k8s集群开放防火墙策略

在生产环境部署 k8s 的过程中，基于安全的需要，可能需要开启 firewalld。本文将介绍 firewalld 的使用方式以及 k8s 集群所需开放的端口。

firewalld 的使用

firewalld 是一个防火墙的管理工具，是 iptables 的管理规矩。

firewalld 添加规则的方式主要有两种： 直接添加端口和 rich rule。

直接添加端口

执行以下命令可以直接添加端口：

firewall-cmd  --add-port=80/tcp --permanent ##在 public 区域开放一个端口
firewall-cmd  --add-port=80-8080/tcp --permanent ##在 public 区域开放 80-8080 端口

添加 rich rule

执行以下命令即为添加一条 rich rule 规则：

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100/24" port port=22 protocol=tcp accept' ##允许 192.168.1.100/24 访问 22  端口
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="0.0.0.0/0" accept' ##此服务器允许所有地址访问
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="0.0.0.0/0" port protocol="tcp" destination address="192.168.1.100" port=80 reject' ##拒绝所有地址访问 80，限制服务器访问 192.168.1.100 的 80 端口
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" destination address="0.0.0.0/0"  accept' ##允许服务器访问所有地址

以上是两种防火墙规则的添加方法，这两种防火墙策略添加方式的主要区别是：是否需要精确的进行网络控制。例如：

firewall-cmd  --add-port=80/tcp --permanent 
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100/24" port port=80 protocol=tcp accept' 

这两天的本质区别是：第二条 rich rule 限制了 80 端口只能让 192.168.1.100/24 这个网段进行访问。如果直接使用直接使用第一条规则等价于 rich rule 规则为：

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="0.0.0.0/0"  destination address="0.0.0.0/0" port port=80 protocol=tcp accept' 

k8s 需要开放的端口

再聊完如何添加端口后，接下来介绍 k8s 需要开放哪些端口。

以下列表是整理出来一个刚刚搭建完成的 k8s 集群需要开放的端口：

主机类型	端口类别	端口号
master	kube-apiserver	6443
	etcd	2379-2380
	kubelet	10250
	haproxy	16443
worker	kubelet	10250

执行以下命令进行端口开放：

## master
firewall-cmd --permanent --add-port=2379-2380/tcp
firewall-cmd --permanent --add-port=10250/tcp
firewall-cmd --permanent --add-port=16443/tcp
firewall-cmd --permanent --add-port=6443/tcp
firewall-cmd --add-masquerade --permanent ##允许进行地址进行转换
firewall-cmd --reload

## worker
firewall-cmd --add-masquerade --permanent ##允许进行地址进行转换
firewall-cmd --permanent --add-port=10250/tcp
firewall-cmd --reload

后记

• k8s 高可用集群的搭建