BGP 피어

BGP 피어 (BGP peer)

BGPPeer 리소스는 Calico 클러스터의 하나 이상 노드가 라우트를 교환하는 원격 BGP 피어를 나타내요. BGP 피어를 구성하면 Calico 네트워크를 ToR(top-of-rack) 라우터 같은 데이터센터 패브릭과 피어링할 수 있어요. 클러스터 레이아웃에 대한 자세한 내용은 Calico의 Calico over IP fabrics 문서를 참고하세요.

출처: 문서

본문

Border Gateway Protocol(BGP) 피어 리소스(BGPPeer)는 Calico 클러스터의 하나 이상 노드가 라우트를 교환하는 원격 BGP 피어를 나타내요. BGP 피어를 구성하면 Calico 네트워크를 데이터센터 패브릭, 예를 들어 ToR(top-of-rack) 라우터와 피어링할 수 있어요. 클러스터 레이아웃에 대한 자세한 정보는 Calico의 Calico over IP fabrics 문서를 참고하세요.

샘플 YAML

apiVersion: projectcalico.org/v3
kind: BGPPeer
metadata:
  name: some.name
spec:
  node: rack1-host1
  peerIP: 192.168.1.1
  asNumber: 63400

BGP 피어 정의

메타데이터 (Metadata)

스펙 (Spec)

성공 팁: 피어와 통신할 때 사용하는 클러스터 전역 기본 로컬 AS 번호는 BGPConfiguration 리소스로 제어해요. 이 값은 node 리소스의 bgp 필드로 노드별로 재정의할 수 있어요.

보조 정보: 클러스터 내부 노드 간에 BGP 세션을 구성하려고 BGPPeer 리소스를 사용하고 싶다면, 예를 들어 기본값이 아닌 BGPPeer 파라미터를 설정하려는 경우, BGPConfiguration 리소스에서 nodeToNodeMeshEnabled 파라미터를 false로 설정해 노드 간 메시(node-to-node mesh)를 비활성화해야 해요.

BGPPassword

보조 정보: BGP 비밀번호는 80자 이하여야 해요. 그보다 긴 비밀번호를 구성하면 그 비밀번호를 쓰는 BGP 세션은 수립에 실패해요.

KeyRef

KeyRef는 Calico에게 BGP 비밀번호를 어디서 가져올지 알려줘요. 참조하는 Kubernetes 시크릿은 calico/node 파드와 같은 네임스페이스에 있어야 해요.

경고: Calico는 참조하는 시크릿을 읽을 수 있어야 해요.

즉, calico-node ServiceAccount가 KeyRef에서 참조하는 시크릿을 list, get, watch할 권한이 있어야 해요.

실무에서는 시크릿에 list, get, watch를 허용하는 Role과, 그 Role의 권한을 calico-node ServiceAccount에 부여하는 RoleBinding을 만들면 돼요.

예시:

---
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: bgp-passwords-reader
  namespace: calico-system # Or kube-system if installed using manifests.
rules:
  - apiGroups: [""]
    resources: ["secrets"]
    resourceNames: ["bgp-passwords"]
    verbs: ["list", "watch", "get"]

---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: calico-read-bgp-passwords
  namespace: calico-system # Or kube-system if installed using manifests.
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: Role
  name: bgp-passwords-reader
subjects:
  - kind: ServiceAccount
    name: calico-node

---
apiVersion: v1
kind: Secret
metadata:
  name: "bgp-passwords"
  namespace: calico-system # Or kube-system if installed using manifests.
data:
  peer_a_pw: "base64-encoded Password for Peer A"
  peer_b_pw: "base64-encoded Password for Peer B"

---
apiVersion: projectcalico.org/v3
kind: BGPPeer
metadata:
  name: "peer-a"
spec:
  password:
    secretKeyRef:
      name: "bgp-passwords"
      key: "peer_a_pw"

---
apiVersion: projectcalico.org/v3
kind: BGPPeer
metadata:
  name: "peer-b"
spec:
  password:
    secretKeyRef:
      name: "bgp-passwords"
      key: "peer_b_pw"

피어 스코프 (Peer scopes)

BGP 피어는 전역 또는 노드별 스코프 중 하나로 존재할 수 있어요. 피어의 스코프가 어떤 calico/node가 그 피어와 BGP 세션 수립을 시도할지 결정하죠. calico/node의 BGPConfiguration에 listenPort가 설정되어 있으면 피어링에 그 값이 사용돼요.

전역 피어 (Global peer)

BGP 피어에게 전역 스코프를 부여하려면 node와 nodeSelector 필드를 생략해요. 클러스터의 모든 노드가 그 피어와 BGP 커넥션 수립을 시도해요.

노드별 피어 (Node-specific peer)

BGP 피어는 노드별로 존재할 수도 있어요. node 필드가 있으면 지정한 노드만 그 피어와 피어링해요. nodeSelector 필드가 있으면 그 셀렉터와 라벨이 일치하는 노드들이 피어링해요.

셀렉터 (Selectors)

라벨 셀렉터는 리소스의 라벨을 기준으로 매칭되거나 매칭되지 않는 표현식이에요.

Calico 라벨 셀렉터는 여러 연산자를 지원하고, 불리언 연산자와 괄호로 더 큰 표현식을 조합할 수 있어요.

연산자의 우선순위는 다음과 같아요.

• 가장 높음: 모든 매치 연산자
• 괄호 ( ... )
• !를 사용한 부정
• &&를 사용한 논리곱
• 가장 낮음: ||를 사용한 논리합

예를 들어 다음 표현식은

! has(my-label) || my-label starts with 'prod' && role in {'frontend','business'}

이렇게 "괄호로 묶여" 있어요:

((!(has(my-label)) || ((my-label starts with 'prod') && (role in {'frontend','business'}))

이 표현식은 다음을 매칭해요:

• 라벨 "my-label"이 없는 모든 리소스.
• 다음 두 조건을 모두 만족하는 모든 리소스:
  • my-label의 값이 "prod"로 시작하고,
  • role 라벨의 값이 "frontend" 또는 "business" 중 하나인 경우.

더 알아보기 (Learn more)

BGPPeer는 데이터센터 패브릭이나 외부 라우터와 Calico를 피어링할 때 쓰는 핵심 리소스예요. 노드 간 BGP 세션을 직접 구성하려면 nodeToNodeMeshEnabled를 끄고 피어링을 명시적으로 정의해야 해요. 라벨 셀렉터 우선순위를 이해하면 nodeSelector·peerSelector를 정확히 짤 수 있어요.