork的Pod配置固定IP。 对Pod的IP地址无明确要求的业务不建议配置固定IP，因为配置了固定IP的Pod，Pod重建的耗时会略微变长同时IP地址的利用率会下降。
服务转发模式 支持IPVS和iptables两种转发模式，具体请参见iptables与IPVS如何选择。 iptables：社区传统的kube-proxy模式。适用于Service数量较少或客户端会出现大量并发短链接的场景。IPv6集群不支持iptables模式。 IPVS：吞吐更高
216.34 ipv6enable Boolean 参数解释： 集群是否使用IPv6模式，1.15版本及以上支持。 约束限制： 开启IPv6后不支持iptables转发模式；VPC网络模式不支持IPv4/IPv6双栈网络。 取值范围： true: 开启IPv4/IPv6双栈模式 false:
如果业务容器需使用主机网络模式且又监听在非安全端口上，可以通过在节点上手动添加iptables规则来缓解此漏洞。 执行以下命令，在集群中配置iptables规则，用于拒绝非本地对127.0.0.1的访问流量： iptables -I INPUT --dst 127.0.0.0/8 ! --src
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
