Red Hat Training

A Red Hat training course is available for OpenShift Container Platform

第 30 章 iptables

30.1. 概述

有许多系统组件,包括 OpenShift Container Platform、容器和软件,它们管理本地防火墙策略,这些策略依赖于内核 iptables 配置才能进行正确的网络操作。另外,集群中所有节点的 iptables 配置必须正确才能正常工作。

所有组件均与 iptables 独立使用,无需了解其他组件如何使用它们。这使得一个组件很容易破坏另一组件配置。另外,OpenShift Container Platform 和 Docker 服务会假定 iptables 仍然与其设置一样。它们可能无法检测其他组件引入的更改,如果这些组件可能有一些布局,则它们可能会发生修复。特别是,OpenShift Container Platform 会监控并修复问题。但是,Docker 服务没有。

重要

确保节点上对 iptables 配置所做的任何更改不会影响 OpenShift Container Platform 和 Docker 服务的操作。另外,更改通常需要在集群中的所有节点上进行。请小心使用,因为 iptables 没有设计为多个并发用户,而且很容易破坏 OpenShift Container Platform 和 Docker 网络。

OpenShift Container Platform 提供多个链,其中一个链供管理员用于自己的目的:OPENSHIFT-ADMIN-OUTPUT-RULES

如需更多信息,请参阅使用 iptables 规则的讨论来限制对外部资源的访问

必须在集群中的每个节点上正确设置了链、链顺序以及内核 iptables 规则,才能使 OpenShift Container Platform 和 Docker 网络正常工作。系统中常用的一些工具和服务与内核 iptables 交互,并可能会意外影响 OpenShift Container Platform 和 Docker 服务。