k8s网络

已于 2024-05-05 20:28:03 修改
阅读量918 收藏 30
点赞数 12
文章标签： 经验分享
于 2024-04-28 09:23:52 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45541397/article/details/138267773
版权

单机容器网络

这里以 docker 为例进行分析

原理

每启动一个容器, docker 会给对应的容器分配一个 ip, 我们只要安装了 docker, 就会有一个网卡 docker0
在这里插入图片描述

每创建一个容器则会额外产生一个虚拟网卡，这 个网卡会被桥接到 docker0 上

在这里插入图片描述

可以发现 veth75800a5 并不是容器的网卡名称

在这里插入图片描述

实际上 veth75800a5 和 eth0 是一对 veth pair，而 veth pair是一种成对出现的特殊网络设备，可以将其想象成一根由虚拟网线连接起来的一对网卡，网卡的一头 eth0 在容器中，另外一头 veth75800a5 挂载网桥 docker0 上，其效果就等价于 eth0 也挂在了网桥上

所以网络拓扑结构如下
在这里插入图片描述

  1. 所有的容器在不指定路由的情况下,都是 docker0 路由的, docker 会为我们的容器分配一个默认的可用 IP
  2. Docker 中的所有的网络接口都是虚拟的, 虚拟的转发效率高!
  3. 只要容器删除, 对应网桥对就没了

网络模式

  • bridge: 桥接 docker (默认的网络模式)
  • none: 不配置网络
  • host: 和主机共享网络
  • container: 容器网络联通 (不建议使用)

在这里插入图片描述

# 我们直接启动的命令, --net bridge, 这个就是 docker0
docker run -it -d --name "busybox-01" busybox
docker run -it -d --name "busybox-01" --network bridge busybox

# 创建一个自定义网络,网络名字为 "mynet"
# --driver bridge 表示创建新的bridge网络
# --subnet 192.168.0.0/16
# --gateway 192.168.0.1
docker network create --driver bridge --subnet 192.168.0.0/16 --gateway 192.168.0.1 mynet

# 将容器置于创建的子网中
docker run -itd --name "busybox-01" --network mynet busybox
docker run -itd --name "busybox-02" --network mynet busybox

除了 none, host, bridge 这三个自动创建的网络，用户也可以根据业务需要创建 user-defined 网络。

Docker 提供三种 user-defined 网络驱动：bridge, overlay 和 macvlan；overlay 和 macvlan 用于创建跨主机的网络

访问通信

启动两个容器

docker run -itd --name "busybox-01"  busybox
docker run -itd --name "busybox-02"  busybox

可以观测到docker0网桥上接入了两个设备

➜  ~ brctl show docker0
bridge name            bridge id                STP enabled        interfaces
docker0                8000.0242afea7847        no                  veth1ca1b42
                                                                    veth7738acb

此时两个容器是互通的

在这里插入图片描述

容器互通

在这里插入图片描述

  • 两个 veth-pair 设备就相当于连接到 docker0 网桥就相当于连接到同一个交换机
  • 容器内有默认的路由规则，发送数据包到网桥

容器网络怎么和外界通信

  1. busybox 发送 ping 包：172.17.0.2 -> www.bing.com
  2. docker0 收到包，发现是发送到外网的，交给 NAT 处理
  3. NAT 将源地址换成 enp0s3 (主机host的网卡) 的 IP：10.0.2.15 -> www.bing.com
  4. ping 包从 enp0s3 发送出去，到达 www.bing.com

通过 NAT，docker 实现了容器对外网的访问

在这里插入图片描述

外界怎么和容器内部网络通信

使用端口映射

docker 可将容器对外提供服务的端口映射到 host 的某个端口，外网通过该端口访问容器。容器启动时通过-p参数映射端口

docker run -itd --name=mynginx -p 8888:80 nginx 运行一个nginx容器，指定端口映射

每一个映射的端口，host 都会启动一个 docker-proxy 进程来处理访问容器的流量

在这里插入图片描述

可以看到现在已经有一个 docker-proxy 进程在 8888 端口进行监听

以 0.0.0.0:8888->80/tcp 为例分析整个过程如下：

  1. docker-proxy 监听 host 的 8888 端口。
  2. 当 curl 访问 [host]:8888 时，docker-proxy 转发给 nginx 容器的 80端口。
  3. nginx 容器响应请求并返回结果

跨主机网络

对于跨主机的容器通信则是交给了第三方实现，这就是 CNI 机制

CNI，它的全称是 Container Network Interface，即容器网络的 API 接口。kubernetes 网络的发展方向是希望通过插件的方式来集成不同的网络方案， CNI 就是这一努力的结果

CNI 只专注解决容器网络连接和容器销毁时的资源释放，提供一套框架，所以 CNI 可以支持大量不同的网络模式，并且容易实现

平时比较常用的 CNI 实现有 Flannel、Calico、Weave 等

CNI 插件通常有三种实现模式：

  • Overlay：靠隧道打通，不依赖底层网络；
  • 路由：靠路由打通，部分依赖底层网络；
  • Underlay：靠底层网络打通，强依赖底层网络；

Overlay 网络简介

Overlay 网络 (overlay network) 属于应用层网络，它是面向应用层的，不考虑网络层，物理层的问题

在这里插入图片描述

定义： Overlay 网络是指建立在另一个网络上的网络。该网络中的结点可以看作通过虚拟或逻辑链路而连接起来的。虽然在底层有很多条物理链路，但是这些虚拟或逻辑链路都与路径一一对应。

**举例：**许多P2P网络就是 Overlay 网络，因为它运行在互联网的上层。 Overlay 网络允许对没有IP地址标识的目的主机路由信息，例如：Freenet 和DHT（分布式哈希表）可以路由信息到一个存储特定文件的结点，而这个结点的IP地址事先并不知道。

**特点：**Overlay 网络被认为是一条用来改善互联网路由的途径，让二层网络在三层网络中传递，既解决了二层的缺点，又解决了三层的不灵活

Flannel 网络

工作原理

Flannel 实质上就是一种 Overlay 网络，也就是将 TCP 数据包装在另一种网络包里面进行路由转发和通信，目前已经支持 UDP、VxLAN、AWS VPC 和 GCE 路由等数据转发方式。

Flannel 会在每一个宿主机上运行名为 flanneld 代理，其负责为宿主机预先分配一个子网，并为 Pod 分配IP地址。Flannel 使用 Kubernetes 或 etcd 来存储网络配置、分配的子网和主机公共IP等信息。数据包则通过 VXLAN、UDP 或 host-gw 这些类型的后端机制进行转发。

Flannel 规定宿主机下各个 Pod 属于同一个子网，不同宿主机下的 Pod 属于不同的子网

网络模型案例

以下面的网络模型举例

在这里插入图片描述

Overlay network 建立在容器网络的上层，为每个节点为配一个子网网段，一共可分配 2^16 个网段

每个网段分配给节点后，节点上的 pod 按照该网段地址来获得分配的IP

比如：机器上已经成功部署好了 flannel 插件

root@n37-074-180:~# crictl ps | grep -i flannel
6cae4471d933e       85c9944d9ff56       11 days ago         Running        kube-flannel      6       2f197363dcdb0       kube-flannel-ds-qjng

我们查看 flannel 的子网配置

root@n37-074-180:~# cat /run/flannel/subnet.env
FLANNEL_NETWORK=172.23.0.0/16      这是flannel的一个总网段
FLANNEL_SUBNET=172.23.19.129/26    这是flannel分配给当前node的子网段,pod的ip都会在这个网段
FLANNEL_MTU=1450
FLANNEL_IPMASQ=true

宿主机和容器网络

pod中使用宿主机网络命名空间

在这里插入图片描述

如上图所示：单独的 pod 可以使用宿主节点的网络接口，而不是拥有自己独立的网络；这意味着这个 pod 没有自己的ip地址；如果这个pod中的某一个进程绑定了某个端口，那么该进程将被绑定到宿主节点的端口上

apiVersion: v1
kind: Pod
metadata:
  name: pod-with-host-network
spec:
  hostNetwork: true        # 使用宿主节点的网络命名空间
  containers:
  - name: main
    image: busybox
    command: ["/bin/sleep", "999999"]

使用宿主节点的 PID 与 IPC 命名空间

k8s 如何在容器中看到宿主机上的进程，pod的配置里有两个字段

apiVersion: v1
kind: Pod
metadata:
  name: test
spec:
   containers:
    - name: test
      image: busybox
      command: ["sleep", "3600"]
   dnsPolicy: ClusterFirst
   hostPID: true
   hostIPC: true
  • hostPID 被设置为 true，表示该 Pod 将与宿主机共享 PID 命名空间。这意味着容器内的进程可以看到宿主机上的所有进程
  • hostIPC 被设置为 true，表示该 Pod 将与宿主机共享 IPC 命名空间。这意味着容器内的进程可以访问宿主机上的 IPC 资源，如共享内存段、信号量等

容器中如何操作主机

关于容器中如何操作主机，这里提供两种方式

方式一：利用 ssh 登录

在容器内通过挂载卷的方式添加公私钥到主机上，然后直接 ssh 从容器进入到宿主机内

参考 https://github.com/BoomChao/K8s/tree/main/pod-to-host

方式二：直接使用特权容器

使用特权容器加上 nsenter 命令，nsenter 命令很强大

只需要在容器中执行的脚本前加上这样一行代码，便进入到了容器中，然后便可以执行自己想要在宿主机上操作的一些逻辑

nsenter -t 1 -m -u -i -n 

 -t, --target <pid>     target process to get namespaces from
 -m, --mount[=<file>]   enter mount namespace
 -u, --uts[=<file>]     enter UTS namespace (hostname etc)
 -i, --ipc[=<file>]     enter System V IPC namespace
 -n, --net[=<file>]     enter network namespace

关于容器的命名空间namespace 相关的知识后面可以单独出一期文章来写

总结

k8s的网络通信大致可分为如下

在这里插入图片描述

对于单机网络，其网络通信原理其实不难理解

  1. 对于 Pod 内部容器通信，由于 Pod 内部的容器处于同一个 Network Namespace 下（通过 Pause 容器实现），即共享同一网卡，因此可以直接通信。
  2. 对于同主机 Pod 间容器通信，Docker 会在每个主机上创建一个 Docker0 网桥，主机上面所有 Pod 内的容器全部接到网桥上，因此可以互通。

对于跨主机网络，其网络通信原理就是利用的CNI网络模型，诸如Calico，Flannel 等

对于想要从pod中访问宿主机，提供了两种方式，一种利用ssh密钥，一种利用特权容器➕nsenter 命令

参考文章

https://zhuanlan.zhihu.com/p/603642190

https://blog.laputa.io/kubernetes-flannel-networking-6a1cb1f8ec7c?gi=cc983635ddfa

https://draveness.me/whys-the-design-overlay-network/

Kubernetes网络原理

循序渐进理解CNI机制与Flannel工作原理 :: Yingchi Blog

还有人不知道Overlay网络？看完这个你就全懂了

小朝说技术
关注
  • 12
    点赞
  • 踩
  • 30
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
k8s网络插件calico启动yaml文件
06-10
k8s网络插件calico启动yaml文件
k8s 网络通信详解
11-12
PDF文件（如An illustrated guide to Kubernetes Networking [Part 1].pdf、An illustrated guide to Kubernetes Networking [Part 2].pdf）可能是详细的指南，深入介绍了K8s网络的工作原理，包括Part 1和Part 2的...
【K8S系列】深入解析k8s网络插件—Weave Net
颜淡慕潇
08-13 5万+
总体而言，Weave Net 是一个功能强大且易于使用的 Kubernetes 网络插件，它提供了简单的网络配置和管理方式，并具有跨主机容器通信、动态网络拓扑和安全性等优点。然而，它也存在一些性能开销和单点故障的缺点，需要用户在使用之前了解和权衡。
K8S网络详解
fy_long的博客
01-15 1万+
K8S网络详解 按照我自己的理解，k8s网络分三个层面（由里到外）： 容器网络（不同容器之间怎么相互访问） 集群内网络（不同节点之间怎么相互访问） 集群外网络（集群外怎么访问到集群内的服务） 容器网络 熟悉docker的同学会知道，docker创建的容器之间会通过一张docker0的网卡相互通信。而k8s社区为了方便用户适应各自的网络情况，暴露出一套api接口------cni，用户只要实现...
【K8S系列】深入解析k8s 网络插件—Antrea
颜淡慕潇
10-07 6万+
Antrea 是一个 Kubernetes 网络插件，它提供了强大的网络功能，包括网络策略、路由、连接等任务，同时也是一个可观察性解决方案。Antrea 基于 Flannel 和 Calico，借用了 Flannel 的网络策略和 Calico 的网络可观察性优势。
K8S网络策略
Blue summer的博客
11-30 1769
注：本文基于K8S v1.21.2版本编写 1 关于网络策略 k8s的网络能力主要表现在两个方面，一个是连通性，保证pod之间能够互通，另一个就是隔离性，考虑安全、流量限制等业务需求。 而默认情况下，k8s集群的网络没任何限制，集群中的所有pod都是互通的，这对于一些业务来说是不符合安全需求的。同时如果考虑多租户的场景，这就更不能接受了，因此需要有方法能对集群网络进行限制，这就有了Network Policy。 但有一点，并不是所有网络插件都支持Network Policy，比如flannel就不支持网络策
K8S网络策略总结
魏波
12-16 1782
目录 1、K8S网络要求 2、网络链路 （1）Internet与Service之间的网络 1）node到internet的网络 2）Internet到node的网络 （2）Service与Pod之间的网络 2）service到pod包的流转 （3）Pod与Pod之间的网络 1）同一台node节点上pod和pod通信 2）不同node节点上pod和pod通信 （4）容器和容器之间的网络 1、K8S网络要求 （1）Pods与Pods之间、Nodes与Nodes之间可以在不使用NA
【K8S系列】深入解析k8s网络插件—Calico
颜淡慕潇
07-20 2万+
Calico是一个强大的开源容器网络和网络安全解决方案，广泛应用于Kubernetes集群和其他容器编排平台。 它通过利用BGP（Border Gateway Protocol）协议和Linux网络命名空间来实现高性能的容器间通信和网络策略控制。
【K8S系列】深入解析k8s 网络插件—kube-router
颜淡慕潇
10-10 3万+
kube-router是一个高性能、可扩展的Kubernetes网络插件，适用于大规模和安全敏感的生产环境。虽然它的配置和部署可能有一定的复杂性，但它提供了出色的性能和自动化特性，可以大大简化Kubernetes集群的网络管理。在选择网络插件时，考虑到您的集群规模和性能需求，kube-router可能是一个非常好的选择。
k8s网络规划、网络通信的认识
个人博客
10-18 1601
一、k8s网络规划 （一）、k8s网络设计 1、每个Pod都拥有一个独立IP地址，Pod内所有容器共享一个网络命名空间。 2、集群内所有pod都在一个直接联通的扁平网络中，可通过IP直接访问。 （1）所有的Pod之间可以在不使用NAT网络地址转换的情况下相互通信。 （2）所有的Node之间可以在不使用NAT网络地址转换的情况下相互通信 （3）每个pod自己看到的自己的IP和其他pod看到的一致 （二）、k8s网络要求 k8s对网络的要求总的来说主要有两个基本要求，分别是： （1）要能够
【云原生 • Kubernetes】认识 k8s 网络、外部网络访问 k8s 内部服务
热门推荐
商务合作 | 共同学习 | 携手共进
06-21 9万+
Kubernetes 网络结构介绍、外部网络访问 k8s 内部服务的方法。
【K8S系列】深入解析k8s网络
颜淡慕潇
05-05 3万+
Kubernetes 提供了多种网络插件，可以根据不同的网络需求和环境来选择适合的网络方案。需要注意的是，在进行网络插件的选择和部署时，需要考虑网络的可靠性、性能和安全性等因素。
实现k8s网络互通方便本机调用k8s应用
06-05
本文将详细介绍如何实现k8s网络互通，以便本地开发环境能够方便地调用k8s中的应用。 首先，我们需要理解k8s的网络模型。在k8s中，每个Pod都被赋予一个唯一的IP地址，并且在一个扁平的网络空间内，Pod可以直接通过IP...
k8s网络插件calico
03-15
网络插件calico的yaml文件，复制于官网https://docs.tigera.io/calico/3.25/getting-started/kubernetes/quickstart
k8s网络插件kube-flannel.yml
08-04
k8s网络插件kube-flannel.yml
考研数学130+的强化复习规划（附暑假经验分享）
HapppEveryday的博客
07-08 722
强化阶段的主要任务就是做题，但要有方法和针对性。不要与他人比拼做题进度，比的是做题的正确率和效率；做题时将答案放远一点，绝对不看答案，只在最后核对时查看；强化阶段不要水群，尤其是做群友发布的题目，这些题目可能是恶意的无解题；做好复盘，如果不复盘就不要做题，复盘是为了找到自己的薄弱点，然后有针对性地训练；做题时不要带有情绪，对就是对，错就是错，不要沮丧，要成为一个没有感情的题目杀手！最后，一定要相信努力的意义，我们的付出必将在未来收获。
html css js网页设计
07-12
HTML、CSS和JavaScript是构建网页和网站的基本技术，它们共同工作来创建和设计用户界面。下面是关于这三种技术的详细介绍： ### HTML (HyperText Markup Language) - **定义**：HTML是构建网页内容的标准标记语言。 - **作用**：用于创建网页的结构和内容，如段落、链接、图片、表格等。 - **语法**：使用标签（如 `<p>`, `<div>`, `<a>`, `<img>` 等）来定义网页元素。 ### CSS (Cascading Style Sheets) - **定义**：CSS是一种样式表语言，用于描述HTML文档的呈现方式。 - **作用**：用于设置网页的布局、颜色、字体和其他视觉元素。 - **语法**：通过选择器（如 `p`, `.myclass`, `#myid` 等）应用样式规则。 ### JavaScript - **定义**：JavaScript是一种脚本语言，通常用于网页上实现交互功能。 - **作用**：允许网页与用户进行交互，如响应用户操作、动态更新内容、动画效果等。 - **语法**：Java
2023年数字乡村建设解决方案PPT(34页).pptx
最新发布
07-12
数字乡村建设解决方案旨在通过数字化转型促进乡村振兴和农业农村现代化。该方案强调了数字乡村建设的战略机遇，以"1+3+5"工程为总体框架，即一个大数据中心、三大服务平台和五类主题应用。方案着重于乡村治理、产业发展和公共服务三大问题，通过完善治理体系、升级治理能力、强化产业链条和改善资源配置来推动乡村全面振兴。 方案中提出的数字乡村大数据中心是信息资源的集散地，依托大数据、AI、物联网等新技术，实现数据驱动的决策支持。三大服务平台包括产业服务、民生服务和治理服务，旨在提升农业生产智能化、经营网络化，同时优化乡村治理结构和提升服务效能。五类主题应用覆盖生产管理、流通营销、行业监管、公共服务和乡村治理，通过具体业务应用体系，实现农业全产业链的数字化管理和服务。 预期建设效益包括通过信息技术促进乡村优势产业发展，形成城郊融合型数字乡村治理新模式，以及创新服务方式，提升服务能力，保障农民权益。整体而言，该方案以数字化为手段，推动乡村经济、治理、文化等多方面的全面升级和发展。
脉冲强光技术在灭菌烧结固化应用解决方案
07-12
脉冲强光技术在灭菌烧结固化应用解决方案，已经得到厂家授权，可以对外公示。
k8s网络相关知识点
09-21
总结来说，k8s网络涉及到虚拟网络、kube-proxy、Service、Endpoint、Ingress等概念和组件，这些都是为了实现容器间的通信和外部访问的需求。不同的网络插件可以根据具体需求选择，以满足集群的网络需求。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值