Kubernetes--kube-proxy模式

一、kube-proxy三种工作模式

    在kubernetes集群的每个节点上都运行着kube-proxy进程负责实现Kubernetes中Service组件的虚拟IP服务。目前kube-proxy有三种工作模式：

• User space模式
• iptables模式
• IPVS模式

• Userspace模式

    Userspace模式作用是在proxy的用户空间监听一个端口，所有的Service都转到这个端口，然后proxy的内部应用层对其转发。proxy会为每个Service随机监听一个端口，并增加一个iptables，从客户端到CluseterIP:Port都会被重定向到Proxy Port。kube-proxy收到报文后，通过Round Robin或者Session Affinisity分发给对应的Pod，所有流量都在用户空间进行转换，比较稳定但是效率低。

    

 

• iptables模式

    iptables模式从Kubernetes1.2开始使用并在1.2之后默认模式。在这种模式下proxy监控Kubernetes对Service和Endpoint对象进行增删改查。并且在这种模式使用iptables来做用户态的入口，而真正提供服务的是内核的Netfilter。Netfilter采用模块化设计具有良好的扩充性。工具模块IPTables从用户态的iptables连接到内核态的Netfilter的架构中，Netfilter与IP协议栈无缝契合，并允许使用者对数据进行过滤、地址转行、处理等操作。Proxy只作为Controller。

    Kube-proxy监听Kubernetes master增加与删除Service和Endpoint的消息。对于每一个Service，Kube-proxy创建相应的IPtables规则，并将发送到Service cluseter IP的流量转发到Service后端提供服务的Pod的相应端口上。并且流量的转发都是在内核态，所以性能高。

    在这种模式下缺点是在大规模集群中，iptables添加规则会很大的延迟，因为使用iptables，每增加一个Service都会增加一个iptables的chain。并且iptables修改了规则后必须全部刷新才可以生效。

 

• IPVS模式

     Kubernetes从1.8开始增加了IPVS支持，IPVS相对于iptables来说效率更高，使用ipvs需要在允许proxy节点上安装ipvsadm，ipset工具包加载ipvs内核。并且ipvs可以轻松处理每秒10万次转发请求。

    当proxy启动的时候，proxy将验证节点是否安装ipvs模块，如果没有安装将退回iptables模式。并且在Kubernetes1.12称为kube-proxy的默认代理模型。IPVS模式也是基于Netfilter，对比iptables模式在大规模有更好的扩展性和性能。支持更复杂的复杂均衡算法(最小复杂、最少连接、加权等)，支持Service的健康检查和连接重试功能。IPVS依赖于iptables，使用iptables进行包过滤，SNAT,masuared。IPVS将使用ipset来存储需要DROP或MASQUARED的流量源地址和目标地址，这样可以保证iptables规则数量固定，不需要关心集群中有多少Service。

     IPVS模式，kube-Proxy会监视Kubernetes Service对象和Endpoints，调用Netlink接口以相应的创建IPVS规则并定期与Kubernets Service和Endpoints对象同步IPVS规则，以确保IPVS状态和期望状态一直。访问服务时，流量将会被重定向到一个Pod。