Поддерживается ли использование NSG в расширенной сетевой подсети AKS и какие порты необходимо открыть между узлами и мастером?

Question

Какой порт для связи TCP / UDP должен быть открыт между узлами и мастером служб Azure kubernetes, когда узлы находятся в подсети, которая использует расширенные сетевые функции?

В целях безопасности мы должны использовать группу сетевой безопасности в каждой подсети, которая подключена к сети onpremises через VPN в Azure. Этот NSG должен запретить любой неявный трафик между машинами, даже в одной подсети, чтобы препятствовать атакам атак между системами. То же самое относится и к службам Azure Kubernetes с расширенными сетевыми функциями, которые используют подсеть, подключенную через пиринг vnet.

Мы не смогли найти ответ, если это поддерживаемый сценарий, чтобы иметь NSG в подсети расширенной сети aks и какие порты необходимы для его работы.

Мы попробовали нашу NSG по умолчанию, которая запрещает внутренний трафик между хостами, но это мешает нам подключаться к сервисам и к узлам, чтобы они появлялись без ошибок.

Answer 1

AKS - это управляемый кластер. И мастер управляемого кластера означает, что вам не нужно настраивать компоненты, такие как хранилище с высокой доступностью etcd, но это также означает, что вы не можете получить прямой доступ к мастеру кластера.

При создании кластера AKS мастер кластера автоматически создается и настраивается. А платформа Azure настраивает безопасную связь между мастером кластера и узлами. Взаимодействие с мастером кластера происходит через API-интерфейсы Kubernetes, такие как kubectl или панель управления Kubernetes.

Подробнее см. Основные понятия Kubernetes для службы Azure Kubernetes (AKS) . Если вам нужно настроить мастер кластера и все остальное самостоятельно, вы можете развернуть свой собственный кластер Kubernetes, используя aks-engine .

Для обеспечения безопасности ваших модулей вы можете использовать сетевую политику , чтобы улучшить ее. Хотя это всего лишь предварительная версия.

Кроме того, не рекомендуется открывать удаленное подключение к узлам кластера AKS, если вы хотите подключиться к узлам AKS. Предполагается, что в управляющей виртуальной сети создайте хост-бастион или поле перехода. Используйте хост-бастион для безопасной маршрутизации трафика в кластере AKS для выполнения задач удаленного управления. Подробнее см. Безопасное подключение к узлам через бастионный хост .

.

Если у вас есть еще вопросы, пожалуйста, дайте мне знать. Я рад предоставить дополнительную помощь.