Teleport 클러스터는 여러 네트워크로 구성된 분산 시스템입니다. 예를 들어, Teleport Enterprise (Cloud)에서는 Auth 서비스와 Proxy 서비스가 Teleport 관리 인프라에서 실행되며, Teleport 사용자는 에이전트와 tbot 인스턴스를 관리합니다.

이 참조 가이드는 Teleport 클러스터의 네트워킹 요구 사항을 설명합니다.

공용 주소

public_addr: ["service1.example.com", "service2.example.com"]

HTTP CONNECT 프록시

일부 네트워크는 모든 연결을 프록시 서버를 통해 전달하여 감사 및 액세스 제어 규칙을 적용할 수 있습니다. 이러한 시나리오를 위해, Teleport는 HTTP CONNECT 터널링을 지원합니다. HTTP CONNECT는 다음에 적용됩니다:

• 모든 경우의 tsh
• Teleport Proxy 서비스로 다시 연결하는 SSH 서비스 및 데이터베이스 서비스와 같은 Teleport 서비스

HTTP CONNECT 터널링을 사용하려면 Teleport를 실행할 때 HTTPS_PROXY 및 HTTP_PROXY 환경 변수를 설정하십시오. 특정 호스트/넷마스크/포트에 접근할 때 프록시 사용을 피하려면 선택적으로 NO_PROXY 환경 변수를 설정할 수 있습니다.

기본적으로 패키지 관리자를 기반으로 한 Teleport 설치(예: apt 및 yum )는 EnvironmentFile 필드를 사용하여 /etc/default/teleport 파일에서 환경 변수를 읽도록 teleport systemd 유닛을 구성합니다:

(!/examples/systemd/teleport.service!)

HTTP CONNECT 터널링을 구성하려면 Teleport 바이너리를 실행하는 기계의 /etc/default/teleport 내에서 이러한 환경 변수를 할당할 수 있습니다. 다음 예제를 사용하여 proxy.example.com 을 프록시 주소로 바꾸십시오:

HTTP_PROXY=http://proxy.example.com:8080/
HTTPS_PROXY=http://proxy.example.com:8080/
NO_PROXY=localhost,127.0.0.1,192.168.0.0/16,172.16.0.0/12,10.0.0.0/8

Teleport가 메인 클러스터에 리버스 터널을 구축하고 이를 설정하면, 모든 트래픽이 프록시를 통해 전송됩니다. 구성을 기본으로 할 경우, Teleport는 포트 3024 (SSH, 리버스 터널) 및 3080 (HTTPS, 신뢰 설정)을 프록시를 통해 터널링합니다. 이 트래픽 중 일부(예: HTTPS는 프록시하지만 SSH는 프록시하지 않음)를 프록시하고 싶지 않다면, NO_PROXY 를 host:port 형식으로 HTTP_CONNECT 터널링에서 제외할 Teleport Proxy 서비스 엔드포인트 주소로 할당하십시오.

예를 들어, Teleport 바이너리를 실행하는 각 기계의 /etc/default/teleport 환경 파일을 다음과 같이 수정할 수 있습니다:

HTTP_PROXY=http://httpproxy.example.com:8080/
HTTPS_PROXY=http://httpproxy.example.com:8080/
NO_PROXY=teleportproxy.example.com:3024

HTTPS_PROXY 또는 HTTP_PROXY 의 값은 scheme://[user[:password]@]host:port 형식이어야 하며, 여기서 scheme은 https 또는 http 입니다. 값이 host:port 인 경우, Teleport는 http 를 접두사로 붙입니다.

포트

이 섹션에서는 Teleport 인스턴스에서 열어야 할 포트에 대해 설명합니다.

curl https://teleport.example.com:443/webapi/ping | jq

curl https://example.teleport.sh/webapi/ping | jq '.proxy'

{
  "kube": {
    "enabled": true,
    "listen_addr": "0.0.0.0:3080"
  },
  "ssh": {
    "listen_addr": "0.0.0.0:3080",
    "tunnel_listen_addr": "0.0.0.0:3080",
    "web_listen_addr": "0.0.0.0:3080",
    "public_addr": "example.teleport.sh:443",
    "dial_timeout": 30000000000
  },
  "db": {
    "postgres_listen_addr": "0.0.0.0:3080",
    "mysql_listen_addr": "0.0.0.0:3080"
  },
  "tls_routing_enabled": true
}

에이전트 포트

Teleport 에이전트는 Teleport Proxy Service에 다이얼하여 역터널을 설정합니다. 클라이언트 트래픽은 Proxy Service를 통해 에이전트로 흐르고, 에이전트는 트래픽을 귀하의 인프라 내 리소스로 전달합니다.

결과적으로 에이전트를 실행하는 Teleport 프로세스(예: SSH Service, Kubernetes Service 및 인프라 내 리소스를 보호하는 다른 서비스)의 경우, 에이전트를 실행하는 머신에서 공개 인터넷에 포트를 열 필요가 없습니다.