在 Proxy 的保護下安裝

本頁面說明如何設定 Google Distributed Cloud 的 Proxy 和防火牆規則。

設定 Proxy 伺服器

如果您用於啟動程序和叢集節點的機器使用 Proxy 伺服器存取網際網路，請務必執行下列操作：

• 在叢集節點上設定套件管理員的 Proxy
• 在叢集設定檔中設定 Proxy 詳細資料。

必要條件

Proxy 伺服器必須允許連線至下列地址：

除了這些網址外，Proxy 伺服器也必須允許作業系統套件管理工具所需的任何套件鏡像。您可以更新套件管理員設定，改用更具決定性的清單，方便管理。

在叢集節點上設定套件管理員的 Proxy

Google Distributed Cloud 在 Ubuntu 上使用 APT 套件管理工具，在 Red Hat Enterprise Linux 上使用 DNF 套件管理工具。確認作業系統套件管理員的 Proxy 設定正確無誤。

如要瞭解如何設定 Proxy，請參閱 OS 發行版本的說明文件。以下範例說明如何設定 Proxy 設定：

sudo touch /etc/apt/apt.conf.d/proxy.conf

echo 'Acquire::http::Proxy "http://USERNAME:PASSWORD@DOMAIN";' \
    >> /etc/apt/apt.conf.d/proxy.conf

echo 'Acquire::https::Proxy "http://USERNAME:PASSWORD@DOMAIN";' \
    >> /etc/apt/apt.conf.d/proxy.conf

echo "proxy=http://USERNAME:PASSWORD@DOMAIN" >> /etc/dnf/dnf.conf

在叢集設定檔中設定 Proxy 詳細資料

在叢集設定檔中，設定下列值，將叢集設定為使用 Proxy：

proxy.url

指定 Proxy 網址的字串。啟動程序和節點機器會使用這個 Proxy 存取網際網路。Proxy 網址字串的開頭必須是其架構， 例如 http:// 或 https://。

proxy.noProxy

不應透過 Proxy 伺服器連線的 IP 位址、主機名稱和網域名稱清單。

在多數情況下，您不需要在這個清單中新增任何項目。

noProxy 應用情境：

• 使用位於相同私人網路中的私人套件鏡像 (不需要 Proxy 即可存取)

• 使用位於相同私人網路的私人登錄檔鏡像 (不需要 Proxy 即可存取)

範例

以下是叢集設定檔中的 Proxy 設定範例：

  proxy:
     url: http://USERNAME:PASSWORD@DOMAIN
     noProxy:
     - example1.com
     - example2.com

GKE Identity Service 的 Proxy 設定

如果您在 Google Distributed Cloud 叢集中使用 GKE Identity Service 進行驗證，則必須執行下列額外步驟，確保 GKE Identity Service 在透過 Proxy 時能正常運作。

1. 在叢集設定檔中，於 OIDC authentication 區段中設定 GKE Identity Service 設定的 Proxy 詳細資料。

     authentication:
       oidc:
         proxy: http://USERNAME:PASSWORD@DOMAIN
   

2. 更新 Proxy 伺服器的設定，允許連線至 OIDC 提供者的驗證網址。

叢集內如何使用 Proxy

一般來說，bmctl 指令和其產生的程序會使用環境變數 HTTPS_PROXY 和 NO_PROXY 定義的 Proxy 設定 (如有定義)。否則，bmctl 會使用叢集設定檔中的 Proxy 設定。在管理工作站、叢集節點機器上執行的其他指令，或由啟動叢集執行的指令，會使用叢集設定檔中的 Proxy 設定。

每個節點上的 OS 套件管理工具會使用自己的設定檔進行 Proxy 設定。

覆寫啟動機器的 Proxy 設定

您可以覆寫叢集設定檔中的 Proxy 設定，在與節點機器所用 Proxy 不同的 Proxy 後方執行管理員工作站。如要覆寫 Proxy 設定，請在啟動程序電腦上設定下列環境變數：

export HTTPS_PROXY=http://USERNAME:PASSWORD@DOMAIN

請將 USERNAME:PASSWORD@DOMAIN 替換為您設定的詳細資料。

export NO_PROXY=example1.com,example2.com

將 example1.com,example2.com 替換為不應透過 Proxy 伺服器的 IP 位址、主機名稱和網域名稱。

副作用

以根身分執行 bmctl 時，系統會更新啟動機器的 Docker Proxy 設定。如果沒有以根身分執行 bmctl，請手動設定 Docker 代理伺服器。

防火牆規則

請按照下列各節所述設定防火牆規則，允許 Google Distributed Cloud 必要的流量。

如要瞭解 Google Distributed Cloud 的必要通訊埠需求，請參閱「通訊埠使用情形」。

叢集節點 IP 位址的防火牆規則

下表說明叢集中可用 IP 位址的防火牆規則。

其餘元件的防火牆規則

下表列出的規則適用於上一節未列出的所有其他元件。