Platform 4.6 中，OpenShift SDN 支 持在默认的网络隔离模式中使用网络策略。 注意 注意 在使用 OpenShift SDN 集群网络供应商时，网络策略会有以下限制： 不支持由 egress 字段指定的出口网络策略。 网络策略支持 IPBlock，但不支持 except。如果创建的策略带有一个有 except 的 IPBlock 项，SDN pod 的日志中会出现警告，策略中的整个 To Port: (traffic allowed to all ports) From: PodSelector: Not affecting egress traffic Policy Types: Ingress kind: NetworkPolicy apiVersion: networking.k8s.io/v1 metadata: ports) From: NamespaceSelector: network.openshift.io/policy-group: ingress Not affecting egress traffic Policy Types: Ingress Name: allow-from-openshift-monitoring OpenShift Container

Kubernetes 服务发现。 部署 部署 维护应用程序生命周期的 Kubernetes 资源对象。 domain Domain（域）是 Ingress Controller 提供的 DNS 名称。 egress 通过来自 pod 的网络出站流量进行外部数据共享的过程。 外部 外部 DNS Operator External DNS Operator 部署并管理 ExternalDNS，以便为从外部 Platform 4.9 中，OpenShift SDN 支 持在默认的网络隔离模式中使用网络策略。 注意 注意 在使用 OpenShift SDN 集群网络供应商时，网络策略会有以下限制： 不支持由 egress 字段指定的网络策略出口。在 OpenShift SDN 中，出口防火墙 也称为出口网络策略。这和网络策略出口不同。 网络策略支持 IPBlock，但不支持 except。如果创建的策略带有一个有 - Ingress - Egress --- apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: allow-from-same-namespace spec: podSelector: {} policyTypes: - Ingress - Egress ingress:

Kubernetes 服务发现。 部署 部署 维护应用程序生命周期的 Kubernetes 资源对象。 domain Domain（域）是 Ingress Controller 提供的 DNS 名称。 egress 通过来自 pod 的网络出站流量进行外部数据共享的过程。 外部 外部 DNS Operator External DNS Operator 部署并管理 ExternalDNS，以便为从外部 ingress 或 egress 规则的一 个网络策略比带有 ingress 或 egress 子集的多个网络策略更高效。 每个基于 podSelector 或 namespaceSelector spec 的 ingress 或 egress 规则会生成一个的 OVS 流数量，它与由网 由网络 络策略 策略选择 选择的 的 pod 数量 数量 + 由 由 ingress 或 或 egress 选择 选择的 网 网络 络策略 策略 209 以下策略表示这两个规则与以下相同的规则： 相同的指南信息适用于 spec.podSelector spec。如果不同的网络策略有相同的 ingress 或 egress 规则，则创建一个带有通用的 spec.podSelector spec 可能更有效率。例如，以下两个 策略有不同的规则： 以下网络策略将这两个相同的规则作为一个： apiVersion: networking

它会截获所有入站（ingress）和出站（egress）网络流量。 Istio 数据平面由与 pod 中侧应用程序容器一起运行的 Envoy 容器组成。Envoy 容器充当代理，控制与 pod 往来的所有网络通信。 Envoy 代理 是与 data plane 流量交互的唯一 Istio 组件。服务之间的所有传入（ingress）和传出 （egress）网络流量通过代理流。Envoy 代理还会收 代理，用于接 收和控制进入服务网格的流量。Ingress 网关允许将监控和路由规则等功能应用到进入集 群的流量。 Egress-gateway - 另外称为出口控制器（Egress Gateway），Egress 网关是一个专用 的 Envoy 代理，用于管理离开服务网格的流量。Egress 网关允许对流量退出网格应用监 控和路由规则等功能。 control plane 管理并配置组成数据平面的代理 spec.gateways.enabled=false 可禁用入口和出口网关。 spec.gateways.ingress.enabled=false 禁用入口网关。 spec.gateways.egress.enabled=false 禁用出口网关。 注意 注意 Operator 注解了默认网关，以指示它们由 Red Hat OpenShift Service Mesh Operator 生 成并管理。

TP TP Operator Lifecycle Manager TP GA Red Hat OpenShift Service Mesh TP TP "Fully Automatic" Egress IPs GA GA Pod Priority and Preemption GA GA Dockerfiles 的 Multi-stage build TP GA OVN TP 基于 openshift4/ose-docker-builder openshift4/ose-docker-registry openshift4/ose-egress-dns-proxy openshift4/ose-egress-http-proxy openshift4/ose-egress-router openshift4/ose-elasticsearch-operator openshift4/ose-etcd

包括 包括 N/A Red Hat OpenStack Platform (RHOSP) Kuryr 集成 包括 包括 N/A Ingress 集群范围的防火 墙 包括 包括 N/A Egress Pod 和命名空间 颗粒控制 包括 包括 N/A OpenShift Container Platform 4.6 关于 关于 12 Ingress 非标准端口 包括 包括 N/A Multus

networking.istio.io/v1alpha3 kind: Sidecar metadata: name: default namespace: bookinfo spec: egress: - hosts: - "./*" - "istio-system/*" 第 第 5 章 章 SERVICE MESH 用 用户 户指南 指南 71 设置入口 IP 和端口：

未设置，则 使用默认的审计日志设置。 gatewayConfig object 可选：指定一个配置对象来自定义如何将出口流量发送到节点网 关。 注意 注意 While migrating egress traffic, you can expect some disruption to workloads and service traffic until the Cluster Network 未设置，则 使用默认的审计日志设置。 gatewayConfig object 可选：指定一个配置对象来自定义如何将出口流量发送到节点网 关。 注意 注意 While migrating egress traffic, you can expect some disruption to workloads and service traffic until the Cluster Network 未设置，则 使用默认的审计日志设置。 gatewayConfig object 可选：指定一个配置对象来自定义如何将出口流量发送到节点网 关。 注意 注意 While migrating egress traffic, you can expect some disruption to workloads and service traffic until the Cluster Network

不支持 不支持 IBM Cloud 的云控制器管理器 支持 不支持 在节点上控制过量使用和管理容器密度 不支持 不支持 Cron 作业 支持 支持 Descheduler 支持 支持 Egress IP 支持 支持 加密数据存储在 etcd 中 支持 支持 FIPS 加密 支持 支持 Helm 支持 支持 Pod 横向自动扩展 支持 支持 IBM 安全执行 不支持 支持 IBM

网络接口卡（NIC）验证阶段失败，因为它没有等待节点上的设备可用。pod 在节点上启动运行 的等待时间太短，因此 pod 仍可能处于 Pending 状态，测试不正确。(BZ#1890088) ose-egress-dns-proxy 镜像有一个已知缺陷，导致容器无法启动。这个镜像在以前的版本中也 无法正常工作，因此在4.6 中不被视为回归。(BZ#1888024) 在 OpenShift Container