【K8S系列】深入解析k8s网络

分类：k8s作者：颜淡慕潇

 序言

你只管努力，其他交给时间，时间会证明一切。

文章标记颜色说明：

  • 黄色：重要标题
  • 红色：用来标记结论
  • 绿色：用来标记一级论点
  • 蓝色：用来标记二级论点

Kubernetes (k8s) 是一个容器编排平台，允许在容器中运行应用程序和服务。今天学习一下k8s网络相关的内容

希望这篇文章能让你不仅有一定的收获，而且可以愉快的学习，如果有什么建议，都可以留言和我交流

 专栏介绍

这是这篇文章所在的专栏，欢迎订阅：【深入解析k8s】专栏

简单介绍一下这个专栏要做的事：

主要是深入解析每个知识点，帮助大家完全掌握k8s,以下是已更新的章节

这是专栏介绍文章地址：【深入解析K8S专栏介绍】

思考问题

   

  

 经过前面的学习，我们已经知道k8s是由各种组件、对象组成，那它是如何解决： 

  • Docker容器和Docker容器之间的网络？
  • Pod与Pod之间的网络？
  • Pod与Service之间的网络？
  • Internet与Service之间的网络？

1 基本介绍

1.1 K8s网络是什么

Kubernetes网络是指在Kubernetes集群中不同组件之间进行通信和交互的网络架构。

在Kubernetes中，每个容器都有自己的IP地址，这些容器组成了Pod，Pod是Kubernetes调度的最小单元。

Kubernetes网络的设计目标是支持多种网络模型，并提供可插拔的网络插件，从而使Kubernetes能够在不同的云和物理环境中运行。

Kubernetes网络通常分为四个层次：

  • 容器网络接口（CNI）
  • Pod网络
  • Service网络
  • Ingress网络

 容器网络接口（CNI）层

Kubernetes网络的底层是CNI层，它是一个独立的插件系统，用于为容器分配IP地址、创建网络接口和配置网络环境。

CNI插件可以在Kubernetes的各种云和物理环境中使用，例如AWS、GCP、Azure、OpenStack、Bare metal等。

这一层解决的是—Docker容器和Docker容器之间的网络

Pod是最小的可调度单元，通常包含一个或多个容器。Pod内的容器可以通过localhost（127.0.0.1）进行通信，这种通信方式不需要网络环境的支持，因此可以实现较低的延迟和较高的吞吐量。

在Pod内部，容器之间可以通过共享网络命名空间进行通信。所有容器共享Pod的IP地址和网络命名空间，它们可以使用localhost或Pod的IP地址进行通信。可以通过在Pod的配置文件中指定容器之间的端口映射来定义容器之间的通信方式。

例如，在一个Pod中有两个容器A和B，A需要向B发送HTTP请求。可以在Pod的配置文件中为容器A和容器B分别指定端口号，然后在容器A中使用localhost和容器B的端口号进行通信。容器B在接收到请求后可以返回HTTP响应。

Pod网络层

Pod网络层是容器的网络层，它为Pod提供了单独的IP地址和网络空间。Pod网络层可以使用多种网络模型，如host模式、overlay模式、macvlan模式等。

这一层解决的是—Pod与Pod之间的网络通讯

Pod间通信：

Pod是Kubernetes中最小的部署单元，每个Pod都有一个唯一的IP地址，Pod内的容器共享该IP地址和网络命名空间。

Pod间通信可以使用多种技术，如Kubernetes默认的CNI插件、Flannel、Calico、Weave Net等。

Service网络层

Service网络层是Kubernetes网络的中间层，它定义了Service之间的网络通信，为Service提供了一个虚拟IP地址，将请求路由到后端Pod的实际IP地址。

Service网络层可以使用ClusterIP、NodePort、LoadBalancer等多种类型。

这一层解决的是—Pod与Service之间的网络 

Ingress网络层

Ingress网络层是Kubernetes网络的顶层，它允许外部流量进入Kubernetes集群，并将请求路由到不同的Service。

Ingress网络层可以使用多种Ingress控制器，如Nginx、Traefik、HAProxy等。 

 这一层解决的是—Internet与Service之间的网络

2 k8s网络模型

Kubernetes网络模型是一个为容器提供网络连接的框架，它允许容器在Kubernetes集群内和外部进行通信。

Kubernetes网络模型包括以下几个方面：

  1. Pod间通信：Pod是Kubernetes中最小的部署单元，每个Pod都有一个唯一的IP地址，Pod内的容器共享该IP地址和网络命名空间。Pod间通信可以使用多种技术，如Kubernetes默认的CNI插件、Flannel、Calico、Weave Net等。

  2. Pod与Service通信：Service是Kubernetes中用于访问Pod的一种抽象机制，它为一组Pod提供一个统一的访问入口，并分发请求到后端的Pod。Pod与Service之间的通信可以直接使用Service的IP地址或DNS名称，Kubernetes会自动将请求路由到后端的Pod。

  3. Pod与Node通信：Kubernetes中的Pod可以与它所在的节点进行通信，这种通信方式通常用于容器化应用需要访问宿主机上的资源，如宿主机上的文件、设备等。Pod与Node之间的通信可以通过节点IP地址或本地环回地址（127.0.0.1）进行。

  4. Service与外部网络通信：Kubernetes中的Service可以暴露给外部网络访问，这可以通过Ingress、NodePort或LoadBalancer等机制实现。Ingress是一种Kubernetes中的资源对象，用于将外部HTTP/HTTPS流量路由到Service中，它可以提供负载均衡、SSL终止等功能。NodePort是一种Service类型，它将Service的端口映射到每个节点的固定端口上，从而允许外部网络通过节点IP地址和该端口访问Service。LoadBalancer是一种Service类型，它使用云提供商的负载均衡器将外部网络流量路由到Service中。

Kubernetes网络模型提供了一种灵活、可扩展、高可用、安全的网络解决方案，使得容器之间能够相互通信以及与外界进行通信，为容器化应用的部署和运行提供了强大的支持。

网络方案

Kubernetes网络模型是基于容器、Pod、Service和Ingress等抽象概念构建的，它提供了以下特性：

  1. 容器间通信：容器可以直接通过Pod网络进行通信，无需进行端口映射或NAT。

  2. Service发现：Service网络层为Service提供了一个虚拟IP地址，使得其他容器可以通过Service名称和端口号访问该服务。

  3. 负载均衡：Kubernetes支持多种负载均衡算法，如Round Robin、IP Hash、Least Connection等。

  4. 网络隔离：Kubernetes支持通过网络策略实现容器之间的网络隔离，从而保护容器的安全性。

  5. 外部流量管理：Ingress网络层提供了外部流量管理机制，允许外部请求进入Kubernetes集群，并将请求路由到不同的Service。

Kubernetes网络架构和网络模型提供了高度可扩展性、可插拔性和高可用性的网络解决方案，使得开发人员可以更加轻松地部署和管理容器化应用程序。

k8s网络插件

Kubernetes 是一个强大的容器编排平台，它提供了多种网络插件，用于在集群中实现容器之间和容器与外部网络的通信。以下是几种常用的 Kubernetes 网络插件：

  1. Kube-router
  2. Flannel
  3. Calico
  4. Weave Net
  5. Cilium

1 Kube-router

Kube-router 是一种基于 BGP 协议的容器网络方案，它可以在集群中创建一个虚拟网络，并使用 BGP 协议来管理容器之间的通信。

具体来说，Kube-router 会为每个容器分配一个唯一的 IP 地址，并使用 BGP 协议将这些 IP 地址添加到路由表中。

Kube-router 还支持多种网络拓扑结构，包括扁平网络、网格网络和点对点网络等。

使用示例

以下是使用 Kube-router 网络插件的示例代码，

演示前提：已经安装了 Kubernetes 集群和 Kube-router 网络插件：

创建一个 Kubernetes Deployment

apiVersion: apps/v1
kind: Deployment #资源类型为Deployment
metadata:
  name: nginx-deployment
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: nginx:latest
        ports:
        - containerPort: 80

创建一个 Kubernetes Service

apiVersion: v1
kind: Service #资源类型为service
metadata:
  name: nginx-service
spec:
  selector:
    app: nginx
  ports:
    - name: http
      port: 80
      targetPort: 80
  type: ClusterIP

创建一个 Kubernetes Pod，使用 Kube-router 网络插件

apiVersion: v1
kind: Pod  #资源类型为pod
metadata:
  name: kube-router-pod
spec:
  containers:
  - name: kube-router-container
    image: kube-router/kube-router:v1.3
    command:
    - kube-router
    - run
    args:
    - --run-router=false
    - --run-firewall=false
    - --run-service-proxy=false
    - --run-egress=false
    - --enable-cni=true
    - --cni-bin-dir=/opt/cni/bin
    - --cni-conf-dir=/etc/cni/net.d
    - --cni-network-config='{
        "cniVersion": "0.3.1","name": "kube-router","type": "kube-router"
      }'
    volumeMounts:
    - name: cni-bin
      mountPath: /opt/cni/bin
    - name: cni-conf
      mountPath: /etc/cni/net.d
  volumes:
  - name: cni-bin
    hostPath:
      path: /opt/cni/bin
  - name: cni-conf
    hostPath:
      path: /etc/cni/net.d

在该示例中，

创建了一个 Pod，并使用 Kube-router 网络插件来管理容器的网络配置。

具体来说，是在容器中启动了 Kube-router 进程，并通过命令行参数来配置插件的运行模式和网络配置。

还使用了 hostPath 卷来挂载 CNI 插件所需的文件和配置。

需要注意的是，在使用 Kube-router 网络插件时，需要根据不同的网络需求和环境来配置参数和选项。具体的配置方法可以参考 Kube-router 的官方文档和示例代码。

2 Flannel

Flannel 是一种基于 VXLAN 或者 UDP 的虚拟网络方案，它通过在每个节点上创建一个虚拟网络来实现容器之间的通信。

具体来说，Flannel 会为每个节点分配一个唯一的 IP 地址段，并将每个容器的 IP 地址映射到这个 IP 地址段中。

Flannel 需要依赖 etcd 或者其他分布式键值存储系统来存储网络配置信息。

使用示例 

以下是使用 Flannel 网络插件的示例代码，

演示前提：已经安装了 Kubernetes 集群和 Flannel 网络插件：

创建一个 Kubernetes Deployment

apiVersion: apps/v1
kind: Deployment #资源类型
metadata:
  name: nginx-deployment
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: nginx:latest
        ports:
        - containerPort: 80

创建一个 Kubernetes Service

apiVersion: v1
kind: Service #资源类型
metadata:
  name: nginx-service
spec:
  selector:
    app: nginx
  ports:
    - name: http
      port: 80
      targetPort: 80
  type: ClusterIP

创建一个 Kubernetes Pod，使用 Flannel 网络插件

apiVersion: v1
kind: Pod #资源类型
metadata:
  name: flannel-pod
spec:
  containers:
  - name: flannel-container
    image: quay.io/coreos/flannel:v0.14.0
    command:
    - /opt/bin/flanneld
    args:
    - --ip-masq
    - --kube-subnet-mgr
    - --iface=eth0
    securityContext:
      privileged: true
    volumeMounts:
    - name: flannel-cfg
      mountPath: /etc/kube-flannel/
  volumes:
  - name: flannel-cfg
    configMap:
      name: kube-flannel-cfg #挂载

在该示例中，创建了一个 Pod，并使用 Flannel 网络插件来管理容器的网络配置。另外，在容器中启动了 Flannel 进程，并通过命令行参数来配置插件的运行模式和网络配置。

还使用了 configMap 卷来挂载 Flannel 的配置文件。

需要注意的是，在使用 Flannel 网络插件时，需要根据不同的网络需求和环境来配置参数和选项。

具体的配置方法可以参考 Flannel 的官方文档和示例代码。

3 Calico

Calico 是一种基于 BGP 协议的容器网络方案，它使用 IP 路由表来管理容器之间的通信。具体来说，Calico 会为每个容器分配一个唯一的 IP 地址，并使用 BGP 协议将这些 IP 地址添加到路由表中。Calico 还提供了强大的网络安全机制，可以保护容器网络的安全性。

4 Weave Net

Weave Net 是一种基于 VXLAN 或者 UDP 的虚拟网络方案，它可以在集群中创建一个虚拟网络，从而实现容器之间的通信。具体来说，Weave Net 会为每个容器分配一个唯一的 IP 地址，并使用 VXLAN 或者 UDP 来在不同节点之间传输数据。Weave Net 还支持多种网络拓扑结构，包括扁平网络、网格网络和点对点网络等。

5 Cilium

Cilium 是一种基于 eBPF 技术的容器网络方案，它可以在内核层面拦截和管理容器之间的通信。具体来说，Cilium 会在每个节点上创建一个 eBPF 过滤器，用于监控和管理容器之间的数据流。Cilium 还支持多种网络层协议和应用层协议，并提供了强大的网络安全机制，可以保护容器网络的安全性。

总结

Kubernetes 提供了多种网络插件，可以根据不同的网络需求和环境来选择适合的网络方案。需要注意的是，在进行网络插件的选择和部署时，需要考虑网络的可靠性、性能和安全性等因素。

今天就到这里了，后面详细介绍：

K8s网络问题解决方案

  • 网络故障排除
  • 网络性能优化
  • 网络安全
  • 实战案例

投票

原文地址：https://blog.csdn.net/weixin_36755535/article/details/130389839

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。

相关推荐

【博客694】k8s kubelet 状态更新机制
文章浏览阅读942次。kube-controller-manager 和 kubelet 是异步工作的，这意味着延迟可能包括任何的网络延迟、apiserver 的延迟、etcd 延迟，一个节点上的负载引起的延迟等等。当 Kubernetes 中 Node 节点出现状态异常的情况下，节点上的 Pod 会被重新调度到其他节点上去，但是有的时候我们会发现节点 Down 掉以后，Pod 并不会立即触发重新调度，这实际上就是和 Kubelet 的状态更新机制密切相关的，Kubernetes 提供了一些参数配置来触发重新调度的时间。_node-monitor-period
滴滴弹性云基于 K8S 的调度实践
文章浏览阅读3.8k次。上篇文章详细介绍了弹性云混部的落地历程，弹性云是滴滴内部提供给网约车等核心服务的容器平台，其基于 k8s 实现了对海量 node 的管理和 pod 的调度。本文重点介绍弹性云的调度能力，分为以下部分：调度链路图：介绍当前弹性云调度体系链路，对架构体系有一个初步的认知k8s 调度能力的运用：整体介绍弹性云现在用到的 k8s 调度能力和对其的增强k8s 版本的升级：介绍到从 k8s 1.12 到 1...._滴滴机房 腾讯
NUMA架构在kubernetes中的应用
文章浏览阅读897次。对于cpu来说，这种分配方式并不会有太大问题，因为cpu可以灵活调度，numa调度时我们只计算绑定了numa cpu的pod是可以接受的，但是对于内存来说，numa node上申请了的内存无法做到随时迁移，这就会导致调度器视角numa node的mem资源足够，但是等到pod真正使用时，由于没有绑定numa node的pod申请的内存，导致numa node的mem资源不足，造成swap中断或者远端内存申请，这会对绑定mem的pod来带来性能损耗。忽略了没有绑定numa node的pod资源。_kubectl numa
k8s中资源对象有哪些及它们如何协作
文章浏览阅读796次，点赞17次，收藏15次。只要在Service定义中设置了ClusterIp:None，就定义了一个HeadLess Service， 它与普通的Service关键区别在于它没有ClusterIp地址，如果解析HeadLess Service的DNS域名，则会返回该Service对应的全部Pod的EndPoint列表，这就意味着客户端是直接与后端的pod建立了TCP/IP链接进行通信的。一个Label是一个键值对。注解：属于资源对象的元数据，可以被理解为一种特殊的标签，不过更多的是与程序挂钩，通常用于实现资源对象属性的自定义扩展。
Kubernetes 部署DolphinScheduler 创建租户失败
文章浏览阅读763次。但是此时如果配置成 NONE, 租户创建成功了，但是无法创建资源文件，也就是无法上传文件，可能 dolphinscheduler 团队就想着将文件上传到 hdfs，暂不支持本地。需要将 resource.storage.type 置为 NONE, 因为我之前用的 1.3.6 版本的时候，即使资源文件存在本地文件也需要配置成 hdfs。_[error] 2023-10-24 18:10:43.762 +0800 org.apache.dolphinscheduler.api.servic
Kubernetes[k8s] 最新版1.27.3 - 1.28.0安装教程,使用containerd模式
文章浏览阅读2.7k次，点赞2次，收藏13次。公司使用的是交老的k8s版本（1.16），由于老版本的K8s对于现在很多新特性不支持，所以需要升级到新版本。目前2023年7月11日最新版本的k8s是v1.27.3。通过参考官方文档进行k8s部署工作。其中涉及到操作系统配置、防火墙配置、私有镜像仓库等。_k8s最新版本
kubernetes新版本使用kubeadm init的超全问题解决和建议
文章浏览阅读1.8w次，点赞14次，收藏27次。能节省你在kubeadm init 时遇到问题的排错时间⌚️。整合了网上大佬
Kubernetes(K8S)集群部署
文章浏览阅读1.1k次，点赞2次，收藏7次。具体操作步骤可以参考之前的教程，建议是先安装一台，然后克隆虚拟机，这样速度快。注意：在克隆时记得修改Mac地址、IP地址、UUID和主机名。（最后别忘了保存下快照~）_部署k8s集群
k8s从初识到上天系列第二篇：kubernetes的组件和架构
文章浏览阅读863次，点赞23次，收藏16次。当部署完 Kubernetes，便拥有了一个完整的集群。一组工作机器，称为节点， 会运行容器化应用程序。每个集群至少有一个工作节点。工作节点会 托管Pod ，而 Pod 就是作为应用负载的组件。控制平面管理集群中的工作节点和Pod。说人话版本：集群：cluster，多个几点被组织到一起共同为系统提供服务过程称之为集群。本质上是将承载同一个软件服务节点组织到一起，称之为该软件(服务)的集群，当然集群中的节点身份地位是不一样的。k8s集群也是如此，他也是多个节点组成。
Rancher管理K8S
文章浏览阅读943次。Rancher是一个开源的企业级多集群Kubernetes管理平台，实现了Kubernetes集群在混合云+本地数据中心的集中部署与管理，以确保集群的安全性，加速企业数字化转型。Rancher 1.0版本在2016年就已发布，时至今日，Rancher已经成长为企业在生产环境中运行容器和Kubernetes的首要选择。_rancher管理k8s
kubeadm搭建k8s高可用集群（keepalived+nginx+3master）
文章浏览阅读742次，点赞2次，收藏3次。本篇来讲解如何在centos下安装部署高可用k8s集群。_kubeadm ha keepalived + nginx
OpenEular23.09（欧拉）操作系统为企业搭建独立的K8S集群环境，详细流程+截图
文章浏览阅读1.9k次，点赞21次，收藏25次。那么这个空间设置成内存的2倍大小。点击IPv4设置--手动--添加--设置ip--设置DNS服务器，最后点击--“保存”；首先选中--“本地标准磁盘”，存储配置--自定义分区，点击--“完成”；在--主机名--设置主机名：（例如k8s-master01)，点击--点击+，设置--挂载点/boot--期望容量，点击--添加挂载点；点击--+--挂载点swap--期望容量，点击--“添加挂载点”；默认选择--亚洲--上海，并调整日期和时间，点击--“完成”；设备类型--确认--LVM，卷组--选择“修改”；_euler 服务器搭建
tkestack/gpu-manager在k8s1.23版本之后的使用
文章浏览阅读1k次。在1.25版本的k8s集群中部署gpu-manage时，虽然显示gpu节点上gpu-manage的pod实例都是running状态，但是给pod申领。既可以用源码的Makefile自动编译打包成新的镜像，但是源码的。说明gpu-manager和容器运行时接口通信失败了。编译后的镜像在1.25版本的k8s中可以正常使用。，但是在k8s1.23版本之后，接口路径已经改为。资源时，却始终找不到有资源的节点。，另外有一些依赖需要国际上的支持。可以看到这里用的运行时接口是。查看节点的详情时，返回的。_launch gpu manager 报错 can't create container runtime manager: context dead
k8s存储卷-动态PV
文章浏览阅读1k次，点赞18次，收藏16次。SelfLink：API的资源对象之一，表示资源对象在集群当中自身的一个连结，self-Link是一个唯一的标识号，可以用于标识k8s集群当中的每个资源的对象。容器里使用的配置，在provisioner当中定义好环境变量，传给容器，storageclass的名称，NFS服务器的地址，NFS的目录。NFS的provisionner的客户端以pod的方式运行在集群当中，监听k8s集群当中PV的请求，然后动态的创建于NFS相关的PV。命名为 nfs-client-provisioner-clusterrole。
K8S证书过期解决办法之替换证书
文章浏览阅读6.3k次，点赞2次，收藏20次。k8s证书过期解决方案之替换证书_k8s证书过期如何更换
K8S集群中使用JDOS KMS服务对敏感数据安全加密 | 京东云技术团队
文章浏览阅读1k次。KMS，Key Management Service，即密钥管理服务，在K8S集群中，以驱动和插件的形式启用对Secret，Configmap进行加密。以保护敏感数据
K8S exporter应用
文章浏览阅读888次。exporter对于云服务的监控还是很不完美，毕竟每家都有自己的护城河。自动发现多实例这样的借助consul 阿波罗这样的会简单一些。aws可以借助cloudwatch这样的导入模板到grafana中。还是希望能将类似腾讯云云监控中的这些指标采集到prometheus中，但是这过程应该还很遥远grafana出图 prometheus查询语法这些东西有时间的好好研究一下。报警有必要进行分级别，收敛配置一下！_command: - "-redis.password-file=/redis_passwd.json
Kubernetes 默认的4种命名空间
文章浏览阅读1k次。可以在此处（https://cloud.google.com/kubernetes-engine/docs/how-to/kube-dns）和此处（https://www.digitalocean.com/community/tutorials/an-introduction-to-the-kubernetes-dns-service）找到更多的详细信息。-or-ipvs/）和此处（https://arthurchiao.art/blog/cracking-k8s-node-proxy/）。_k8s默认命名空间
【C站首发】全网最新Kubernetes（K8s）1.28版本探秘及部署 基于Containerd容器运行时（100年证书kubeadm）
文章浏览阅读4.9k次，点赞11次，收藏32次。如果运行runc命令时提示：runc: error while loading shared libraries: libseccomp.so.2: cannot open shared object file: No such file or directory，则表明runc没有找到libseccomp，需要检查libseccomp是否安装，本次安装默认就可以查询到。所有主机均需要操作。所有主机均需要操作。所有主机均需要操作。所有主机均需要操作。所有主机均需要操作。所有主机均需要操作。_kubernetes 1.28
【K8S系列】深入解析k8s网络插件—Canal
文章浏览阅读3.6w次，点赞118次，收藏144次。Canal 提供了网络功能，使得 Kubernetes 集群中的 Pod 可以相互通信，并与集群外部的服务进行通信。它通过网络插件的方式，为每个 Pod 分配唯一的 IP 地址，并管理网络流量的路由和转发。此外，Canal 还支持网络策略，用于定义 Pod 之间的通信规则和安全策略。Canal 基于 Calico 和 Flannel 项目，结合了二者的优点。它使用 Calico 的数据平面，提供高性能的网络转发和安全特性，同时使用 Flannel 的控制平面，实现 IP 地址管理和网络策略的配置。_k8s canal
pythonJavaScriptjavaHTMLPHPreactjsC#AndroidCSSNode.jssqlrpython-3.xMysqLjQueryc++pandasFlutterangularIOSdjangolinuxswifttypescript路由器JSON路由器设置无线路由器h3c华三华三路由器设置华三路由器电脑软件教程arraysdocker软件图文教程Cvue.jslaravelspring-boot