Cilium转发流量 NAT

在容器化网络中，如使用 Cilium 这类容器网络解决方案时，当数据包到达网络时，会经过以下处理流程：

1. 数据包到达: 数据包（例如，TCP 或 UDP）到达物理服务器的网络接口卡（NIC）。

2. 目的地址检查: 系统检查数据包的目的 IP 地址。如果这个地址是配置在负载均衡器（LB）中的虚拟 IP（VIP），则表明这个数据包是发往集群中的某个服务。

3. 路由到正确的节点: 集群内部的网络组件（可能是软件定义网络（SDN）控制器或者 Cilium 自身）会将数据包路由到运行目标 Pod 的节点。

4. 网络地址转换（NAT）:

   • 如果数据包的目的 IP 是 VIP，且需要转发到另一个节点上的 Pod，就需要进行 NAT 操作，将数据包的目的地 IP 地址转换为实际 Pod 的 IP 地址。
   • 在转发过程中，源地址也可能被转换。这通常发生在数据包离开源节点时，源地址可能会被改写成执行 NAT 的主机的 IP 地址。这样做的目的是让响应流量能够正确地返回到源节点。

5. 使用 Cilium 网络接口:

   • Cilium 可能会使用一个专用的网络接口来进行 NAT 操作。

6. 具体 NAT 过程:

   • 当数据包到达执行 NAT 的主机时，主机的网络堆栈会识别出需要进行地址转换。
   • NAT 规则会被应用，源 IP 地址会被替换为 Cilium 网络接口的 IP 地址。
   • 目标 IP 地址也会被替换为实际 Pod 的 IP 地址。
   • 一旦地址转换完成，数据包就会被发送到正确的目的地。

7. 响应流量:

   • 当 Pod 发送响应数据包时，响应数据包会包含 Pod 的 IP 地址作为源地址。
   • 响应数据包会首先到达执行 NAT 的主机，然后主机会再次进行 NAT，将源地址转换为 VIP，以便客户端可以接收到。

8. 维护连接状态:

   • NAT 设备需要维护连接状态，确保响应流量能够正确地转发回原始的发送者。

请注意，具体的 NAT 过程和使用的网络接口可能会根据你的网络配置和所使用的网络插件有所不同。Cilium 提供了高度可定制的网络策略和规则，允许管理员根据需要配置 NAT 和其他网络功能。

NAT

https://mp.weixin.qq.com/s/G2EicnLI4FeAaxUWO7o8yg