更新 NCP 部署規格

指定
nsx_api_managers
選項。它可以是符合 RFC3896 的 NSX Manager IP 位址或 URL 規格以逗點分隔的清單。例如，
nsx_api_managers = 192.168.1.181, 192.168.1.182, 192.168.1.183
如果您將 NCP 設定為使用基本驗證連線至
NSX-T
，請分別以使用者名稱和密碼指定
nsx_api_user
和
nsx_api_password
選項。由於此方式較不安全，不建議使用此驗證方法。如果將 NCP 設定為使用用戶端憑證進行驗證，則會略過這些選項。這些選項不會顯示在 NCP YAML 檔案中。您必須手動新增。
指定
nsx_api_cert_file
和
nsx_api_private_key_file
選項以便用於
NSX-T
的驗證。
nsx_api_cert_file
選項是 PEM 格式之用戶端憑證檔案的完整路徑。此檔案的內容應如下所示：
-----BEGIN CERTIFICATE-----
<certificate_data_base64_encoded>
-----END CERTIFICATE-----
nsx_api_private_key_file
選項是 PEM 格式之用戶端私密金鑰檔案的完整路徑。此檔案的內容應如下所示：
-----BEGIN PRIVATE KEY-----
<private_key_data_base64_encoded>
-----END PRIVATE KEY-----
透過使用用戶端憑證驗證，NCP 可以使用其主體身分識別來建立
NSX-T
物件。這表示，僅具有相同身分識別名稱的身分識別可修改或刪除物件。它可防止 NCP 所建立的
NSX-T
物件因錯誤而遭修改或刪除。請注意，管理員可以修改或刪除任何物件。如果物件使用主體身分識別名稱來建立，則會顯示警告來指出。
(選用) 指定
ca_file
選項。該值應為用來驗證 NSX Manager 伺服器憑證的 CA 服務包檔案。若未設定，則系統將會使用系統 root CA。如果您為
nsx_api_managers
指定一個 IP 位址，則指定一個 CA 檔案。如果您為 nsx_api_managers 指定三個 IP 位址，則可以指定一或三個 CA 檔案。如果您指定一個 CA 檔案，它將用於這三個管理程式。如果您指定三個 CA 檔案，每個檔案將用於 nsx_api_managers 中對應的 IP 位址。例如，
   nsx_api_managers = 192.168.1.181,192.168.1.182,192.168.1.183
   ca_file = ca_file_for_all_mgrs
or
   nsx_api_managers = 192.168.1.181,192.168.1.182,192.168.1.183
   ca_file = ca_file_for_mgr1,ca_file_for_mgr2,ca_file_for_mgr3
(選用) 指定
insecure
選項。如果設定為
True
，則不會驗證 NSX Manager 伺服器憑證。預設值為
False
。

設定 SNAT

ncp/no_snat: True

[coe]
enable_snat = False

[nsx_v3]
configure_t0_redistribution = True 

為 NAT 規則設定防火牆比對

[nsx_v3]
# This parameter indicate how firewall is applied to a traffic packet.
# Firewall can be bypassed, or be applied to external/internal address of
# NAT rule
# Choices: MATCH_EXTERNAL_ADDRESS MATCH_INTERNAL_ADDRESS BYPASS
#natfirewallmatch = MATCH_INTERNAL_ADDRESS

更新 nsx-node-agent DaemonSet 規格

  # Uncomment these mounts if installing NSX-OVS kernel module
#   # mount host lib modules to install OVS kernel module if needed
#   - name: host-modules
#     mountPath: /lib/modules
#   # mount openvswitch database
#   - name: host-config-openvswitch
#     mountPath: /etc/openvswitch
#   - name: dir-tmp-usr-ovs-kmod-backup
#   # we move the usr kmod files to this dir temporarily before
#   # installing new OVS kmod and/or backing up existing OVS kmod backup
#     mountPath: /tmp/nsx_usr_ovs_kmod_backup

#   # mount linux headers for compiling OVS kmod
#   - name: host-usr-src
#     mountPath: /usr/src

...

# Uncomment these volumes if installing NSX-OVS kernel module
# - name: host-modules
#   hostPath:
#     path: /lib/modules
# - name: host-config-openvswitch
#   hostPath:
#     path: /etc/openvswitch
# - name: dir-tmp-usr-ovs-kmod-backup
#   hostPath:
#     path: /tmp/nsx_usr_ovs_kmod_backup

# - name: host-usr-src
#   hostPath:
#     path: /usr/src

  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          project: test
    - podSelector:
        matchLabels:
          app: tea
    - ipBlock:
        cidr: 172.10.0.3/32
    - ipBlock:
        cidr: 172.10.0.2/32
    ...

更新命名空間名稱

啟用備份和還原

[k8s]
enable_restore = True

nsxcli
> get ncp-restore status
NCP restore status is INITIAL