k8s之CNI详解

最新推荐文章于 2025-03-18 10:16:42 发布

爱吃芝麻汤圆

最新推荐文章于 2025-03-18 10:16:42 发布

阅读量1.5k

点赞数 20

分类专栏： # k8s 文章标签： kubernetes 容器云原生

本文链接：https://blog.csdn.net/woshihlf/article/details/145580441

版权

k8s 专栏收录该内容

45 篇文章

订阅专栏

Kubernetes CNI 详解

一、CNI 概述

Container Network Interface (CNI) 是一个由 Cloud Native Computing Foundation (CNCF) 维护的开源项目，旨在为容器提供一致的网络配置接口。CNI 定义了一组规范和插件，使得容器运行时（如 Docker、containerd、CRI-O 等）能够与第三方网络插件（CNI 插件）通信，从而实现容器网络的配置和管理。

Kubernetes 集群内的网络模型定义了以下几点：

每个 Pod 都有一个独立的 IP 地址：Pod 内的所有容器共享同一个网络命名空间，因此它们共享同一个 IP 地址和网络配置。
集群内的 Pod 处于一个扁平网络中：所有 Pod 可以直接互相通信，无需通过 NAT（网络地址转换）。
Service 和 Cluster IP：Kubernetes 提供了 Service 和 Cluster IP 的概念，使得服务可以在集群内部被发现和访问。
外部访问：外部请求可以通过 NodePort、LoadBalancer 或 Ingress 等方式访问集群内的服务。

在这里插入图片描述

二、CNI 的工作原理

CNI 的核心思想是将容器的网络配置与容器运行时解耦，通过插件机制实现网络配置的灵活性。CNI 的工作流程可以分为以下几个步骤：

容器运行时创建网络命名空间：当 Kubernetes 调度一个 Pod 到某个节点时，容器运行时（如 containerd 或 Docker）会为该 Pod 创建一个新的网络命名空间。
CNI 插件进行网络配置：容器运行时会调用 CNI 插件，执行网络配置操作。CNI 插件负责以下任务：
- 为容器分配 IP 地址。
- 设置网络接口（如虚拟网卡）。
- 配置路由表和网络策略。
IPAM 插件分配 IP 地址：CNI 插件通常会使用 IPAM（IP Address Management）插件来为容器分配 IP 地址。IPAM 插件负责管理 IP 地址池，并为每个容器分配唯一的 IP 地址。
启动容器：网络配置完成后，容器运行时启动容器，并将其加入到已配置的网络命名空间中。

三、CNI 插件的分类与主流方案

CNI 插件可以根据其网络实现方式分为以下几类：

二层互联实现方式：基于 VLAN 或 MAC 地址的二层网络技术。
- 优点：网络延迟低，适合小规模集群。
- 缺点：需要在物理网络上配置 VLAN，管理复杂，不适合跨机房或大规模集群。
- 适用场景：适用于小型集群或对网络性能要求较高的场景。
三层路由实现方式：基于 BGP 等三层路由协议，通过路由表实现容器间的通信。
- 优点：传输效率高，不需要封装和解封装。
- 缺点：需要复杂的路由配置，可能需要额外的硬件支持。
- 适用场景：适用于大规模集群，尤其是需要高性能网络的场景。
Overlay 方案实现方式：通过 VXLAN、IPIP 等协议将容器网络封装在现有的物理网络中。
- 优点：支持跨数据中心的网络互联，配置相对简单。
- 缺点：封装和解封装会增加一定的计算和网络延迟。
- 适用场景：适用于跨数据中心或混合云环境。
SDN 方案实现方式：基于软件定义网络（SDN）技术，使用 SDN 控制器和虚拟交换机（如 OVS）实现网络的灵活配置。
- 优点：高度可定制，支持复杂的网络策略。
- 缺点：架构复杂，部署和维护成本较高。
- 适用场景：适用于对网络策略和定制化需求较高的企业级应用。

四、常见的 CNI 插件

Calico
- 特点：
  - 基于 BGP 的网络方案：Calico 使用 BGP 协议实现容器间的路由，支持大规模集群。
  - 强大的网络策略：支持基于 IP、端口、协议等的细粒度网络策略，提供丰富的安全功能。
  - 高性能和扩展性：适用于大规模容器集群，支持 millions of pods。
  - 多种网络模式：支持 Overlay 和 Underlay 网络，适应不同的网络环境。
- 应用场景：
  - 适用于金融、电信等对网络安全和策略管理要求较高的行业。
  - 适合大规模容器集群和混合云环境。
- 示例：安装 Calico

# 安装 Calico
kubectl apply -f https://raw.githubusercontent.com/projectcalico/calico/v3.26.0/manifests/tigera-operator.yaml
kubectl apply -f https://raw.githubusercontent.com/projectcalico/calico/v3.26.0/manifests/custom-resources.yaml

Flannel
- 特点：
  - 简单易用：Flannel 是最早被广泛使用的 CNI 插件之一，配置简单，适合快速部署。
  - 多种后端驱动：支持 VXLAN、host - gw 等多种后端驱动，适应不同的网络环境。
  - 低资源消耗：Flannel 的资源占用较低，适合轻量级的生产环境。
- 应用场景：
  - 适用于初学者和测试环境。
  - 适合对网络功能要求较低的生产环境。
- 示例：安装 Flannel

# 安装 Flannel
kubectl apply -f https://raw.githubusercontent.com/coreos/flannel/master/Documentation/kube-flannel.yml

Canal
- 特点：
  - 结合 Calico 和 Flannel 的优势：Canal 结合了 Calico 的网络策略和 Flannel 的简单易用性。
  - 强大的网络隔离：支持细粒度的网络策略，同时保持较低的配置复杂度。
  - 适合混合环境：适用于同时需要高性能和简单配置的场景。
- 应用场景：
  - 适用于既需要强大的网络安全策略，又希望配置简单的场景。
  - 常见于混合云和企业内部的云原生平台。
- 示例：安装 Canal

# 安装 Canal
kubectl apply -f https://raw.githubusercontent.com/ggiammi/canal/master/deploy/canal.yaml

五、CNI 插件的配置与使用

安装 CNI 插件：每个 CNI 插件都有对应的安装步骤和配置文件。例如，安装 Flannel：

kubectl apply -f https://raw.githubusercontent.com/coreos/flannel/master/Documentation/kube-flannel.yml

配置 CNI 插件：在 Kubernetes 中，CNI 插件的配置文件通常位于 /etc/cni/net.d/ 目录下。
- 示例：Flannel 的配置文件

{
    "name":"flannel",
    "type":"flannel",
    "delegate": {
        "hairpinMode":true,
        "isDefaultGateway":true
    }
}

验证 CNI 插件：
- 检查 Pod 的网络配置：

kubectl get pods -o wide

- 检查网络插件的状态：

kubectl get pods -n kube-system

六、CNI 的高级主题

多租户网络：CNI 插件支持多租户网络，通过网络策略和隔离机制实现不同租户之间的网络隔离。
网络策略：Kubernetes 提供了 NetworkPolicy 资源，结合 CNI 插件的网络策略功能，可以实现细粒度的网络控制。
性能优化：
- 根据集群规模和网络需求，选择合适的 CNI 插件和网络方案。
- 配置合适的网络参数（如 MTU、路由表等）以优化网络性能。

七、总结

CNI 是 Kubernetes 网络模型的核心组件，通过灵活的插件机制实现了容器网络的配置和管理。选择合适的 CNI 插件和网络方案，能够显著提升 Kubernetes 集群的网络性能和安全性。常见的 CNI 插件如 Calico、Flannel 和 Canal，各有其特点和适用场景，用户可以根据实际需求进行选择和配置。