更新 NCP 部署规范

指定
nsx_api_managers
选项。它可以是以逗号分隔的 NSX Manager IP 地址或 URL 规范（符合 RFC3896）的列表。例如，
nsx_api_managers = 192.168.1.181, 192.168.1.182, 192.168.1.183
如果将 NCP 配置为使用基本身份验证连接到
NSX
，请分别使用用户名和密码指定
nsx_api_user
和
nsx_api_password
选项。不建议使用此身份验证方法，因为它的安全性较差。如果将 NCP 配置为使用客户端证书进行身份验证，则系统会忽略这些选项。这些选项不会显示在 NCP YAML 文件中。您必须手动添加它们。
指定
nsx_api_cert_file
和
nsx_api_private_key_file
选项以使用
NSX
进行身份验证。
nsx_api_cert_file
选项是指向 PEM 格式的客户端证书文件的完整路径。该文件的内容应如下所示：
-----BEGIN CERTIFICATE-----
<certificate_data_base64_encoded>
-----END CERTIFICATE-----
nsx_api_private_key_file
选项是指向 PEM 格式的客户端私钥文件的完整路径。该文件的内容应如下所示：
-----BEGIN PRIVATE KEY-----
<private_key_data_base64_encoded>
-----END PRIVATE KEY-----
通过使用客户端证书身份验证，NCP 可以使用其主体身份来创建
NSX
对象。这意味着，只有具有相同标识名称的身份才能修改或删除这些对象。它可防止由 NCP 创建的
NSX
对象被错误修改或删除。请注意，管理员可以修改或删除任何对象。如果对象是使用主体身份创建的，警告将指出这一点。
（可选）指定
ca_file
选项。该值应该是在验证 NSX Manager 服务器证书时使用的 CA 包文件。如果未设置，将使用系统根 CA。如果为
nsx_api_managers
指定一个 IP 地址，则指定一个 CA 文件。如果为 nsx_api_managers 指定三个 IP 地址，则可以指定一个或三个 CA 文件。如果指定一个 CA 文件，则该文件将用于所有三个管理器。如果指定三个 CA 文件，则每个文件将用于 nsx_api_managers 中对应的 IP 地址。例如，
   nsx_api_managers = 192.168.1.181,192.168.1.182,192.168.1.183
   ca_file = ca_file_for_all_mgrs
or
   nsx_api_managers = 192.168.1.181,192.168.1.182,192.168.1.183
   ca_file = ca_file_for_mgr1,ca_file_for_mgr2,ca_file_for_mgr3
（可选）指定
insecure
选项。如果设置为
True
，则不会验证 NSX Manager 服务器证书。默认值为
False
。

配置 SNAT

ncp/no_snat: True

[coe]
enable_snat = False

[nsx_v3]
configure_t0_redistribution = True 

为 NAT 规则配置防火墙匹配

[nsx_v3]
# This parameter indicate how firewall is applied to a traffic packet.
# Firewall can be bypassed, or be applied to external/internal address of
# NAT rule
# Choices: MATCH_EXTERNAL_ADDRESS MATCH_INTERNAL_ADDRESS BYPASS
#natfirewallmatch = MATCH_INTERNAL_ADDRESS

更新 nsx-node-agent DaemonSet 规范

  # Uncomment these mounts if installing NSX-OVS kernel module
#   # mount host lib modules to install OVS kernel module if needed
#   - name: host-modules
#     mountPath: /lib/modules
#   # mount openvswitch database
#   - name: host-config-openvswitch
#     mountPath: /etc/openvswitch
#   - name: dir-tmp-usr-ovs-kmod-backup
#   # we move the usr kmod files to this dir temporarily before
#   # installing new OVS kmod and/or backing up existing OVS kmod backup
#     mountPath: /tmp/nsx_usr_ovs_kmod_backup

#   # mount linux headers for compiling OVS kmod
#   - name: host-usr-src
#     mountPath: /usr/src

...

# Uncomment these volumes if installing NSX-OVS kernel module
# - name: host-modules
#   hostPath:
#     path: /lib/modules
# - name: host-config-openvswitch
#   hostPath:
#     path: /etc/openvswitch
# - name: dir-tmp-usr-ovs-kmod-backup
#   hostPath:
#     path: /tmp/nsx_usr_ovs_kmod_backup

# - name: host-usr-src
#   hostPath:
#     path: /usr/src

  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          project: test
    - podSelector:
        matchLabels:
          app: tea
    - ipBlock:
        cidr: 172.10.0.3/32
    - ipBlock:
        cidr: 172.10.0.2/32
    ...

更新命名空间名称

启用备份和还原

[k8s]
enable_restore = True

nsxcli
> get ncp-restore status
NCP restore status is INITIAL