Menginstal di belakang proxy

Halaman ini menunjukkan cara menyiapkan aturan proxy dan firewall untuk Google Distributed Cloud.

Mengonfigurasi server proxy

Jika mesin yang Anda gunakan untuk node bootstrap dan cluster menggunakan server proxy untuk mengakses internet, Anda harus:

• Mengonfigurasi proxy untuk pengelola paket pada node cluster
• Konfigurasi detail proxy di file konfigurasi cluster.

Prasyarat

Server proxy Anda harus mengizinkan koneksi ke alamat berikut:

Selain URL ini, server proxy juga harus mengizinkan pencerminan paket yang diperlukan oleh pengelola paket sistem operasi Anda. Anda dapat memperbarui paket menggunakan daftar yang lebih determenistik, sehingga lebih mudah dikelola.

Mengonfigurasi proxy untuk pengelola paket pada node cluster

Google Distributed Cloud menggunakan pengelola paket APT di Ubuntu dan paket DNF Red Hat Enterprise Linux. Pastikan pengelola paket OS memiliki konfigurasi {i>proxy<i} yang benar.

Lihat dokumentasi distribusi OS untuk detail tentang cara mengonfigurasi {i>proxy<i}. Contoh berikut menunjukkan satu cara untuk mengonfigurasi setelan proxy:

sudo touch /etc/apt/apt.conf.d/proxy.conf

echo 'Acquire::http::Proxy "http://USERNAME:PASSWORD@DOMAIN";' \
    >> /etc/apt/apt.conf.d/proxy.conf

echo 'Acquire::https::Proxy "http://USERNAME:PASSWORD@DOMAIN";' \
    >> /etc/apt/apt.conf.d/proxy.conf

echo "proxy=http://USERNAME:PASSWORD@DOMAIN" >> /etc/dnf/dnf.conf

Mengonfigurasi detail proxy di file konfigurasi cluster

Dalam file konfigurasi cluster, tetapkan nilai berikut untuk mengonfigurasi cluster untuk menggunakan proxy:

proxy.url

String yang menentukan URL proxy. Mesin {i>bootstrap<i} dan {i>node<i} menggunakan ini {i>proxy<i} untuk mengakses internet. {i>String<i} URL {i>proxy<i} harus dimulai dengan skemanya, misalnya http:// atau https://.

proxy.noProxy

Daftar alamat IP, nama {i>host<i}, dan nama domain yang tidak seharusnya melewati server proxy.

Umumnya, Anda tidak perlu menambahkan item apa pun ke daftar ini.

Kasus penggunaan noProxy:

• Menggunakan duplikasi paket pribadi, yang terletak di jaringan pribadi yang sama (Tidak memerlukan proxy untuk mengakses)

• Menggunakan duplikat registry pribadi, yang terletak di jaringan pribadi yang sama (Tidak memerlukan proxy untuk mengakses)

Contoh

Berikut adalah contoh setelan proxy dalam konfigurasi cluster file:

  proxy:
     url: http://USERNAME:PASSWORD@DOMAIN
     noProxy:
     - example1.com
     - example2.com

Konfigurasi proxy untuk GKE Identity Service

Jika Anda menggunakan GKE Identity Service untuk autentikasi di Google Distributed Cloud cluster, maka langkah tambahan berikut diperlukan untuk memastikan GKE Identity Service berfungsi saat berada di belakang proxy.

1. Di file konfigurasi cluster, setel detail proxy di OIDC Bagian authentication untuk setelan GKE Identity Service.

     authentication:
       oidc:
         proxy: http://USERNAME:PASSWORD@DOMAIN
   

2. Perbarui konfigurasi server proxy untuk mengizinkan koneksi ke OIDC Anda URL otentikasi penyedia Anda.

Cara proxy digunakan di dalam cluster

Prinsipnya, perintah bmctl dan proses yang dihasilkannya menggunakan proxy yang ditentukan oleh variabel lingkungan HTTPS_PROXY dan NO_PROXY, jika telah ditentukan. Jika tidak, bmctl akan menggunakan konfigurasi proxy dari file konfigurasi cluster Anda. Perintah lain yang dijalankan pada admin di workstation node cluster, atau oleh cluster bootstrap menggunakan proxy konfigurasi dari file konfigurasi cluster.

Pengelola paket OS di setiap {i>node<i} menggunakan file konfigurasinya sendiri untuk setelan proxy.

Mengganti konfigurasi proxy di mesin bootstrap

Anda dapat menjalankan workstation admin di balik proxy yang berbeda dengan yang digunakan oleh mesin node Anda dengan mengganti setelan proxy dalam konfigurasi cluster . Untuk mengganti setelan proxy, setel variabel lingkungan berikut pada mesin bootstrap:

export HTTPS_PROXY=http://USERNAME:PASSWORD@DOMAIN

Ganti USERNAME:PASSWORD@DOMAIN dengan detail khusus untuk Anda konfigurasi Anda.

export NO_PROXY=example1.com,example2.com

Ganti example1.com,example2.com dengan alamat IP, nama host, dan nama domain yang seharusnya tidak melewati server {i>proxy<i}.

Efek samping

Saat dijalankan sebagai root, bmctl akan memperbarui konfigurasi proxy Docker di mesin bootstrap. Jika Anda tidak menjalankan bmctl sebagai root, konfigurasikan proxy Docker secara manual.

Aturan firewall

Siapkan aturan firewall Anda seperti yang diuraikan di bagian berikut untuk mengizinkan traffic yang dijelaskan yang diperlukan untuk Google Distributed Cloud.

Untuk mengetahui persyaratan port prasyarat untuk Google Distributed Cloud, lihat Penggunaan port.

Aturan firewall untuk alamat IP node cluster

Tabel berikut menjelaskan aturan firewall untuk alamat IP yang tersedia di ke cluster Anda.

Aturan firewall untuk komponen lainnya

Aturan yang dijelaskan dalam tabel berikut berlaku untuk semua komponen lain yang tidak yang tercantum di bagian sebelumnya.