프록시 뒤에 설치

이 페이지에서는 Google Distributed Cloud의 프록시 및 방화벽 규칙을 설정하는 방법을 설명합니다.

프록시 서버 구성

부트스트랩 및 클러스터 노드에 사용 중인 머신이 프록시 서버를 사용하여 인터넷에 액세스하는 경우 다음을 수행해야 합니다.

• 클러스터 노드에서 패키지 관리자에 대한 프록시 구성
• 클러스터 구성 파일에서 프록시 세부정보를 구성

기본 요건

프록시 서버에서 다음 주소에 대한 연결을 허용해야 합니다.

이러한 URL 외에도 프록시 서버는 운영체제의 패키지 관리자에 필요한 모든 패키지 미러를 허용해야 합니다. 패키지 관리자 구성을 업데이트하여 보다 확정적인 목록을 사용할 수 있으므로 관리가 쉽습니다.

클러스터 노드에서 패키지 관리자에 대한 프록시 구성

Google Distributed Cloud는 Ubuntu의 APT 패키지 관리자 및 Red Hat Enterprise Linux의 DNF 패키지 관리자를 사용합니다. OS 패키지 관리자에 올바른 프록시 구성이 있는지 확인합니다.

프록시 구성에 대한 자세한 내용은 OS 배포 문서를 참조하세요. 다음 예시에서는 프록시 설정을 구성하는 한 가지 방법을 보여줍니다.

sudo touch /etc/apt/apt.conf.d/proxy.conf

echo 'Acquire::http::Proxy "http://USERNAME:PASSWORD@DOMAIN";' \
    >> /etc/apt/apt.conf.d/proxy.conf

echo 'Acquire::https::Proxy "http://USERNAME:PASSWORD@DOMAIN";' \
    >> /etc/apt/apt.conf.d/proxy.conf

echo "proxy=http://USERNAME:PASSWORD@DOMAIN" >> /etc/dnf/dnf.conf

클러스터 구성 파일에서 프록시 세부정보 구성

클러스터 구성 파일에서 다음 값을 설정하여 클러스터가 프록시를 사용하도록 구성합니다.

proxy.url

프록시 URL을 지정하는 문자열입니다. 부트스트랩 및 노드 머신은 이 프록시를 사용하여 인터넷에 액세스합니다. 프록시 URL 문자열은 http:// 또는 https://와 같이 해당 스키마로 시작해야 합니다.

proxy.noProxy

프록시 서버를 거치지 않아야 하는 IP 주소, 호스트 이름, 도메인 이름의 목록입니다.

대부분의 경우 이 목록에 항목을 추가할 필요가 없습니다.

noProxy 사용 사례:

• 동일한 비공개 네트워크에 있는 비공개 패키지 미러 사용(액세스에 프록시 필요 없음)

• 동일한 비공개 네트워크에 있는 비공개 레지스트리 미러 사용(액세스에 프록시 필요 없음)

예

다음은 클러스터 구성 파일의 프록시 설정 예시입니다.

  proxy:
     url: http://USERNAME:PASSWORD@DOMAIN
     noProxy:
     - example1.com
     - example2.com

GKE Identity Service의 프록시 구성

Google Distributed Cloud 클러스터에서 인증에 GKE Identity Service를 사용하는 경우 프록시 뒤에서 GKE Identity Service가 작동하도록 하려면 다음 추가 단계가 필요합니다.

1. 클러스터 구성 파일의 OIDC authentication 섹션에서 GKE Identity Service 설정에 프록시 세부정보를 설정합니다.

     authentication:
       oidc:
         proxy: http://USERNAME:PASSWORD@DOMAIN
   

2. OIDC 제공업체의 인증 URL에 대한 연결을 허용하도록 프록시 서버의 구성을 업데이트합니다.

클러스터 내에서 프록시가 사용되는 방법

일반적으로 bmctl 명령어 및 이 명령어가 생성하는 프로세스에는 HTTPS_PROXY 및 NO_PROXY 환경 변수에 의해 정의된 프록시 구성(정의된 경우)이 사용됩니다. 그렇지 않으면 bmctl에서 클러스터 구성 파일의 프록시 구성이 사용됩니다. 관리자 워크스테이션, 클러스터 노드 머신, 부트스트랩 클러스터에서 실행되는 기타 명령어에는 클러스터 구성 파일의 프록시 구성이 사용됩니다.

각 노드의 OS 패키지 관리자는 프록시 설정을 위해 해당 자체 구성 파일을 사용합니다.

부트스트랩 머신에서 프록시 구성 재정의

클러스터 구성 파일에서 프록시 설정을 재정의하여 노드 머신에서 사용되는 것과 다른 프록시 뒤에서 관리자 워크스테이션을 실행할 수 있습니다. 프록시 설정을 재정의하려면 부트스트랩 머신에서 다음 환경 변수를 설정합니다.

export HTTPS_PROXY=http://USERNAME:PASSWORD@DOMAIN

USERNAME:PASSWORD@DOMAIN을 구성과 관련된 세부정보로 바꿉니다.

export NO_PROXY=example1.com,example2.com

example1.com,example2.com을 프록시 서버를 거치지 않아야 하는 IP 주소, 호스트 이름, 도메인 이름으로 바꿉니다.

부작용

루트로 실행하면 bmctl은 부트스트랩 머신에서 Docker 프록시 구성을 업데이트합니다. bmctl을 루트로 실행하지 않는 경우 Docker 프록시를 수동으로 구성합니다.

방화벽 규칙

Google Distributed Cloud에 필요한 트래픽을 허용하려면 다음 섹션에 설명된 대로 방화벽 규칙을 설정합니다.

Google Distributed Cloud의 기본 포트 요건은 포트 사용량을 참조하세요.

클러스터 노드 IP 주소의 방화벽 규칙

다음 표에서는 클러스터에서 사용할 수 있는 IP 주소에 대한 방화벽 규칙을 설명합니다.

나머지 구성요소의 방화벽 규칙

다음 표에 설명된 규칙은 이전 섹션에 나열되지 않은 다른 모든 구성요소에 적용됩니다.