Panoramica del blocco del traffico in uscita di Azure Red Hat OpenShift

Il blocco del traffico in uscita consente l'accesso agli URL e agli endpoint necessari a un cluster Azure Red Hat OpenShift per funzionare correttamente.

Il blocco in uscita garantisce l'accesso agli URL, ad esempio management.azure.com, in modo da poter creare un altro nodo di lavoro supportato da macchine virtuali di Azure. Il blocco del traffico in uscita consente comunque l'accesso anche se il traffico in uscita è limitato da un dispositivo firewall o da altri sistemi.

Il blocco del traffico in uscita prende un insieme di domini necessari al funzionamento di un cluster Azure Red Hat OpenShift e instrada le chiamate a questi domini tramite il servizio Azure Red Hat OpenShift. I domini, specifici dell'area, non possono essere configurati dai clienti.

Il blocco del traffico in uscita non dipende dall'accesso a Internet del cliente affinché i servizi Azure Red Hat OpenShift funzionino. Per consentire ai cluster di raggiungere qualsiasi servizio Azure Red Hat OpenShift, il traffico del cluster viene chiuso tramite un endpoint privato di Azure creato all'interno del gruppo di risorse del cluster in cui sono disponibili tutte le risorse di Azure Red Hat OpenShift.

L'immagine seguente mostra le modifiche all'architettura che includono il blocco in uscita.

Un sottoinsieme noto di domini (che i cluster Azure Red Hat OpenShift devono funzionare) convalida la destinazione del traffico del cluster. Infine, il traffico passa attraverso il servizio Azure Red Hat OpenShift per connettersi a questi URL ed endpoint.

Abilita il blocco del traffico in uscita

Per funzionare, il blocco del traffico in uscita si affida all’estensione Server Name Indication (SNI) del protocollo Transport Layer Security (TLS). Tutti i carichi di lavoro dei clienti che comunicano con il sottoinsieme noto di domini devono avere SNI abilitato.

Il blocco in uscita è abilitato per impostazione predefinita per la creazione di un nuovo cluster. Tuttavia, per abilitare il blocco in uscita nei cluster esistenti, è necessario abilitare SNI nei carichi di lavoro dei clienti. Per abilitare il blocco in uscita nei cluster esistenti, inviare un caso di supporto al Supporto tecnico Microsoft o Supporto Red Hat.

Verificare che il blocco in uscita sia abilitato in un cluster

Per verificare se il blocco in uscita è abilitato in un cluster, accedere al cluster di Azure ed eseguire il comando seguente:

$ oc get cluster.aro.openshift.io cluster -o go-template='{{ if .spec.gatewayDomains }}{{ "Egress Lockdown Feature Enabled" }}{{ else }}{{ "Egress Lockdown Feature Disabled" }}{{ end }}{{ "\n" }}'

A seconda che il blocco in uscita sia abilitato o disabilitato, verrà visualizzato uno dei messaggi seguenti:

• Egress Lockdown Feature Enabled
• Egress Lockdown Feature Disabled

Relazione con il blocco dell'archiviazione

Il blocco dell'archiviazione è un'altra funzionalità di Azure Red Hat OpenShift che migliora la sicurezza del cluster. Gli account di archiviazione creati con il cluster sono protetti usando elenchi di controllo di accesso di rete che limitano il traffico a origini specifiche. Questi ACL di rete consentono l'accesso esclusivamente dalle subnet del provisioner di risorse Azure Red Hat OpenShift e dalla subnet del gateway di blocco in uscita, bloccando in modo efficace tutto l'altro traffico pubblico.

I componenti del cluster che usano questa risorsa di archiviazione, ad esempio OpenShift Image Registry, si basano sulla funzionalità di blocco in uscita per accedere agli account di archiviazione tramite questi percorsi di rete.

Passaggi successivi

Per altre informazioni sul controllo del traffico in uscita nel cluster Azure Red Hat OpenShift, vedere Controllare il traffico in uscita per il cluster Azure Red Hat OpenShift (anteprima).