每日一题5

iptables和IPVS的原理及区别

iptables的原理

Kubernetes 从1.2版本开始，将 iptables 作为 kube - proxy 的默认模式。 iptables 模式下的 kube - proxy 不再起到 Proxy 的作用，其核心功能：通过 API Server 的 Watch 接口实时跟踪 Service 与 Endpoint 的变更信息，并更新对应的 iptables 规则， Client 的请求流量则通过 iptables 的 NAT 机制"直接路由"到目标 Pod。

总之，iptables代理模式是Kubernetes默认使用的代理模式。它使用iptables规则来实现流量转发和负载均衡。每个节点上的iptables规则被配置为将流量转发到目标Pod的IP地址和端口。

IPVS的原理

IPVS 在Kubernetes1.11中升级为 GA 稳定版。 IPVS 则专门用于高性能负载均衡，并使用更高效的数据结构（ Hash 表），允许几乎无限的规模扩张，因此被 kube - proxy 采纳为最新模式。
在 IPVS 模式下，使用 iptables 的扩展 ipset ，而不是直接调用 iptables 来生成规则链。 iptables 规则链是一个线性的数据结构， ipset 则引入了带索引的数据结构，因此当规则很多时，也可以很高效地查找和匹配。
可以将 ipset 简单理解为一个 IP （段）的集合，这个集合的内容可以是 IP 地址、 IP 网段、端口等， iptables 可以直接添加规则对这个"可变的集合"进行操作，这样做的好处在于可以大大减少 iptables 规则的数量，从而减少性能损耗。

IPVS代理模式是一种高性能的代理模式，通过使用Linux内核的IPVS功能来实现负载均衡和流量转发。IPVS代理模式比iptables代理模式具有更好的性能和可扩展性，尤其适用于大规模集群和高负载环境。

iptables和IPVS的区别

iptables 与 IPVS 都是基于 Netfilter 实现的，但因为定位不同，二者有着本质的差别： iptables 是为防火墙而设计的； IPVS 则专门用于高性能负载均衡，并使用更高效的数据结构（ Hash 表），允许几乎无限的规模扩张。

与 iptables 相比， IPVS 拥有以下明显优势：

1. 为大型集群提供了更好的可扩展性和性能；
2. 支持比 iptables 更复杂的复制均衡算法（最小负载、最少连接、加权等）;
3. 支持服务器健康检查和连接重试等功能；
4. 可以动态修改 ipset 的集合，即使 iptables 的规则正在使用这个集合。

总的来说，区别如下：

• 性能和可扩展性：IPVS代理模式比iptables代理模式具有更好的性能和可扩展性。
• 功能支持：IPVS代理模式支持更多的负载均衡算法和会话保持方式。
• 配置复杂性：IPVS代理模式的配置相对复杂，需要额外的配置和维护工作。而iptables代理模式的配置相对简单。
• 兼容性：IPVS代理模式在某些Linux发行版上可能需要额外的内核模块支持，而iptables代理模式在大多数Linux发行版上都可以正常使用。