#通信矩阵

此页面列出了在运行非 Alauda OS 的集群节点上， 组件监听的端口。启用这些节点上的主机防火墙时，请使用此列表构建允许规则。

#此矩阵的范围

此矩阵涵盖 核心组件和 Aligned 扩展使用的端口。Agnostic 扩展所需的端口由相应扩展维护，因此未在此处列出。

列出的部分组件仅在 global 集群节点上运行。业务集群节点会根据其运行的组件，监听适用的端口子集。

#何时使用此页面

仅当集群节点启用了主机防火墙（例如 firewalld 或 ufw）时，才需要此页面。默认且推荐的节点配置是禁用主机防火墙。在启用主机防火墙之前，请阅读强化节点安全配置，其中介绍了 init.sh 参数、运行安装程序的节点所使用的其他端口，以及应用配置的顺序。

此页面不适用于运行 Alauda OS 的集群，因为平台会维护节点端口配置。

此页面不同于节点预处理中的端口占用检查。该检查会在安装开始前确认没有其他进程已绑定平台所需的端口。此页面说明主机防火墙必须允许哪些端口。启用主机防火墙时，两者都适用。

#此矩阵未涵盖的内容

请根据您自己的部署逐项检查以下内容。即使某项要求适用于您的集群但未列入矩阵，仍必须允许该要求。

• Pod 和 Service 流量。请参阅上方的警告。
• 辅助网络和非默认容器网络。表中的 6081/UDP 条目是默认 Kube-OVN Geneve 隧道使用的端口。如果您更改 Kube-OVN 隧道类型，或使用 Multus 在默认网络之上附加辅助网络，这些网络会使用自己的封装在节点 IP 地址之间传输 Pod 流量；此类流量未列于此处。请确认您的配置使用了哪些网络，并允许节点之间传输相应流量。
• global 集群与业务集群之间的流量。global 集群必须能够访问其管理的每个业务集群的控制平面节点，业务集群自身的负载均衡器也必须能够访问这些节点。有关涉及的端口，请参阅在非 Alauda OS 上创建集群。
• 负载均衡器转发。当负载均衡器位于平台访问地址前端时，转发流量的来源并非集群节点 IP 地址。有关涉及的端口，请参阅LoadBalancer 转发规则。
• Self-built VIP。此选项会运行 keepalived，该程序使用 VRRP 协议，而不是 TCP 或 UDP 端口。firewalld 和 ufw 默认会阻止 VRRP，因此除非允许共享 VIP 的节点之间传输 VRRP 流量，否则 VIP 将无法启动。
• 全局灾难恢复。DR 对需要在主集群网络与备用集群网络之间开放多个端口，且两个方向都必须开放。请参阅全局灾难恢复中的网络要求。

#平台端口

#可达性

• 表中的每个端口都必须能在集群节点之间访问，运行安装程序的节点也必须能够访问这些端口。
• 443/tcp 还承载平台访问地址，因此访问平台的用户和系统也必须能够访问该端口。
• 某些部署选项还要求从集群网络外部访问其中一些端口。请参阅此矩阵未涵盖的内容。

#NodePort 范围

30000-32767 是为用户应用创建的 NodePort Services 预留的端口范围。部署使用该范围内端口的应用时，相应端口会在节点上开放；删除对应的 Service 后，该端口会再次关闭。只有当您的应用使用 NodePort Services 时，才应在主机防火墙上允许此范围，并将其限制为这些应用预期服务的来源。

#条件端口

#Calico

仅当集群使用 Calico CNI 插件时，才需要以下端口。