Hinter einem Proxy installieren

Auf dieser Seite wird gezeigt, wie Sie Proxy- und Firewallregeln für Google Distributed Cloud einrichten.

Proxyserver konfigurieren

Wenn die Maschinen, die Sie für Bootstrapping verwenden, und Clusterknoten einen Proxyserver zum Zugriff auf das Internet verwenden, müssen Sie Folgendes tun:

• Proxys für den Paketmanager auf Clusterknoten konfigurieren
• Proxydetails in der Cluster-Konfigurationsdatei konfigurieren

Vorbereitung

Ihr Proxyserver muss Verbindungen zu den folgenden Adressen zulassen:

Zusätzlich zu diesen URLs muss der Proxyserver auch alle Paketspiegel, die der Paketmanager Ihres Betriebssystems benötigt, zulassen. Sie können die Paketmanagerkonfiguration aktualisieren, um eine einfacher deterministische Liste zu verwenden.

Proxys für den Paketmanager auf Clusterknoten konfigurieren

In Google Distributed Cloud wird der APT-Paketmanager unter Ubuntu und der DNF-Paketmanager unter Red Hat Enterprise Linux verwendet. Prüfen Sie, ob der OS-Paketmanager die richtige Proxykonfiguration hat.

Weitere Informationen zur Konfiguration des Proxys finden Sie in der Dokumentation Ihrer OS-Distribution. Die folgenden Beispiele zeigen eine Möglichkeit zum Konfigurieren der Proxyeinstellungen:

sudo touch /etc/apt/apt.conf.d/proxy.conf

echo 'Acquire::http::Proxy "http://USERNAME:PASSWORD@DOMAIN";' \
    >> /etc/apt/apt.conf.d/proxy.conf

echo 'Acquire::https::Proxy "http://USERNAME:PASSWORD@DOMAIN";' \
    >> /etc/apt/apt.conf.d/proxy.conf

echo "proxy=http://USERNAME:PASSWORD@DOMAIN" >> /etc/dnf/dnf.conf

Proxydetails in der Cluster-Konfigurationsdatei konfigurieren

Legen Sie in der Clusterkonfigurationsdatei die folgenden Werte fest, um den Cluster für die Verwendung des Proxys zu konfigurieren:

proxy.url

Ein String, der die Proxy-URL angibt. Die Bootstrap- und Knotenmaschinen greifen über diesen Proxy auf das Internet zu. Der Proxy-URL-String muss mit dem Schema beginnen, z. B. http:// oder https://.

proxy.noProxy

Eine Liste von IP-Adressen, Hostnamen und Domainnamen, die nicht über den Proxyserver laufen sollen.

In den meisten Fällen müssen Sie dieser Liste keine Elemente hinzufügen.

Anwendungsfälle für noProxy:

• Verwenden eines privaten Paket-Spiegel, die sich im selben privaten Netzwerk befindet (kein Proxy für den Zugriff erforderlich)

• Verwenden einer privaten Registry-Spiegel, die sich im selben privaten Netzwerk befindet (kein Proxy für den Zugriff erforderlich)

Beispiel

Das folgende Beispiel zeigt die Proxy-Einstellungen in einer Cluster-Konfigurationsdatei:

  proxy:
     url: http://USERNAME:PASSWORD@DOMAIN
     noProxy:
     - example1.com
     - example2.com

Proxykonfigurationen für GKE Identity Service

Wenn Sie GKE Identity Service für die Authentifizierung in Google Distributed Cloud-Clustern verwenden, sind die folgenden zusätzlichen Schritte erforderlich, damit GKE Identity Service hinter einem Proxy funktioniert.

1. Legen Sie in der Clusterkonfigurationsdatei die Proxydetails im Abschnitt OIDCauthentication für die GKE Identity Service-Einstellungen fest.

     authentication:
       oidc:
         proxy: http://USERNAME:PASSWORD@DOMAIN
   

2. Aktualisieren Sie die Konfiguration Ihres Proxyservers, um Verbindungen zu den Authentifizierungs-URLs Ihres OIDC-Anbieters zuzulassen.

Verwendung des Proxys innerhalb des Clusters

Als Faustregel gilt, dass bmctl-Befehle und die von ihnen ausgelösten Prozesse die Proxy-Konfiguration verwenden, die durch die Umgebungsvariablen HTTPS_PROXY und NO_PROXY definiert ist, sofern diese definiert sind. Andernfalls verwendet bmctl die Proxykonfiguration aus der Clusterkonfigurationsdatei. Andere Befehle, die auf der Administrator-Workstation, auf Clusterknotenmaschinen oder vom Bootstrap-Cluster ausgeführt werden, verwenden die Proxykonfiguration aus der Clusterkonfigurationsdatei.

Der OS-Paketmanager auf jedem Knoten verwendet seine eigene Konfigurationsdateien für Proxy-Einstellungen.

Proxykonfiguration auf dem Bootstrap-Computer überschreiben

Sie können die Administrator-Workstation hinter einem anderen Proxy ausführen als dem, der von Ihren Knotenmaschinen verwendet wird, indem Sie die Proxyeinstellungen in der Clusterkonfigurationsdatei überschreiben. Wenn Sie die Proxyeinstellungen überschreiben möchten, legen Sie die folgenden Umgebungsvariablen auf der Bootstrap-Maschine fest:

export HTTPS_PROXY=http://USERNAME:PASSWORD@DOMAIN

Ersetzen Sie USERNAME:PASSWORD@DOMAIN durch Details, die für Ihre Konfiguration spezifisch sind.

export NO_PROXY=example1.com,example2.com

Ersetzen Sie example1.com,example2.com durch IP-Adressen, Hostnamen und Domainnamen, die nicht über den Proxyserver geleitet werden sollen.

Nebeneffekte

Bei Ausführung als Root aktualisiert bmctl die Docker-Proxy-Konfiguration auf dem Bootstrap-Computer. Wenn Sie bmctl nicht als Root ausführen, konfigurieren Sie den Docker-Proxy manuell.

Firewallregeln

Richten Sie Ihre Firewall-Regeln wie in den folgenden Abschnitten beschrieben ein, um den beschriebenen Traffic zuzulassen, der für Google Distributed Cloud benötigt wird.

Die erforderlichen Portanforderungen für Google Distributed Cloud finden Sie unter Portnutzung.

Firewallregeln für IP-Adressen von Clusterknoten

In der folgenden Tabelle werden die Firewallregeln für die in Ihren Clustern verfügbaren IP-Adressen beschrieben.

Firewallregeln für die verbleibenden Komponenten

Die in der folgenden Tabelle beschriebenen Regeln gelten für alle anderen Komponenten, die nicht im vorherigen Abschnitt aufgeführt sind.