Informationen zu Proxys für AI Data Engine
Änderungen vorschlagen
PDFs
Wenn Ihr AI Data Engine (AIDE) Host oder Cluster nicht direkt auf das Internet zugreifen kann, erfolgt der Zugriff über einen Forward Proxy, damit das Installationsprogramm und AI Data Engine Komponenten herunterladen, Container Images abrufen und sich bei NetApp Console registrieren können. Die Proxyoptionen sind für Single-Node- und Multi-Node-Deployments identisch. Die Schritte zur Vorbereitung und Durchführung der Installation unterscheiden sich, daher hat jeder Deployment-Typ einen eigenen Workflow.
Das Installationsprogramm konfiguriert den Proxy nicht für andere Software auf dem Host, wie z. B. den Paketmanager. Bei einem Single-Node Deployment konfiguriert das Installationsprogramm den Proxy für k3s und AI Data Engine und fügt das von Ihnen mit --proxy-ca-cert bereitgestellte CA-Zertifikat dem Host-Truststore hinzu. Bei einem Multi-Node Deployment konfiguriert das Installationsprogramm nur die AI Data Engine Workloads. Sie konfigurieren den Container Runtime Proxy und das Zertifikatsvertrauen auf jedem Knoten.
Deployment von AI Data Engine mit einem Proxy
Jeder Deployment-Typ verfügt über ein eigenes Thema mit dem vollständigen Verfahren, von der Vorbereitung der Umgebung bis zur Ausführung des Installationsprogramms.
-
"Einsetzen von AI Data Engine als Einzelknoten Deployment mit einem Proxy": Das Installationsprogramm konfiguriert den Proxy für die k3s-Laufzeitumgebung und für AI Data Engine und fügt das von Ihnen bereitgestellte CA-Zertifikat den Vertrauensspeichern hinzu.
-
"Einsatz von AI Data Engine als Multi-Node Deployment mit einem Proxy": Sie konfigurieren den Container-Runtime-Proxy und die Vertrauensstellung für das CA-Zertifikat auf jedem Knoten, bevor Sie das Installationsprogramm ausführen.
Was läuft über den Proxy
Nur internetgebundener Datenverkehr nutzt den Proxy. Alle AI Data Engine Internetziele verwenden HTTPS auf Port 443, daher muss Ihr Proxy CONNECT Verbindungen zu Port 443 für jeden Endpunkt in "Ausgehender Internetzugang" zulassen.
Der Datenverkehr in Ihrem Netzwerk wird direkt geleitet und muss auch ohne Proxy erreichbar bleiben:
-
Der Console Agent (
--cm-host) -
NFS, CIFS/SMB, ONTAP und StorageGRID Datenquellen
-
Active Directory und LDAP
-
Der Kubernetes API server und die internen Netzwerke des Clusters
Unterstützte Proxy-Konfigurationen
| Konfiguration | Beschreibung | Authentifizierung |
|---|---|---|
Kein Proxy |
Direkte Internetverbindung; es wird kein Proxy verwendet. |
Keine |
HTTP-Forward-Proxy |
AI Data Engine stellt über HTTP eine Verbindung zum Proxy her und tunnelt HTTPS-Ziele mit |
Keine oder HTTP Basic Authentifizierung (Benutzername und Passwort) |
HTTPS-Forward-Proxy |
AI Data Engine verbindet sich über TLS mit dem Proxy. Falls das Proxy-Zertifikat von einer privaten Zertifizierungsstelle (CA) signiert wurde, ist die Angabe des CA-Zertifikats erforderlich. |
Keine oder HTTP Basic Authentifizierung (Benutzername und Passwort) |
TLS-inspektierender Proxy |
Der Proxy entschlüsselt HTTPS-Datenverkehr und signiert das Zertifikat jedes Ziels mit seiner eigenen Inspektions-CA neu. |
Keine oder HTTP Basic Authentifizierung (Benutzername und Passwort) |
Sie können den Proxy über den Hostnamen oder die IPv4-Adresse ansprechen.
Unterstützte Proxy-Typen
AI Data Engine unterstützt zwei Proxy-Typen. Die Festlegung des Typs erfolgt mit --proxy-type.
Regulärer Forward Proxy (r) |
TLS-inspektierender Proxy (t) |
|
|---|---|---|
Wie es HTTPS-Datenverkehr verarbeitet |
Leitet Verbindungen über HTTP |
Entschlüsselt den HTTPS-Datenverkehr und signiert das Zertifikat jedes Ziels mit der Inspektions-CA des Proxys neu. |
|
Nur erforderlich, wenn der Proxy selbst HTTPS verwendet und sein Zertifikat von einer privaten Zertifizierungsstelle signiert ist. |
Erforderlich. Anzugeben ist das CA-Zertifikat, das der Proxy zur Überprüfung verwendet. Wenn Sie es weglassen, lehnt das Installationsprogramm den Befehl ab, bevor es Netzwerkverbindungen aufbaut. |
|
|
|
Ein TLS-inspektierender Proxy unterscheidet sich von einem HTTPS-Proxy. Ein HTTPS-Proxy ist ein Proxy, zu dem Sie über TLS eine Verbindung herstellen (--proxy-scheme https). Ein TLS-inspektierender Proxy ist ein Proxy, der die Zertifikate der Ziele, die Sie über ihn erreichen, neu signiert. Ein TLS-inspektierender Proxy kann beide Schemata verwenden.
Einige andere Proxy-Funktionen werden nicht unterstützt. Weitere Informationen finden Sie in "Bekannte Einschränkungen".
Das Installationsprogramm verwendet einen Proxy für jedes Internetziel und jede AI Data Engine Komponente. Die Proxy-Einstellungen werden während der Installation festgelegt.
Proxy-Konfigurationsparameter
| Parameter | Standard | Beschreibung |
|---|---|---|
|
Keine |
Hostname oder IPv4-Adresse des Forward-Proxys, ohne |
|
|
Der Port, auf dem der Proxy lauscht. Wird ignoriert, wenn der Port bereits in |
`--proxy-scheme <http |
https>` |
|
Das Protokoll, das für die Verbindung mit dem Proxyserver selbst verwendet wird. Dies ist nicht das Schema der Ziele, die der Proxy erreicht. Die meisten Forward-Proxys verwenden unverschlüsseltes HTTP, daher wird für diese |
|
Keine |
Pfad zu einer PEM-Datei oder zu einem flachen Verzeichnis mit Dies ist erforderlich, wenn:
Bei einem regulären Proxy ( |
|
Keine |
Benutzername für die Basisauthentifizierung. Bei Verwendung eines HTTP Proxyservers warnt das Installationsprogramm, dass die Anmeldeinformationen unverschlüsselt an den Proxy übertragen werden. Ein Passwort ist erforderlich, das mit |
|
Keine |
Pfad zu einer lokalen Datei, die nur das Proxy-Passwort enthält und deren Berechtigungen auf |
`--proxy-type |
t>` |
|
Proxy-Typ. |
|
|
Das Installationsprogramm akzeptiert --proxy-password oder die PROXY_PASSWORD Umgebungsvariable nicht. Als Alternative dienen --proxy-password-file oder die interaktive Eingabeaufforderung.
|
Der Download des Installers
Der aus NetApp Console kopierte Installationsbefehl lädt das Installationsprogramm von einem Content Delivery Network (CDN) herunter und führt es anschließend in einem Schritt aus. Der Download verwendet keinen Proxy. Wenn der Zielhost das Internet nur über einen Proxyserver erreicht, erfolgt der Download des Installationsprogramms manuell, und der Installationsbefehl wird aus dem extrahierten Installationsprogramm ausgeführt. Die Deployment Themen beschreiben diese Schritte.
Proxy-Überprüfung
Bevor das Installationsprogramm etwas herunterlädt, führt es vom Installationshost aus eine Überprüfung durch. Die Überprüfung bestätigt, dass der Proxy antwortet, dass der Proxy Ihre Anmeldeinformationen akzeptiert und dass das Proxy-Zertifikat für das gewählte Schema gültig ist. Wenn die Überprüfung fehlschlägt, wird die Installation abgebrochen und die Ursache angegeben, beispielsweise ein falscher Port, ein falsches Schema oder ein abgelehntes Passwort (HTTP 407).
Bei Deployments mit mehreren Knoten umfasst die Prüfung nur den Proxy. Es wird nicht geprüft, ob die Clusterknoten den Proxy erreichen können.
Änderung der Proxy-Einstellungen nach der Installation
Die Proxy-Einstellungen werden während der Installation festgelegt. Auf einem installierten Cluster läuft das Installationsprogramm nicht erneut. Änderungen des Proxy-Hosts, des Ports, der Anmeldeinformationen oder des CA-Zertifikats nach der Installation sind über NetApp Support möglich.