8.6. 配置 IPsec 加密

启用 IPsec 后，OVN-Kubernetes 网络插件的节点之间的所有网络流量都通过加密的隧道传输。

默认禁用 IPsec。

8.6.1. 先决条件

  • 集群必须使用 OVN-Kubernetes 网络插件。

8.6.1.1. 启用 IPsec 加密

作为集群管理员，您可以在集群安装后启用 IPsec 加密。

先决条件

  • 安装 OpenShift CLI（oc）。
  • 使用具有 cluster-admin 权限的用户登陆到集群。
  • 您已将集群 MTU 的大小减少为 46 字节，以允许 IPsec ESP 标头的开销。

流程

  • 要启用 IPsec 加密，请输入以下命令： 

    $ oc patch networks.operator.openshift.io cluster --type=merge \
-p '{"spec":{"defaultNetwork":{"ovnKubernetesConfig":{"ipsecConfig":{ }}}}}'

验证

  1. 要查找 OVN-Kubernetes control plane pod 的名称，请输入以下命令： 

    $ oc get pods -l app=ovnkube-master -n openshift-ovn-kubernetes

    输出示例

    NAME                   READY   STATUS    RESTARTS   AGE
ovnkube-master-fvtnh   6/6     Running   0          122m
ovnkube-master-hsgmm   6/6     Running   0          122m
ovnkube-master-qcmdc   6/6     Running   0          122m

  2. 运行以下命令，验证您的 IPsec 是否在您的集群中启用： 

    $ oc -n openshift-ovn-kubernetes rsh ovnkube-master-<XXXXX> \
  ovn-nbctl --no-leader-only get nb_global . ipsec

    其中：

    <XXXXX>
    指定上一步中 pod 的随机字符序列。

    输出示例

    true