如何给用containerd启动的kata容器添加网络

如果直接用ctr创建容器，那么容器内部是没有网络的。这是因为containerd属于CRI模块，网络是由CNI组件去完成的，因此要想有网先要搞定cni。

好消息是已经有个非常好的工具可以像docker一样使用containerd的service启动有网络的容器。这就是nerdctl， 使用方法参见https://github.com/containerd/nerdctl

可惜这个工具虽好但是对kata容器支持的不够完善，只能启动kata但是却没有给kata容器建立网络。我发现一个办法可以给kata添加网络，分享在这里。

首先我参考了这个博客​​​​​​重学容器03: 使用CNI为Containerd容器添加网络能力 - 架构小白|青蛙小白|关注程序开发、互联网技术、云原生

里面会告诉你怎么使用cni创建网络命名空间，并将containerd容器加入这个网络空间中。等到容器启动，你会发现里面是有网卡的，IP也有，可以ping同host，可惜不能上外网。解决的办法是添加iptables rule。下面是个例子，假设容器里面的ip是10.88.0.3

iptables -A FORWARD -d 10.88.0.3/32 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -s 10.88.0.3/32 -j ACCEPT

这样容器就有网络了。