High Availability 권장 사항

서로 다른 시스템에서 정확히 세 개의 전용 노드, 한 개의 예약된 가상 IP 주소, 한 개의 공유 레이어 2 세그먼트 또는 브로드캐스트 도메인을 사용합니다.

세 노드 모두 문서화된 시스템 요구 사항을 충족하는지 확인합니다.

모든 노드를 동일한 전용 VLAN 또는 기타 격리된 레이어 2 세그먼트에 유지하고, 해당 세그먼트에서 Keepalived VRRP 트래픽을 유지합니다.

노드 시간 동기화를 유지합니다. 프로비저닝하려면 노드 클럭의 차이가 1초를 초과하지 않아야 하며 5초 이상의 차이는 권장되지 않습니다.

가상 IP를 브라우저 클라이언트, OPC UA 클라이언트, MQTT 클라이언트,

FactoryTalk Optix

Studio 배포를 위한 유일한 끝점으로 사용합니다.

프로젝트 포트를 클러스터 포트와 일치하도록 유지합니다. 예를 들어, 클러스터의 웹 포트는 프로젝트의

웹프레젠테이션엔진

포트와 일치해야 합니다.

미리 구성된 포트

포트 이름	기본 포트
웹 프레젠테이션 엔진(http)	80
웹 프레젠테이션 엔진(https)	443
OPC UA 서버(opcua)	59100
MQTT 브로커(mqtt)	8883

지속되어야 하는 런타임 변경에 대해 보존성 저장소를 구성합니다. HighAvailability 모듈을 추가하면 보존성 저장소가 공유 클러스터 데이터베이스를 자동으로 사용합니다.

기타 페일오버에 중요한 데이터는 응용 프로그램 파일 폴더 외부에 저장합니다. 해당 위치에 기록되는 런타임 생성 파일은 노드 간에 동기화되지 않으며, 내장형 데이터베이스 동기화는 지원되지 않고, 외부 데이터베이스로의 로깅이 문서화된 설계입니다.

페일오버 중에는 런타임 응용 프로그램 실행이 일시적으로 중지됩니다. 데이터 로깅과 같은 작업도 중지됩니다. 노드 전환 중에 웹 클라이언트와 런타임 응용 프로그램 간에 일시적인 연결 손실이 발생합니다. 페일오버 시간은 장애 유형 및 응용 프로그램 크기에 따라 다릅니다.

페일오버 전반에서 OPC UA ID 및 신뢰를 안정적으로 유지합니다. 프로젝트 아카이브에 서버 인증서와 개인 키를 제공하고, 신뢰 저장소를 예상되는 클라이언트 인증서로 미리 채웁니다.

클러스터를 설치하기 전에 모든 노드에서 디스크 암호화를 활성화합니다. 디스크 암호화가 없으면

/var/lib/rancher/k3s/storage

의 영구 볼륨이 일반 텍스트로 유지됩니다.

SSH 키 기반 인증만 사용하고, 관리 네트워크에 대한 SSH 액세스를 제한하고, 자동 보안 업데이트를 활성화하고, 불필요한 서비스와 패키지를 비활성화하고, 감사 데몬을 계속 실행하고, K3s 데이터와 에이전트 자격 증명을 보호하고, 각 노드에 운영 체제 및 K3s 보안 패치를 적용합니다.

방화벽 규칙을 신뢰할 수 있는 CIDR의 필수 포트로 제한합니다. 외부 소스로부터의 NodePort 범위를 차단하고, 기본적으로 다른 인바운드 트래픽을 차단합니다.

노출된 서비스에 문서화된 보안 설정을 사용합니다. 웹 프레젠테이션 엔진을 HTTPS용으로 구성하고, MQTT를 사용할 때 TLS를 사용하고, 런타임 OPC UA 서버에 OPC UA 보안 모드를 적용합니다.

수정 조치를 수행하기 전에 진단 및 내보낸 로그로 클러스터 문제를 확인합니다.

클러스터를 제거하거나 재구축하기 전에 영구 데이터를 백업합니다. 클러스터를 제거하면 영구 저장소, 프로젝트 데이터, 데이터베이스 데이터가 삭제됩니다.