9.6. IPsec 암호화 구성

IPsec이 활성화되면 OVN-Kubernetes 네트워크 플러그인의 노드 간 모든 네트워크 트래픽이 암호화된 터널을 통해 이동합니다.

IPsec은 기본적으로 비활성화되어 있습니다.

9.6.1. 사전 요구 사항

  • 클러스터에서 OVN-Kubernetes 네트워크 플러그인을 사용해야 합니다.

9.6.1.1. pod-to-pod IPsec 암호화 활성화

클러스터 관리자는 클러스터 설치 후 pod-to-pod IPsec 암호화를 활성화할 수 있습니다.

사전 요구 사항

  • OpenShift CLI(oc)를 설치합니다.
  • cluster-admin 권한이 있는 사용자로 클러스터에 로그인합니다.
  • IPsec ESP 헤더의 오버헤드를 허용하도록 클러스터 MTU의 크기를 46 바이트 감소했습니다.

프로세스

  • IPsec 암호화를 활성화하려면 다음 명령을 입력합니다. 

    $ oc patch networks.operator.openshift.io cluster --type=merge \
-p '{"spec":{"defaultNetwork":{"ovnKubernetesConfig":{"ipsecConfig":{ }}}}}'

9.6.1.2. IPsec이 활성화되었는지 확인

클러스터 관리자는 IPsec이 활성화되었는지 확인할 수 있습니다.

검증

  1. OVN-Kubernetes 데이터 플레인 Pod의 이름을 찾으려면 다음 명령을 입력합니다. 

    $ oc get pods -n openshift-ovn-kubernetes -l=app=ovnkube-node

    출력 예

    ovnkube-node-5xqbf                       8/8     Running   0              28m
ovnkube-node-6mwcx                       8/8     Running   0              29m
ovnkube-node-ck5fr                       8/8     Running   0              31m
ovnkube-node-fr4ld                       8/8     Running   0              26m
ovnkube-node-wgs4l                       8/8     Running   0              33m
ovnkube-node-zfvcl                       8/8     Running   0              34m

  2. 클러스터에서 IPsec이 활성화되어 있는지 확인합니다. 

    $ oc -n openshift-ovn-kubernetes -c nbdb rsh ovnkube-node-<XXXXX> ovn-nbctl --no-leader-only get nb_global . ipsec

    다음과 같습니다.

    <XXXXX>
    이전 단계에서 Pod의 임의의 문자 시퀀스를 지정합니다.

    출력 예

    true