Red Hat Training

A Red Hat training course is available for OpenShift Container Platform

22.2.3.3. Kuryr SDN 的额外步骤

如果启用了 Kuryr SDN，特别是在使用命名空间隔离时，增加项目的配额以满足这些最低要求：

  • 300 个安全组 - 每个命名空间对应一个命名空间，每个负载均衡器都对应一个
  • 150 网络 - 每个命名空间有一个
  • 150 个子网 - 每个命名空间都有一个
  • 500 个安全组规则
  • 500 端口 - 每个 Pod 一个端口，以及池的额外端口用于加快 Pod 创建
注意

这不是全球推荐。调整您的配额以满足您的要求。

如果使用命名空间隔离，则每个命名空间都会获得一个新的网络和子网。另外，还会创建一个安全组来启用命名空间中的 Pod 间的流量。 

$ openstack quota set --networks 150 --subnets 150 --secgroups 300 --secgroup-rules 500 --ports 500 <project>
1
1
对于 <project >，请指定要修改的项目名称

如果启用了命名空间隔离，您必须在创建项目后将项目 ID 添加到 octavia.conf 配置文件中。此步骤可确保所需的 LoadBalancer 安全组属于该项目，并可将其更新为在命名空间间强制实施服务隔离。

  1. 获取项目 ID 

    $ openstack project show *<project>*
+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description |                                  |
| domain_id   | default                          |
| enabled     | True                             |
| id          | PROJECT_ID                       |
| is_domain   | False                            |
| name        | *<project>*                      |
| parent_id   | default                          |
| tags        | []                               |
+-------------+----------------------------------+

  2. 将项目 ID 添加到控制器上的 [filename]octavia.conf 中，然后重新启动 octavia worker。 

    $ source stackrc  # undercloud credentials
$ openstack server list
+--------------------------------------+--------------+--------+-----------------------+----------------+------------+
│
| ID                                   | Name         | Status | Networks
| Image          | Flavor     |
│
+--------------------------------------+--------------+--------+-----------------------+----------------+------------+
│
| 6bef8e73-2ba5-4860-a0b1-3937f8ca7e01 | controller-0 | ACTIVE |
ctlplane=192.168.24.8 | overcloud-full | controller |
│
| dda3173a-ab26-47f8-a2dc-8473b4a67ab9 | compute-0    | ACTIVE |
ctlplane=192.168.24.6 | overcloud-full | compute    |
│
+--------------------------------------+--------------+--------+-----------------------+----------------+------------+

$ ssh heat-admin@192.168.24.8  # ssh into the controller(s)

controller-0$ vi /var/lib/config-data/puppet-generated/octavia/etc/octavia/octavia.conf
[controller_worker]
# List of project ids that are allowed to have Load balancer security groups
# belonging to them.
amp_secgroup_allowed_projects = PROJECT_ID

controller-0$ sudo docker restart octavia_worker