3.4. 代理配置

您可以通过 TCP 代理在源和目标集群之间设置直接连接，并在 MigrationController CR 中配置 stunnel_tcp_proxy 变量来使用代理：

apiVersion: migration.openshift.io/v1alpha1
kind: MigrationController
metadata:
  name: migration-controller
  namespace: openshift-migration
spec:
  [...]
  stunnel_tcp_proxy: http://username:password@ip:port

直接卷迁移(DVM)只支持代理的基本身份验证。此外，DVM 仅适用于可透明地传输 TCP 连接的代理。在 man-in-the-middle 模式中的 HTTP/HTTPS 代理无法正常工作。现有的集群范围的代理可能不支持此行为。因此，DVM 的代理设置意与 MTC 中常见的代理配置不同。

您可以通过 OpenShift 路由在源和目标集群之间运行 Rsync 来启用 DVM。流量通过 TCP 代理(Stunnel)加密。在源集群上运行的 Stunnel 会启动与目标 Stunnel 的 TLS 连接，并通过加密频道来传输数据。

OpenShift 中的集群范围 HTTP/HTTPS 代理通常在 man-in-the-middle 模式进行配置，其中它们将自己的 TLS 会话与外部服务器协商。但是，这不适用于 Stunnel。Stunnel 要求代理不处理它的 TLS 会话，基本上使代理成为一个透明的隧道，只需按原样转发 TCP 连接。因此，您必须使用 TCP 代理。

除了支持 SPDY 协议外，代理或防火墙还必须将 Upgrade HTTP 标头传递给 API 服务器。客户端使用此标头打开与 API 服务器的 websocket 连接。如果代理或防火墙阻止 Upgrade 标头，则迁移会失败，并显示出错信息 Upgrade request required。临时解决方案：确保代理转发 Upgrade 标头。

EgressNetworkPolicy 对象或 Egress Firewalls 是 OpenShift 构造，用于阻止离开集群的出口流量。

与 NetworkPolicy 对象不同，egress Firewall 在项目级别工作，因为它适用于命名空间中的所有 pod。因此，Rsync pod 的唯一标签不会使只有 Rsync pod 的 Rsync pod 冲突。但是，您可以将源集群或目标集群的 CIDR 范围添加到策略的 Allow 规则中，以便可以在两个集群之间设置直接连接。

根据存在 Egress Firewall 的集群，您可以添加其他集群的 CIDR 范围来允许两者间的出口流量：

apiVersion: network.openshift.io/v1
kind: EgressNetworkPolicy
metadata:
  name: test-egress-policy
  namespace: <namespace>
spec:
  egress:
  - to:
      cidrSelector: <cidr_of_source_or_target_cluster>
    type: Deny

默认情况下，DVM 使用 OpenShift Container Platform 路由作为端点，将 PV 数据传送到目标集群。如果集群拓扑允许，您可以选择其他类型的支持的端点。

对于每个集群，您可以通过在 MigrationController CR 中适当的 目标集群上设置 rsync_endpoint_type 变量来配置端点：

apiVersion: migration.openshift.io/v1alpha1
kind: MigrationController
metadata:
  name: migration-controller
  namespace: openshift-migration
spec:
  [...]
  rsync_endpoint_type: [NodePort|ClusterIP|Route]

当 PVC 使用共享存储时，您可以通过将 supplemental 组添加到 Rsync pod 定义来配置对存储的访问，以便 pod 允许访问：

spec:
  src_supplemental_groups: "1000,2000"
  target_supplemental_groups: "2000,3000"

虽然在大多数情况下，以非 root 用户身份运行 Rsync pod 可以正常工作，但当您以 root 用户身份在源端运行工作负载时，数据传输可能会失败。MTC 提供了为数据传输手动覆盖默认非 root 操作的方法：

在这两种情况下，您必须在迁移前运行具有较高权限的工作负载的命名空间源上设置以下标签： enforce、audit 和 warn。

要了解更多有关标签的 Pod Security Admission 和设置值的信息，请参阅 控制 pod 安全准入同步。

默认情况下，Rsync 作为非 root 运行。

在目标集群中，您可以将 MigrationController CR 配置为以 root 用户身份运行 Rsync。

在目标集群中，您可以使用以下非 root 选项将 MigMigration CR 配置为以 root 或非 root 身份运行 Rsync：