检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
CCE节点上监听的端口列表 表1 Node节点监听端口 目的端口 协议 端口说明 10248 TCP kubelet健康检查端口 10250 TCP kubelet服务端口，提供节点上工作负载的监控信息和容器的访问通道 10255 TCP kubelet只读端口，提供节点上工作负载的监控信息
此配置由集群的service-node-port-range配置项确定范围，建议配置在30000-32767之间 端口号小于20106会和CCE组件的健康检查端口冲突，引发集群不可用 端口号高于32767会和net.ipv4.ip_local_port_range范围冲突，影响性能 业务端口 service服务暴露的端口
CCE集群节点中安装kubelet的端口主要有哪些？ CCE集群节点中安装kubelet的端口主要有如下几个： 10250 –port：kubelet服务与API Server通信的端口。 10248 –healthz-port：健康检查服务的端口。 10255 –read-only-port：只读端口，用于对外提供监控指标。
此配置是Nodeport类型的service可分配端口范围 配置建议： 30000-32767 端口号小于20106会和CCE组件的健康检查端口冲突，引发集群不可用 端口号高于32767会和net.ipv4.ip_local_port_range范围冲突，影响性能 父主题： 集群
r IP。 容器端口：指容器中工作负载启动监听的端口。端口根据每个业务的不同而不同，一般在容器镜像中已指定。 服务端口：指该容器工作负载发布为服务后，所设定的服务端口号，请填写1-65535之间的整数值。在内部工作负载互访时，将通过“Cluster IP:访问端口”来访问。 节点访问（通过节点私有IP）
数请参见表1。 端口配置： 协议：支持选择TCP协议或UDP协议。 容器端口：工作负载程序实际监听的端口，需用户确定。例如nginx默认使用80端口。 服务端口：Service使用的端口。本例中选择“区间端口监听”，可以同时监听指定端口号范围内的端口，将这些端口收到的请求都转发到
为ELB Ingress配置多个监听端口 Ingress支持配置自定义监听端口，可为同一个服务配置HTTP和HTTPS协议的监听器，例如一个服务可以同时暴露HTTP协议的80端口和HTTPS的443端口对外提供访问。 前提条件 已创建一个CCE Standard或CCE Turbo集群，且集群版本满足以下要求：
负载均衡的节点端口通过“编辑YAML”可以查看。 如下图所示： nodePort: 30637为节点对外暴露的端口。targetPort: 80为Pod对外暴露的端口。port: 123为服务对外暴露的端口，负载均衡类型的服务同时使用该端口配置ELB的监听器。 找到节点端口（nodePort）后，使用容
target_service_port 是 String spec.ports添加健康检查的目标端口，由协议、端口号组成，如：TCP:80 monitor_port 否 String 重新指定的健康检查端口，不指定时默认使用业务端口。 说明： 请确保该端口在Pod所在节点已被监听，否则会影响健康检查结果。
HTTP请求检查 TCP 端口检查 对于提供TCP通信服务的容器，集群周期性地对该容器建立TCP连接，如果连接成功，则证明探测成功，否则探测失败。选择TCP端口探测方式，必须指定容器监听的端口。 例如：有一个nginx容器，它的服务端口是80，对该容器配置了TCP端口探测，指定探测端口为80，那
对外访问端口 路由对接的负载均衡器对外暴露的访问端口 参数名 取值范围 默认值 是否允许修改 作用范围 k8s annotation: kubernetes.io/elb.port 1-65535 无 允许 CCE Standard/CCE Turbo 负载均衡器对外端口： 取值范围：1~65535。
健康检查的目标端口 spec.ports添加健康检查的目标端口，由协议、端口号组成，如：TCP:80 参数名 取值范围 默认值 是否允许修改 作用范围 target_service_port 无 无 允许 CCE Standard/CCE Turbo 健康检查端口 重新指定的健康检查端口，不指定时默认使用业务端口。
15及以上版本的集群创建时开启了IPv6功能才会显示。 端口配置： 协议：请根据业务的协议类型选择。 服务端口：Service使用的端口，端口范围为1-65535。 容器端口：工作负载程序实际监听的端口，需用户确定。例如nginx默认使用80端口。 单击“确定”，创建Service。 通过kubectl命令行创建
空间创建80端口的http监听，在CCE中只允许在本命名空间下创建同一端口的其它ingress（实际转发策略可根据域名、service来区分）；所以出现客户侧在其它命名空间无法创建相同端口的ingress的情况（会提示端口冲突）。 解决方法 可以使用yaml创建，端口冲突只有前台限制，后台未限制。
“配置规则”。 修改入方向的5443端口规则，单击“修改”。 根据需求修改允许访问的源地址。例如，客户端需要访问API Server的IP为100.*.*.*，则可添加5443端口入方向规则的源地址为100.*.*.*。 除客户端IP外，端口还需保留对VPC网段、容器网段和托管网
协议：TCP。 服务端口：访问Service的端口。 容器端口：容器中应用启动监听的端口，该应用镜像请设置为：8080。 节点端口：选择“自动生成”，系统会自动在当前集群下的所有节点上打开一个真实的端口号，映射到服务端口。 图3 创建服务 单击“创建工作负载”。 工作负载创建完成后，在工作负载列表中可查看到运行中的工作负载。
IP和端口，从而让Service在节点上可以被查询到。 下图是一个实际访问Service的图示，Pod X访问Service（10.247.124.252:8080），在往外发数据包时，在节点上根据iptables规则目的IP:Port被随机替换为Pod1的IP:Port，从而通过Service访问到实际的Pod。
会显示。 端口配置： 协议：请根据业务的协议类型选择。 服务端口：Service使用的端口，端口范围为1-65535。 容器端口：工作负载程序实际监听的端口，需用户确定。例如nginx默认使用80端口。 节点端口：即NodePort，建议选择“自动生成”；也可以指定端口，默认范围为30000-32767。
集群节点如何不暴露到公网？ 问题描述： 集群节点如何不暴露到公网？ 问题解决： 如果不需要访问集群节点的22端口，可在安全组规则中禁用22端口的访问。 如非必须，集群节点不建议绑定EIP。 如有远程登录集群节点的需求，推荐使用华为云堡垒机服务作为中转连接集群节点。 父主题： 安全加固
16.10 CCE集群控制面已经通过安全组进行防护，只允许从租户节点或者相邻节点访问安全端口，默认安全。 集群node节点上系统组件监听在127.0.0.1的端口只涉及健康检查、监控信息查询等请求，不会有信息泄露风险。 综上，该CVE对CCE集群影响不大。 漏洞修复方案 目前官方
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
