Azure Local ortamında Azure portalındaki Network security groups (NSG) bölümü kullanılamıyorsa, cluster üzerinde Azure Arc ile etkinleştirilen Software Defined Networking (SDN) yapılandırılmamış olabilir. SDN etkinleştirildikten sonra NSG oluşturabilir, güvenlik kuralları tanımlayabilir ve NSG’yi bir logical network’e bağlayabilirsiniz.
Bu makalede SDN’in PowerShell ile etkinleştirilmesi, Network Controller için DNS kaydının hazırlanması ve NSG’nin logical network’e atanması anlatılıyor.
Başlamadan önce
İşleme başlamadan önce şu gereksinimleri gözden geçirin:
- Azure Local sürümü 2506 veya üzeri, işletim sistemi build’i 26100.xxxx veya üzeri olmalıdır.
- Komut, Azure Stack HCI administrator rolüne sahip bir hesapla cluster node’larından birinde çalıştırılmalıdır.
- SDN etkinleştirildikten sonra yapılandırma geri alınamaz veya devre dışı bırakılamaz.
- Network Controller bir Failover Cluster servisi olarak kurulur. SDN ilkeleri uygulanırken kısa süreli ağ kesintisi yaşanabileceğinden üretim ortamında bakım zamanı planlanmalıdır.
- Cluster’da daha önce on-premises araçlarla Network Controller kurulduysa bu yöntem kullanılmamalıdır.
- Bu özellikle NSG uygulaması, Azure portalı, Azure CLI veya ARM üzerinden dağıtılan Azure Local sanal makinelerini kapsar.
1. SDN durumunu ve ön koşulları kontrol edin
Azure portalında Azure Local kaynağını açın ve Resources > Network security groups bölümüne gidin. SDN yapılandırılmamışsa portalda NSG’lerin kullanılamadığına ilişkin bir uyarı görünür.
Mevcut bir Network Controller yapılandırması olmadığını doğrulayın. Ayrıca Azure Local sürümünü, işletim sistemi build’ini ve bakım penceresini kontrol edin.
2. SDN prefix’ini ve DNS kaydını hazırlayın
Add-EceFeature komutunda kullanılacak prefix boş olamaz, en fazla sekiz karakter olabilir ve yalnızca harf, rakam veya tire içerebilir. Art arda iki tire kullanılamaz; prefix tireyle bitemez.
Bu örnekte prefix olarak hci-prod kullanılıyor. Network Controller DNS adı prefix’e -NC eklenerek oluşturulur:
- DNS adı: hci-prod-NC
- Örnek IP adresi:
10.20.30.234
DNS sunucusu dynamic update destekliyorsa action plan kaydı otomatik oluşturabilir. DNS güncellemeleri statik olarak yönetiliyorsa A kaydını komutu çalıştırmadan önce elle ekleyin.
10.20.30.234 yalnızca örnek bir IP adresidir. Gerçek ortamda DNS kaydı, Azure Local kurulumu sırasında belirtilen management IP aralığındaki Network Controller için ayrılmış beşinci IP adresine yönelmelidir.
3. SDN’i PowerShell ile etkinleştirin
Azure Local node’larından birine RDP veya PowerShell Remoting ile bağlanın. Azure Stack HCI administrator rolüne sahip hesabınızla PowerShell’i açıp şu komutu çalıştırın:
Add-EceFeature -Name NC -SDNPrefix hci-prod-Name parametresi için desteklenen değer NC’dir. Komut Network Controller sertifikalarını oluşturur ve ayrılmış management IP adresini kullanarak Network Controller REST adını yapılandırır.
DNS sunucusu dynamic update desteklemiyorsa, A kaydını önceden oluşturduğunuzu onaylamanız istenir. Ayrıca bakım zamanı için onay vermeniz gerekir. Kurulumun tamamlanması 20 dakikaya kadar sürebilir.
İşlem tamamlandığında çıktıda SetMOCSDNEnabled adımının durumu Completed ve SDN kurulumunun tamamlandığını belirten mesaj görülmelidir. Çıktı, Network Controller URL’sini ve işlem kayıtlarının bulunduğu C:\MASLogs yolunu da gösterir.
-AcknowledgeMaintenanceWindow ve -AcknowledgeDNSRecordCreation parametreleri onay istemlerini atlayabilir. Bunları yalnızca bakım zamanı gerçekten planlandıysa ve DNS kaydı oluşturulduysa kullanın.
4. NSG’yi oluşturun ve güvenlik kurallarını ekleyin
Azure portalında Azure Local kaynağından Resources > Network security groups bölümüne gidip Create network security group seçeneğini seçin. Subscription, resource group, NSG adı, region ve custom location bilgilerini girin. Region, Azure Local örneğiyle aynı olmalı; custom location ise bu örnekle ilişkilendirilmiş konum olmalıdır.
NSG’yi logical network’e bağlamadan önce kurallarını oluşturun. Boş bir NSG gelen trafiği varsayılan olarak engelleyebilir.
Örnek inbound kuralı, ICMP trafiğine izin verir:
- Protocol: ICMP
- Action: Allow
- Priority: 100
- Name:
Allow-ICMP-Inbound - Source ve Destination: Any
Örnek outbound kuralı, dışarı giden tüm trafiğe izin verir:
- Protocol: Any
- Action: Allow
- Priority: 100
- Name:
AllowAnyOutbound - Source ve Destination: Any
Any kaynak ve hedef kullanımı trafiği geniş biçimde açar. Gerçek ortamda kuralları güvenlik gereksinimlerinize göre sınırlandırın.
5. NSG’yi logical network’e bağlayın
Azure Local kaynağında Resources > Logical networks bölümünü açın ve korumak istediğiniz ağı seçin. Settings > Network security group sayfasında Associate network security group seçeneğine tıklayın, oluşturduğunuz NSG’yi seçin ve işlemi başlatın.
İşlem birkaç dakika sürebilir; ilerlemeyi portalın Notifications bölümünden izleyebilirsiniz. NSG bağlandığında kurallar, ilgili logical network’e bağlı sanal makinelere uygulanır.
Dikkat edilmesi gerekenler
AKS Arc, NSG atanmış logical network’leri desteklemez. Aynı Azure Local örneğinde Kubernetes iş yükleri çalıştırılacaksa bu iş yükleri için NSG bağlanmamış ayrı bir logical network kullanın.
