Kubernetes 理解笔记之网络模型及CNI插件

---

Kubernetes 容器网络确实是一块比较复杂的内容，本文是在学习张磊老师《深入剖析 Kubernetes》之后的理解整理，内容主要总结了 Kubernetes 网络模型和 CNI 插件，后面也介绍了容器跨主机网络的三种方案。

---

---

Kubernetes 网络模型

1、本地容器间通信原理

为什么需要网络? 本质是为了连通然后通信。

为什么容器之间需要网络？每一个容器进程被 Network Namespace 隔离，都有一套独立的“网络栈”，是无法直接跟其他 Network Namespace 里的容器进程进行交互的。

容器之间如何通信：（分为单机与跨主机）

1）单机上容器间通信：【Veth Pair 设备 + 宿主机网桥】

宿主机上创建一个网桥，起虚拟交换机作用，主要功能是根据 MAC 地址学习来将数据包转发到网桥的不同端口（Port）上。然后利用 Linux 的 Veth Pair 的虚拟设备，将所有容器”连接“到这个网桥上。

注：绿色部分即为 Veth Pair 设备，都是成对出现，一端在容器内充当默认网卡，另一端在宿主机上并插在了 docker0 这个网桥上。

Veth Pair 设备的特点是：它被创建出来后，总是以两张虚拟网卡（Veth Peer）的形式成对出现的。并且，从其中一个“网卡”发出的数据包，可以直接出现在与它对应的另一张“网卡”上，哪怕这两个“网卡”在不同的 Network Namespace 里。

2）难点在于”容器跨主机通信“：【Overlay Network 覆盖网络】

集群中的容器是分布在不同主机上的，所以需要一个容器网络。在已有的宿主机网络上，再通过软件构建一个覆盖在已有宿主机网络之上的、可以把所有容器连通在一起的虚拟网络。所以，这种技术就被称为：Overlay Network（覆盖网络）

实现方式主要有三种：VXLAN、host-gw、UDP。具体内容可看本文最后的补充知识。

2、Kubernetes 网络模型设计

Kubernetes 网络模型：

• 所有容器都可以直接使用 IP 地址与其他容器通信，而无需使用 NAT。
• 所有宿主机都可以直接使用 IP 地址与所有容器通信，而无需使用 NAT。反之亦然。
• 容器自己