【K8S系列】深入解析k8s 网络插件—Antrea

分类：k8s作者：颜淡慕潇

序言

做一件事并不难，难的是在于坚持。坚持一下也不难，难的是坚持到底。

文章标记颜色说明：

  • 黄色：重要标题
  • 红色：用来标记结论
  • 绿色：用来标记论点
  • 蓝色：用来标记论点

在现代容器化应用程序的世界中，容器编排平台Kubernetes已经成为标准。Kubernetes是一个分布式系统，为了支持复杂的应用和微服务架构，网络是Kubernetes集群中不可或缺的一部分。

能够管理和编排容器化应用程序，其中，监控是一个非常重要的方面，可以帮助用户了解集群的健康状态、性能和可用性。

在本文中，将详细介绍Kubernetes网络插件中的【Antrea】插件。

希望这篇文章能让你不仅有一定的收获，而且可以愉快的学习，如果有什么建议，都可以留言和我交流

 专栏介绍

这是这篇文章所在的专栏，欢迎订阅：【深入解析k8s】专栏

简单介绍一下这个专栏要做的事：

1 基础介绍 

在Kubernetes中，网络插件也称为容器网络接口（Container Network Interface，CNI）插件，用于实现容器之间的通信和网络连接。以下是一些常见的Kubernetes网络插件：

  1. Flannel：Flannel是一个流行的CNI插件，它使用虚拟网络覆盖技术（overlay network）来连接不同节点上的容器。Flannel支持多种后端驱动，如VXLAN、UDP、Host-GW等。

  2. Calico：Calico是一个开源的网络和安全解决方案，它使用BGP协议来实现容器之间的路由。Calico支持灵活的网络策略和安全规则，可用于大规模部署。

  3. Weave Net：Weave Net是一个轻量级的CNI插件，通过创建虚拟网络设备和网络代理来连接不同节点上的容器。Weave Net支持overlay模式和直连模式，具有灵活性。

  4. Cilium：Cilium是面向Kubernetes的高性能网络和安全解决方案，利用eBPF（Extended Berkeley Packet Filter）技术来提供快速的容器间通信和网络策略实施。

  5. Canal：Canal是一个综合性的CNI插件，结合了Calico和Flannel的功能。它可以使用Flannel提供overlay网络，同时使用Calico的网络策略和安全性功能。

  6. Antrea：Antrea是一个基于Open vSwitch的CNI插件，专为Kubernetes网络和安全性而设计。它提供了高性能的网络连接和网络策略功能。

  7. kube-router：kube-router是一个开源的CNI插件，它结合了网络和服务代理功能。它支持BGP和IPIP协议，并具有负载均衡的特性。

这些是Kubernetes网络插件中的一些常见选项，每个插件都有其特定的优势和适用场景。选择合适的网络插件取决于你的需求、网络拓扑和性能要求等因素。

同时，Kubernetes社区也在不断发展和推出新的网络插件，以满足不断变化的需求。

2 Antrea 介绍

Antrea是一个功能强大的K8s网络插件，具有高性能、网络策略和可观察性等优势，适用于各种规模和需求的K8s集群。

通过深入了解Antrea的核心概念、优缺点、使用场景和安装步骤，可以更好地利用它来管理和保护您的容器化应用。

2.1 概念介绍

Antrea是一个开源K8s网络插件，它旨在提供高性能、安全和可扩展的网络连接和网络策略。以下是Antrea的核心概念：

  1. CNI插件：Antrea是一个CNI（Container Network Interface）插件，它负责管理K8s集群中容器的网络接口和通信。它实现了K8s网络模型，使容器能够透明地互相通信。

  2. Open vSwitch（OVS）：Antrea使用OVS作为数据平面，它是一个高性能的虚拟交换机，用于处理网络数据包的转发。OVS提供了可编程的数据平面，使Antrea能够实现高级网络功能。

  3. 网络策略：Antrea支持K8s的网络策略，允许管理员定义哪些容器可以与哪些其他容器通信，以及如何实现安全性。这有助于确保集群内的网络安全性和隔离性。

  4. 服务代理：Antrea还提供了服务代理功能，使K8s服务能够透明地与后端Pod通信，无需公开Pod的IP地址。

2.2 优缺点

优点：

  1. 轻量级：Antrea的设计非常轻量级，占用资源少，对系统性能影响小。
  2. 易于配置：Antrea提供了简单易用的配置文件，方便用户快速上手。
  3. 高性能：Antrea采用了高效的数据结构和算法，确保了良好的性能表现。
  4. 支持多种协议：Antrea支持TCP、UDP等多种协议，满足不同场景的需求。
  5. 可扩展性：Antrea提供了丰富的API，方便用户进行二次开发和定制。
  6. 可观察性: 基于 Calico，Antrea 可以提供丰富的网络可观察性，有助于管理员更好地了解网络状况。

缺点：

  1. 功能有限：与其他成熟的k8s网络插件相比，Antrea的功能相对较少，可能不满足部分复杂场景的需求。
  2. 社区支持有限：由于Antrea相对较新，其社区支持和文档可能不如其他成熟插件丰富。

  3. 复杂性：对于初学者来说，Antrea的设置和配置可能有些复杂，特别是在需要高级网络策略的情况下。

  4. OVS依赖：Antrea依赖于OVS作为数据平面，这可能在某些环境中引入了额外的复杂性。

2.3 使用场景

Antrea适用于以下场景：

  1. 微服务架构：在微服务架构中，服务之间的通信和负载均衡非常重要。Antrea可以帮助实现服务的自动发现和负载均衡，提高系统的可扩展性和可用性。
  2. 容器化部署：在容器化部署的场景中，网络插件是必不可少的组件。Antrea可以帮助容器之间进行通信，同时实现与外部网络的连接。
  3. 边缘计算：在边缘计算场景中，服务分布广泛，需要实现高效的通信和负载均衡。Antrea可以满足这些需求，提高边缘节点的利用率。

  4. 大规模集群：当您需要在大规模K8s集群中实现高性能容器通信时，Antrea是一个不错的选择。

  5. 网络策略需求：在需要精确的网络策略控制、安全性和隔离性的多租户环境中，Antrea的网络策略功能非常有用。

  6. 可观察性要求：如果需要详细的网络监控和日志记录以便进行故障排除和性能优化，Antrea提供了这些功能。

 3 安装使用

要安装Antrea插件，可以按照以下步骤进行操作：

  1. 下载Antrea YAML文件

  2. 编辑YAML文件

  3. 应用YAML文件

  4. 等待安装完成

  5. 配置网络策略

  6. 测试

3.1: 下载Antrea YAML文件

在K8s集群中的一台机器上执行以下命令来下载Antrea的YAML文件。可以从Antrea的GitHub仓库获取最新版本的YAML文件。

curl -O https://raw.githubusercontent.com/vmware-tanzu/antrea/main/build/yamls/antrea.yml

3.2: 编辑YAML文件

打开下载的Antrea YAML文件（通常名为antrea.yml），根据集群需求进行编辑。可以使用文本编辑器打开文件，并根据需要进行配置。以下是一个示例：

apiVersion: operator.antrea.io/v1alpha1
kind: AntreaCluster
metadata:
  name: antrea-cluster
spec:
  defaultAntreaAgent: {}
  controller:
    # Antrea控制器的配置选项
    service:
      type: LoadBalancer  # 选择适合您集群的Service类型
    networkPolicy:
      enable: true  # 启用网络策略
  agent:
    # Antrea代理的配置选项
    logLevel: info  # 设置日志级别
    ovs:
      bridgeName: br-int  # 指定OVS的网桥名称
    podCIDR: 192.168.0.0/16  # 指定Pod的CIDR范围

确保文件中的配置与K8s集群拓扑和网络策略需求一致。保存并关闭文件。

3.3：应用YAML文件

使用kubectl或其他K8s集群管理工具，将编辑后的YAML文件应用到您的K8s集群中。执行以下命令：

kubectl apply -f antrea.yml

这将开始Antrea插件的安装和配置过程。

3.4：等待安装完成

等待一段时间，直到Antrea插件在K8s集群中自动安装和配置完成。可以使用以下命令来检查Antrea相关的Pod是否处于运行状态：

kubectl get pods -n kube-system | grep antrea

当所有相关的Antrea Pod都处于"Running"状态时，表示安装完成。

antrea-agent-74d2s               1/1     Running     4m
antrea-controller-9x6z2          1/1     Running     4m

3.5：配置网络策略

根据具体需求，使用K8s网络策略来定义容器之间的通信规则。可以创建和应用网络策略对象，以控制容器之间的流量。

3.6：测试

最后，确保K8s集群中的容器能够按照您的网络策略进行通信，同时满足安全性和隔离性要求。可以部署一些测试应用程序，并确保它们遵循所定义的网络策略。

这个示例将使用Nginx容器作为测试应用程序，并限制它们之间的通信。

步骤 1：创建命名空间

首先，创建一个新的命名空间，以隔离我们的测试应用程序：

kubectl create namespace test-namespace

步骤 2：部署两个Nginx Pod

创建两个Nginx Pod，并将它们部署到刚刚创建的命名空间中：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment-1
  namespace: test-namespace
spec:
  replicas: 1
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: nginx:latest

---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment-2
  namespace: test-namespace
spec:
  replicas: 1
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
      - name: nginx
        image: nginx:latest

将上述YAML文件保存为nginx-deployment.yaml，然后使用以下命令部署它们：

kubectl apply -f nginx-deployment.yaml

步骤 3：定义网络策略

创建一个网络策略，限制来自另一个Pod的流量。

在这个示例中，我们将阻止nginx-deployment-1中的Pod与nginx-deployment-2中的Pod进行通信：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-nginx-communication
  namespace: test-namespace
spec:
  podSelector:
    matchLabels:
      app: nginx
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: nginx

将上述YAML文件保存为network-policy.yaml，然后使用以下命令创建网络策略：

kubectl apply -f network-policy.yaml

步骤 4：测试网络策略

现在，我们已经定义了一个网络策略，它应该阻止nginx-deployment-1中的Pod与nginx-deployment-2中的Pod进行通信。我们可以通过在nginx-deployment-1中的Pod上执行以下命令来进行测试：

# 创建一个临时Pod，用于测试通信
kubectl run -i --tty --rm debug --image=nginx --namespace=test-namespace

# 在临时Pod中尝试访问另一个Pod的IP地址
curl <IP_OF_NGINX_DEPLOYMENT_2_POD>

如果网络策略生效，将看到连接超时或其他错误，表示nginx-deployment-1中的Pod无法与nginx-deployment-2中的Pod进行通信。

curl: (7) Failed to connect to <IP_OF_NGINX_DEPLOYMENT_2_POD> port 80: Connection timed out

通过这个示例，可以看到如何使用Kubernetes网络策略来确保容器之间的通信满足安全性和隔离性要求。

根据具体的实际需求，可以定义更复杂的网络策略来满足特定的应用程序和安全需求。

原文地址：https://blog.csdn.net/weixin_36755535/article/details/133632917

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。

相关推荐

【博客694】k8s kubelet 状态更新机制
文章浏览阅读942次。kube-controller-manager 和 kubelet 是异步工作的，这意味着延迟可能包括任何的网络延迟、apiserver 的延迟、etcd 延迟，一个节点上的负载引起的延迟等等。当 Kubernetes 中 Node 节点出现状态异常的情况下，节点上的 Pod 会被重新调度到其他节点上去，但是有的时候我们会发现节点 Down 掉以后，Pod 并不会立即触发重新调度，这实际上就是和 Kubelet 的状态更新机制密切相关的，Kubernetes 提供了一些参数配置来触发重新调度的时间。_node-monitor-period
滴滴弹性云基于 K8S 的调度实践
文章浏览阅读3.8k次。上篇文章详细介绍了弹性云混部的落地历程，弹性云是滴滴内部提供给网约车等核心服务的容器平台，其基于 k8s 实现了对海量 node 的管理和 pod 的调度。本文重点介绍弹性云的调度能力，分为以下部分：调度链路图：介绍当前弹性云调度体系链路，对架构体系有一个初步的认知k8s 调度能力的运用：整体介绍弹性云现在用到的 k8s 调度能力和对其的增强k8s 版本的升级：介绍到从 k8s 1.12 到 1...._滴滴机房 腾讯
NUMA架构在kubernetes中的应用
文章浏览阅读897次。对于cpu来说，这种分配方式并不会有太大问题，因为cpu可以灵活调度，numa调度时我们只计算绑定了numa cpu的pod是可以接受的，但是对于内存来说，numa node上申请了的内存无法做到随时迁移，这就会导致调度器视角numa node的mem资源足够，但是等到pod真正使用时，由于没有绑定numa node的pod申请的内存，导致numa node的mem资源不足，造成swap中断或者远端内存申请，这会对绑定mem的pod来带来性能损耗。忽略了没有绑定numa node的pod资源。_kubectl numa
k8s中资源对象有哪些及它们如何协作
文章浏览阅读796次，点赞17次，收藏15次。只要在Service定义中设置了ClusterIp:None，就定义了一个HeadLess Service， 它与普通的Service关键区别在于它没有ClusterIp地址，如果解析HeadLess Service的DNS域名，则会返回该Service对应的全部Pod的EndPoint列表，这就意味着客户端是直接与后端的pod建立了TCP/IP链接进行通信的。一个Label是一个键值对。注解：属于资源对象的元数据，可以被理解为一种特殊的标签，不过更多的是与程序挂钩，通常用于实现资源对象属性的自定义扩展。
Kubernetes 部署DolphinScheduler 创建租户失败
文章浏览阅读763次。但是此时如果配置成 NONE, 租户创建成功了，但是无法创建资源文件，也就是无法上传文件，可能 dolphinscheduler 团队就想着将文件上传到 hdfs，暂不支持本地。需要将 resource.storage.type 置为 NONE, 因为我之前用的 1.3.6 版本的时候，即使资源文件存在本地文件也需要配置成 hdfs。_[error] 2023-10-24 18:10:43.762 +0800 org.apache.dolphinscheduler.api.servic
Kubernetes[k8s] 最新版1.27.3 - 1.28.0安装教程,使用containerd模式
文章浏览阅读2.7k次，点赞2次，收藏13次。公司使用的是交老的k8s版本（1.16），由于老版本的K8s对于现在很多新特性不支持，所以需要升级到新版本。目前2023年7月11日最新版本的k8s是v1.27.3。通过参考官方文档进行k8s部署工作。其中涉及到操作系统配置、防火墙配置、私有镜像仓库等。_k8s最新版本
kubernetes新版本使用kubeadm init的超全问题解决和建议
文章浏览阅读1.8w次，点赞14次，收藏27次。能节省你在kubeadm init 时遇到问题的排错时间⌚️。整合了网上大佬
Kubernetes(K8S)集群部署
文章浏览阅读1.1k次，点赞2次，收藏7次。具体操作步骤可以参考之前的教程，建议是先安装一台，然后克隆虚拟机，这样速度快。注意：在克隆时记得修改Mac地址、IP地址、UUID和主机名。（最后别忘了保存下快照~）_部署k8s集群
k8s从初识到上天系列第二篇：kubernetes的组件和架构
文章浏览阅读863次，点赞23次，收藏16次。当部署完 Kubernetes，便拥有了一个完整的集群。一组工作机器，称为节点， 会运行容器化应用程序。每个集群至少有一个工作节点。工作节点会 托管Pod ，而 Pod 就是作为应用负载的组件。控制平面管理集群中的工作节点和Pod。说人话版本：集群：cluster，多个几点被组织到一起共同为系统提供服务过程称之为集群。本质上是将承载同一个软件服务节点组织到一起，称之为该软件(服务)的集群，当然集群中的节点身份地位是不一样的。k8s集群也是如此，他也是多个节点组成。
Rancher管理K8S
文章浏览阅读943次。Rancher是一个开源的企业级多集群Kubernetes管理平台，实现了Kubernetes集群在混合云+本地数据中心的集中部署与管理，以确保集群的安全性，加速企业数字化转型。Rancher 1.0版本在2016年就已发布，时至今日，Rancher已经成长为企业在生产环境中运行容器和Kubernetes的首要选择。_rancher管理k8s
kubeadm搭建k8s高可用集群（keepalived+nginx+3master）
文章浏览阅读742次，点赞2次，收藏3次。本篇来讲解如何在centos下安装部署高可用k8s集群。_kubeadm ha keepalived + nginx
OpenEular23.09（欧拉）操作系统为企业搭建独立的K8S集群环境，详细流程+截图
文章浏览阅读1.9k次，点赞21次，收藏25次。那么这个空间设置成内存的2倍大小。点击IPv4设置--手动--添加--设置ip--设置DNS服务器，最后点击--“保存”；首先选中--“本地标准磁盘”，存储配置--自定义分区，点击--“完成”；在--主机名--设置主机名：（例如k8s-master01)，点击--点击+，设置--挂载点/boot--期望容量，点击--添加挂载点；点击--+--挂载点swap--期望容量，点击--“添加挂载点”；默认选择--亚洲--上海，并调整日期和时间，点击--“完成”；设备类型--确认--LVM，卷组--选择“修改”；_euler 服务器搭建
tkestack/gpu-manager在k8s1.23版本之后的使用
文章浏览阅读1k次。在1.25版本的k8s集群中部署gpu-manage时，虽然显示gpu节点上gpu-manage的pod实例都是running状态，但是给pod申领。既可以用源码的Makefile自动编译打包成新的镜像，但是源码的。说明gpu-manager和容器运行时接口通信失败了。编译后的镜像在1.25版本的k8s中可以正常使用。，但是在k8s1.23版本之后，接口路径已经改为。资源时，却始终找不到有资源的节点。，另外有一些依赖需要国际上的支持。可以看到这里用的运行时接口是。查看节点的详情时，返回的。_launch gpu manager 报错 can't create container runtime manager: context dead
k8s存储卷-动态PV
文章浏览阅读1k次，点赞18次，收藏16次。SelfLink：API的资源对象之一，表示资源对象在集群当中自身的一个连结，self-Link是一个唯一的标识号，可以用于标识k8s集群当中的每个资源的对象。容器里使用的配置，在provisioner当中定义好环境变量，传给容器，storageclass的名称，NFS服务器的地址，NFS的目录。NFS的provisionner的客户端以pod的方式运行在集群当中，监听k8s集群当中PV的请求，然后动态的创建于NFS相关的PV。命名为 nfs-client-provisioner-clusterrole。
K8S证书过期解决办法之替换证书
文章浏览阅读6.3k次，点赞2次，收藏20次。k8s证书过期解决方案之替换证书_k8s证书过期如何更换
K8S集群中使用JDOS KMS服务对敏感数据安全加密 | 京东云技术团队
文章浏览阅读1k次。KMS，Key Management Service，即密钥管理服务，在K8S集群中，以驱动和插件的形式启用对Secret，Configmap进行加密。以保护敏感数据
K8S exporter应用
文章浏览阅读888次。exporter对于云服务的监控还是很不完美，毕竟每家都有自己的护城河。自动发现多实例这样的借助consul 阿波罗这样的会简单一些。aws可以借助cloudwatch这样的导入模板到grafana中。还是希望能将类似腾讯云云监控中的这些指标采集到prometheus中，但是这过程应该还很遥远grafana出图 prometheus查询语法这些东西有时间的好好研究一下。报警有必要进行分级别，收敛配置一下！_command: - "-redis.password-file=/redis_passwd.json
Kubernetes 默认的4种命名空间
文章浏览阅读1k次。可以在此处（https://cloud.google.com/kubernetes-engine/docs/how-to/kube-dns）和此处（https://www.digitalocean.com/community/tutorials/an-introduction-to-the-kubernetes-dns-service）找到更多的详细信息。-or-ipvs/）和此处（https://arthurchiao.art/blog/cracking-k8s-node-proxy/）。_k8s默认命名空间
【C站首发】全网最新Kubernetes（K8s）1.28版本探秘及部署 基于Containerd容器运行时（100年证书kubeadm）
文章浏览阅读4.9k次，点赞11次，收藏32次。如果运行runc命令时提示：runc: error while loading shared libraries: libseccomp.so.2: cannot open shared object file: No such file or directory，则表明runc没有找到libseccomp，需要检查libseccomp是否安装，本次安装默认就可以查询到。所有主机均需要操作。所有主机均需要操作。所有主机均需要操作。所有主机均需要操作。所有主机均需要操作。所有主机均需要操作。_kubernetes 1.28
【K8S系列】深入解析k8s网络插件—Canal
文章浏览阅读3.6w次，点赞118次，收藏144次。Canal 提供了网络功能，使得 Kubernetes 集群中的 Pod 可以相互通信，并与集群外部的服务进行通信。它通过网络插件的方式，为每个 Pod 分配唯一的 IP 地址，并管理网络流量的路由和转发。此外，Canal 还支持网络策略，用于定义 Pod 之间的通信规则和安全策略。Canal 基于 Calico 和 Flannel 项目，结合了二者的优点。它使用 Calico 的数据平面，提供高性能的网络转发和安全特性，同时使用 Flannel 的控制平面，实现 IP 地址管理和网络策略的配置。_k8s canal
pythonJavaScriptjavaHTMLPHPreactjsC#AndroidCSSNode.jssqlrpython-3.xMysqLjQueryc++pandasFlutterangularIOSdjangolinuxswifttypescript路由器JSON路由器设置无线路由器h3c华三华三路由器设置华三路由器电脑软件教程arraysdocker软件图文教程Cvue.jslaravelspring-boot