最小化集群访问规则

更新时间: 2023-09-01 10:24:39

创建集群或节点池指定已有安全组时，系统默认不会为安全组配置额外的访问规则，请自行管理安全组规则。本文介绍如何配置普通安全组和企业安全组的集群访问规则。

您可以通过添加安全组规则，允许或禁止安全组内的ECS实例对公网或私网的访问。更多信息，请参见添加安全组规则。

普通安全组

入方向

集群访问规则	协议	端口	授权对象
推荐范围	ICMP	-1/-1（不限制端口）	0.0.0.0/0
推荐范围	所有协议	-1/-1（不限制端口）	集群默认安全组ID 集群Pod网络地址段（Flannel网络模式添加安全组规则，Terway网络模式不添加安全组规则）
最小范围	所有协议	53/53（DNS）	集群默认安全组ID 集群Pod网络地址段（Flannel网络模式添加安全组规则，Terway网络模式不添加安全组规则）
	ICMP	-1/-1（不限制端口）
	TCP	10250（Kubelet） 10255（Kubelet） 443（Webhook） 6443（APIServer） 8082（heapster）
	所有协议	所有应用或组件期望被访问的端口	所有应用或组件期望被访问的来源地址或者来源安全组

出方向

集群访问规则	协议	端口	授权对象
推荐范围	所有协议	-1/-1（不限制端口）	0.0.0.0/0
最小范围	所有协议	-1/-1（不限制端口）	100.64.0.0/10 （云产品网段）
	所有协议	53/53（DNS）	集群APIServer SLB地址集群默认安全组ID 集群Pod网络地址段（Flannel网络模式添加安全组规则，Terway网络模式不添加安全组规则）
	TCP	10250（Kubelet） 10255（Kubelet） 443（APIServer） 6443（APIServer）
	所有协议	所有应用或组件期望访问的端口	所有应用或组件期望访问的目的地址或者目的安全组

企业安全组

入方向

集群访问规则	协议	端口	授权对象
推荐范围	ICMP	-1/-1（不限制端口）	0.0.0.0/0
推荐范围	所有协议	-1/-1（不限制端口）	集群所属的VPC网段集群所属的附加VPC网段集群Pod网络地址段（Flannel网络模式添加安全组规则，Terway网络模式不添加安全组规则）
最小范围	所有协议	53/53（DNS）	集群内所有关联的vSwitch网段，包括Node vSwitch和Pod vSwitch 集群Pod网络地址段（Flannel网络模式添加安全组规则，Terway网络模式不添加安全组规则）
	ICMP	-1/-1（不限制端口）
	TCP	10250（Kubelet） 10255（Kubelet） 443（Webhook） 6443（APIServer） 8082（heapster）
	所有协议	所有应用或组件期望被访问的端口	所有应用或组件期望被访问的来源地址或者来源安全组

出方向

集群访问规则	协议	端口	授权对象
推荐范围	所有协议	-1/-1（不限制端口）	0.0.0.0/0
最小范围	所有协议	-1/-1（不限制端口）	100.64.0.0/10 （云产品网段）
	所有协议	53/53（DNS）	集群APIServer SLB地址集群内所有关联的vSwitch网段，包括Node vSwitch和Pod vSwitch 集群Pod网络地址段（Flannel网络模式添加安全组规则，Terway网络模式不添加安全组规则）
	TCP	10250（Kubelet） 10255（Kubelet） 443（APIServer） 6443（APIServer）
	所有协议	所有应用或组件期望访问的端口	所有应用或组件期望访问的目的地址或者目的安全组

阿里云首页容器服务 Kubernetes 版 ACK 相关技术圈

© 2009-2023 Aliyun.com 版权所有<br/>增值电信业务经营许可证： <a href="http://beian.miit.gov.cn/" target="_blank">浙B2-20080101</a> <br/>域名注册服务机构许可： <a href="https://domain.miit.gov.cn/域名注册服务机构/互联网域名/阿里云计算有限公司 " target="_blank">浙D3-20210002</a> <a href="https://domain.miit.gov.cn/域名注册服务机构/互联网域名/阿里巴巴云计算北京有限公司 " target="_blank">京D3-20220015</a>