Tungsten Fabric解决方案指南-Kubernetes集成

最新推荐文章于 2020-12-25 19:49:45 发布
最新推荐文章于 2020-12-25 19:49:45 发布
阅读量672 收藏
点赞数
分类专栏： Tungsten Fabric中文社区 # Tungsten Fabric+K8s 文章标签： SDN Tungsten Fabric 开源SDN
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/TungstenFabric/article/details/106926831
版权

在这里插入图片描述
作者：Tony Liu 译者：TF编译组

1 Kubernetes与TF的集成

集成方案中，在Kubernetes和Tungsten Fabric（编者按：原文为Contrail，其开源版已更名为Tungsten Fabric，本文出现Contrail之处均以Tungsten Fabric替换）之间有两个连接。

  • contrail-kube-manager和kube-api-server

  • Contrail CNI

1.1 contrail-kube-manager

此服务连接到kube-api-server以接收更新。然后，它会连接到Tungsten Fabric配置API服务器，来创建必要的配置（VM，VMI /端口，IP等），以将容器连接到overlay层。它还会将更新发送到kube-api-server。

1.2 Contrail CNI

每个node/minion上的Kubelet都使用CNI参数运行。启动容器时，kubelet调用CNI来建立网络。Contrail CNI连接到vRouter代理REST API：

1）获得必要的配置
2）将容器网络接口插入vRouter

1.3 Gateway

Tungsten Fabric使用gateway连接overlay和underlay网络，以提供外部访问。我们需要使用gateway来支持Kubernetes的暴露服务和ingress功能。

必须在Tungsten Fabric中创建一个浮动IP池。

在/etc/contrailctl/kubemanager.conf中配置这个FIP池的FQ名称，以进行配置（provisioning）。

[KUBERNETES_VNC]public_fip_pool = {'domain': 'default-domain', 'project': 'default', 'network': 'public', 'name': 'public-fip-pool'}

在容器condir-kube-manager中，浮动IP池在/etc/contrail/contrail-kubernetes.conf中进行配置。

[VNC]public_fip_pool = {'domain': 'default-domain', 'project': 'default', 'network': 'public', 'name': 'public-fip-pool'}

在Kubernetes中公开service或创建ingress时，将从该池中分配一个FIP作为外部IP。

2 Namespace

与Tungsten Fabric集成时，Kubernetes命名空间（namespace）可以映射到项目/租户（project/tenant）或虚拟网络。

2.1 单租户（Single-tenant）

如果有设置/etc/contrail/contrail-kubernetes.conf中的[KUBERNETES].cluster_project，它是单租户（single-tenant），Kubernetes命名空间将映射到Tungsten Fabric中的虚拟网络。所有非隔离命名空间都映射到默认虚拟网络“cluster-network”。而每个隔离命名空间都映射到一个单独的虚拟网络“-vn”。

这里有一个示例，说明在/etc/contrailctl/kubemanager.conf中设置[KUBERNETES].cluster_project以启用单租户的情形。

[KUBERNETES]cluster_project = {'domain': 'default-domain', 'project': 'kubernetes'}

以下是由Condir-kube-manager在初始化期间创建的。

  • Flat IPAM <cluster_project>：具有子网的pod-ipam

  • IPAM <cluster_project>：service-ipam

  • 虚拟网络“cluster-network”的安全组k8s-default-default-default和k8s-default-default-sg

  • 虚拟网络<cluster_project>：具有pod-ipam和service-ipam的cluster-network

（参见附录A.1）

2.1.1 非隔离的命名空间

创建一个非隔离的命名空间。

apiVersion: v1kind: Namespacemetadata: name: "dev-unisolated"

当Kubernetes创建一个非隔离命名空间时，Tungsten Fabric将创建两个SG，即k8s-default--sg和k8s-default--sg。这里不创建虚拟网络。所有非隔离的NS中的容器都将位于cluster-network上。

在非隔离命名空间中启动一个Pod。

apiVersion: v1kind: Podmetadata:  name: nginx-1spec:  containers:  - name: nginx    image: docker.io/nginx    imagePullPolicy: IfNotPresentkubectl create -f nginx-1.yaml -n <namespace>kubectl get pods -n <namespace>

在非隔离命名空间中启动Pod时，Tungsten Fabric（contrail-kube-manager）将执行以下操作。
在这里插入图片描述
不同非隔离命名空间中的Pod可以相互连接，因为它们位于Tungsten Fabric中的同一虚拟网络上。

2.1.2 隔离的命名空间

创建一个隔离的命名空间。

apiVersion: v1kind: Namespacemetadata: name: "dev-isolated" annotations: {   "opencontrail.org/isolation" : "true" }

在Kubernetes中创建隔离命名空间时，Tungsten Fabric将创建以下内容。

  • 虚拟网络<cluster_project>:-vn
  • 安全组k8s-default--default和k8s-default--sg

在隔离命名空间中启动Pod时，Tungsten Fabric将执行以下操作。
在这里插入图片描述
由于端口位于不同的虚拟网络上，因此不同的隔离命名空间中的Pods无法相互连接。

2.2 多租户（Multi-tenant）

如果未设置/etc/contrail/contrail-kubernetes.conf中的[KUBERNETES].cluster_project，它就是多租户，Kubernetes命名空间将映射到Tungsten Fabric中的租户/项目（tenant/project）。非隔离命名空间中的Pod在默认虚拟网络“cluster-network”上启动。而每个隔离命名空间都映射到一个单独的虚拟网络“-vn”。

在初始化时，contrail-kube-manager创建以下内容：

  • 为每个现有的Kubenetes命名空间（如default、kube-public和kube-system）提供一个项目/租户。
  • Flat IPAM 默认域：default:pod-ipam
  • IPAM 默认域：default:service-ipam
  • 每一个命名空间的安全组：k8s-default--sg和k8s-default--sg
  • 虚拟网络默认域名：具有pod-ipam的default:cluster-network和service-ipam

2.2.1 非隔离的命名空间

创建一个非隔离的命名空间。

apiVersion: v1kind: Namespacemetadata: name: "dev-unisolated"

Contrail-kube-manager将创建以下内容。
- 项目default-domain:
当在非隔离命名空间中启动Pod时，conventil-kube-manager将创建端口：
在这里插入图片描述
不同非隔离命名空间中的Pod可以相互连接，因为它们位于Tungsten Fabric中的同一虚拟网络上。

2.2.2 隔离的命名空间

创建一个隔离的命名空间。

apiVersion: v1kind: Namespacemetadata: name: "dev-isolated" annotations: {   "opencontrail.org/isolation" : "true" }

Contrail-cube-manager将创建以下内容。

  • 项目缺省域：
  • 虚拟网络default-domain::-vn与default-domain:default:pod-ipam关联。
  • 安全组default-domain::k8s-default--default和default-domain::k8s-default--sg

当在非隔离命名空间中启动Pod时，conventil-kube-manager将创建端口。

  • 在项目default-domain:中
  • 在虚拟网络default-domain::-vn上
  • 从IPAM default-domain:default:pod-ipam获取地址
  • 附带安全组default-domain::k8s-default--default和default-domain::k8s-default--sg

由于端口位于不同的虚拟网络上，因此不同的隔离命名空间中的Pods无法相互连接。

2.3 自定义命名空间

创建一个自定义命名空间。

apiVersion: v1kind: Namespacemetadata: name: "dev-customized" annotations: {   "opencontrail.org/network": '{"domain": "default-domain", "project": "demo", "name": "red"}' }

在自定义命名空间中启动Pod时，contrail-kube-manager将创建端口。

  • 在项目default-domain:default中
  • 在虚拟网络上映射到自定义命名空间
  • 从与该虚拟网络关联的IPAM上获取地址
  • 安全组？

2.4指定虚拟网络上的Pod

在指定的虚拟网络上启动Pod。

当在指定的虚拟网络上启动Pod时，conutil-kube-manager将创建端口。

  • 在项目中映射到指定或默认的命名空间
  • 在指定的虚拟网络上
  • 从与特定虚拟网络关联的IPAM上获取地址
  • 安全组？

2.5 Kubernetes网络策略

Kubernetes网络策略将照常运行，它由Tungsten Fabric中的安全组实现。该版本将与4.0.1一起发布。

2.6 POD SNAT

Tungsten Fabric支持该功能，可以在Tungsten Fabric中配置一个路由器（配置对象），使其成为启动容器的虚拟网络的外部网关。这与支持OpenStack的外部网关是一样的。

3 Service

Kubernetes service支持ClusterIP，NodePort，LoadBalancer和ExternalName。它还支持使用ExternalIP指定IP。Tungsten Fabric支持ClusterIP和LoadBalancer，以及ExternalIP。

在Kubernetes中创建service时，Tungsten Fabric中会创建一个负载均衡器（loadbalancer）。负载均衡器的提供者为“native”，而ECMP负载均衡由vRouter实现。浮动IP被创建为VIP。

创建具有多个实例的应用程序。

apiVersion: v1kind: ReplicationControllermetadata:  name: web-qaspec:  replicas: 2  selector:    app: web-qa  template:    metadata:      name: web-qa      labels:        app: web-qa    spec:      containers:      - name: web        image: docker.io/nginx        imagePullPolicy: IfNotPresent

3.1 ClusterIP

在这些应用程序前面创建service。默认的service类型是ClusterIP。

kind: ServiceapiVersion: v1metadata:  name: web-qaspec:  selector:    app: web-qa  ports:    - protocol: TCP      port: 80      targetPort: 80

当service被创建后，conventil-kube-manager将执行以下操作。
在这里插入图片描述

当LB被创建后，“原生”LB驱动程序将执行以下操作。

  • 在FIP中设置端口映射。
  • 将所有成员的VMI添加到FIP。

当service类型为ClusterIP时，只能在集群内访问该service。FIP从集群网络（cluster-network）中的service FIP池中分配，并映射到所有的Pod地址。当访问集群内的service地址时，vRouter将在Pod之间平衡流量。

3.2 Loadbalancer

创建一个LoadBalancer类型的service。

kind: ServiceapiVersion: v1metadata:  name: web-qaspec:  selector:    app: web-qa  ports:    - protocol: TCP      port: 80      targetPort: 80  type: LoadBalancer

对于服务类型LoadBalancer，服务被暴露于外部。从服务FIP池中分配FIP，用于集群内的访问，同时从公共FIP池中分配FIP，映射到所有POD地址。该FIP将被通告给网关，网关将在POD之间进行ECMP负载均衡。

附录A 单租户（Single-tenant）

A.1 IPAM

<cluster_project>:pod-ipam

{    "fq_name": [        "default-domain",        "kubernetes",        "pod-ipam"    ],    "uuid": "c9641741-c785-456e-845b-a14a253c3572",    "ipam_subnet_method": "flat-subnet",    "parent_type": "project",    "perms2": {        "owner": "None",        "owner_access": 7,        "global_access": 0,        "share": []    },    "ipam_subnets": {        "subnets": [            {                "subnet": {                    "ip_prefix": "10.32.0.0",                    "ip_prefix_len": 12                },                "dns_server_address": "10.47.255.253",                "enable_dhcp": true,                "created": null,                "default_gateway": "10.47.255.254",                "dns_nameservers": [],                "dhcp_option_list": null,                "subnet_uuid": null,                "alloc_unit": 1,                "last_modified": null,                "host_routes": null,                "addr_from_start": null,                "subnet_name": null,                "allocation_pools": []            }        ]    },    "id_perms": {        "enable": true,        "description": null,        "creator": null,        "created": "2017-12-27T18:45:33.957901",        "uuid": {            "uuid_mslong": 14511749470582293870,            "uuid_lslong": 9537393975711511922        },        "user_visible": true,        "last_modified": "2017-12-27T18:45:33.957901",        "permissions": {            "owner": "cloud-admin",            "owner_access": 7,            "other_access": 7,            "group": "cloud-admin-group",            "group_access": 7        }    },    "display_name": "pod-ipam"}

<cluster_project>:service-ipam

{    "fq_name": [        "default-domain",        "kubernetes",        "service-ipam"    ],    "uuid": "526f554a-0bf4-47c6-a8e4-768a3f98cef4",    "parent_type": "project",    "perms2": {        "owner": "None",        "owner_access": 7,        "global_access": 0,        "share": []    },    "id_perms": {        "enable": true,        "description": null,        "creator": null,        "created": "2017-12-27T18:45:34.000690",        "uuid": {            "uuid_mslong": 5940060210041472966,            "uuid_lslong": 12169982429206466292        },        "user_visible": true,        "last_modified": "2017-12-27T18:45:34.000690",        "permissions": {            "owner": "cloud-admin",            "owner_access": 7,            "other_access": 7,            "group": "cloud-admin-group",            "group_access": 7        }    },    "display_name": "service-ipam"}

A.2 安全组

k8s-default-dev-share-default

{    "fq_name": [        "default-domain",        "kubernetes",        "k8s-default-dev-share-default"    ],    "uuid": "ad29de07-5ef6-4f55-86bb-52c44827c09d",    "parent_type": "project",    "perms2": {        "owner": "46c31b9b-d21c-4c27-9445-6c94db948b6d",        "owner_access": 7,        "global_access": 0,        "share": []    },    "security_group_id": 8000010,    "id_perms": {        "enable": true,        "description": "Default security group",        "creator": null,        "created": "2018-01-12T09:02:15.110429",        "uuid": {            "uuid_mslong": 12477748365846007637,            "uuid_lslong": 9708444424704868509        },        "user_visible": true,        "last_modified": "2018-01-12T15:45:08.899388",        "permissions": {            "owner": "cloud-admin",            "owner_access": 7,            "other_access": 7,            "group": "cloud-admin-group",            "group_access": 7        }    },    "security_group_entries": {        "policy_rule": [            {                "direction": ">",                "protocol": "any",                "dst_addresses": [
最低0.47元/天 解锁文章
TungstenFabric
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Tungsten Fabric入门宝典丨多编排器用法及配置
TungstenFabric的博客
06-17 603
K8s、OpenStack、vCenter三个编排器，七种组合。
Tungsten Fabric解决方案指南-Gateway MX
TungstenFabric的博客
06-12 733
详解如何使用MX作为网关，为Tungsten Fabric提供external或underlay连接。
Tungsten Fabric入门宝典丨TF组件的七种“武器”
TungstenFabric的博客
04-03 523
TF中包含很多不同的组件，其中最重要的七种“武器”用法各不相同。
Tunsten Fabric架构和最近技术进展
12-12
解答了TF作为一个开源SDN网络架构，解决混合多云管理的原理和机制是怎样的，以及如何与K8s、OpenStack、OpenShift相集成，应用如何落地等问题。Tungsten Fabric曾用名OpenContrail，最初是由Juniper开源的一个可扩展的多云网络平台，拥有一个充满活力的开发者和最终用户社区。2018年3月完成向Linux基金会的迁移，并且正式更名为Tungsten Fabric。Tungsten Fabric项目是一个开源项目协议，它基于标准协议开发，并且提供网络虚拟化和网络安全所必需的所有组件。项目的组件包括：SDN控制器，虚拟路由器，分析引擎，北向API的发布，硬件集成功能，云编排软件和广泛的REST API。项目的任务是促进项目的开发，发展和采用Tungsten Fabric Project代码库来实现全面的网络和安全结构，它包含各种开源生态系统，包括基于虚拟机的公共云和私有云，基于容器的云和生态系统，以及其他计算平台。社区的目标是保持和改善项目的生产就绪和可扩展性，同时加速发展和吸引更多开发人员和用户加入该平台。项目的范围包括在OSI批准的开源许可证支持下的Tungsten Fabric代码库的开发支持，包括文档、测试、集成和创建其他有助于开发、部署、运营或者使用的组件。
Tungsten Fabric如何实现路由的快速收敛？收敛速度有多快？
TungstenFabric的博客
12-25 570
基于“下一跳的可达性”方案，可实现亚秒级的收敛速度！
TungstenFabric解决方案指南-Kubernetes集成.docx
10-26
《TungstenFabric解决方案指南——Kubernetes集成》 在现代云原生环境中，Kubernetes（K8s）作为容器编排平台的首选，其与网络解决方案的集成至关重要。TungstenFabric（原Contrail）是一种先进的网络虚拟化平台，...
docs：Tungsten Fabric SDN的文档
02-05
使用文档 该文档通过Read The Docs（RTD）网站提供。 TF使用Linux Foundation的实现将其发布到RTD，。 除了要运行以生成和整理文档的命令外，我还没有正式记录过使用要求。 通常，构建过程在后台使用sphinx-build...
Tungsten Finite State Machine Library-开源
04-19
该项目已移至钨项目，该项目包含多种钨技术。 请访问http://sourceforge.net/projects/tungsten。 该项目将不再维护。
tungsten-replicator-5.0.1-138.tar.gz
10-26
tungsten-replicator-5.0.1-138.tar.gz 。
Morphology-controlledpreparation of tungsten oxide nanostructures for gas-sensing application
02-10
Morphology-controlledpreparation of tungsten oxide nanostructures for gas-sensing application
day-one-containers-kubernetes-contrail.pdf
03-27
DAY ONE: BUILDING CONTAINERS WITH KUBERNETES AND CONTRAIL 描述了Juniper的Contrail和k8s的集成
tungsten-replicator-4.0
11-13
mysql数据库同步技术工具书，网上这方面的资料比较少，大家多多交流
Tungsten Clustering and Replication-开源
05-13
Tungsten是用于数据库集群和复制的一系列开源技术。 Tungsten包含复制，管理，SQL路由和代理，可提高数据库可用性，保护数据并提高应用程序吞吐量。
tungsten-3.0.0
06-13
钨-3.0.0 从分叉。
tungsten-replicator:钨灯复制器
05-13
Tungsten Replicator是一个开源复制引擎，支持各种不同的提取器和应用程序模块。 可以从MySQL，Oracle和Amazon RDS中提取数据，并将其应用于事务存储，包括MySQL，Oracle和Amazon RDS。 NoSQL存储（例如MongoDB）和...
Tungsten Fabric作为基于Akraino网络边缘的SDN
weixin_34163741的博客
03-05 352
作者：Sagar Nangare SDN是动态和智能网络路线图中的关键技术，无论是企业级连接本地的多个设备，还是跨广域（SD-WAN）的分支机构。凭借SDN技术的强大功能，电信运营商正在利用它实现对网络和计算节点的集中控制。 随着5G成为电信和技术业务参与者的主流中断，越来越需要实时处理网络中的数据流，同时巧妙地最小化带宽使用和延迟。SD...
Tungsten Fabric架构解析丨TF的服务链
TungstenFabric的博客
12-21 622
这里是Tungsten Fabric架构解析内容的第四篇，关于Tungsten Fabric的服务链。
Tungsten Fabric与K8s集成指南丨创建安全策略
TungstenFabric的博客
03-05 326
新建K8s及TF安全策略，以实现pod之间，pod与service之间的访问控制。
Tungsten Fabric中文社区介绍
TungstenFabric的博客
12-09 677
我们为Tungsten Fabric将在中国安“新家”——Tungsten Fabric中文社区，欢迎对Tungsten Fabric社区、多云互联、SDN、SD－WAN有兴趣的伙伴关注社区，与我们共同建设社区，解决云网络建设过程中遇到的技术问题。
tungsten replicator 架构
最新发布
02-07
Tungsten Replicator的架构设计旨在提供高性能和可靠性的数据复制和同步解决方案。它提供了广泛的配置选项和扩展性，适用于各种数据复制需求。无论是用于数据备份、数据迁移还是实时数据同步，Tungsten Replicator都...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值