【kubernetes/k8s概念】calico iptables 规则分析

最新推荐文章于 2024-03-14 15:41:52 发布
最新推荐文章于 2024-03-14 15:41:52 发布
阅读量598 收藏
点赞数
分类专栏： k8s探险记 文章标签： kubernetes 网络 容器
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/wxb880114/article/details/124967686
版权
本文详细解析了Calico 3.7版本中iptables的处理流程，包括数据包到达节点后经历的raw、mangle、nat表的PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING链，并介绍了不同链中的主要规则和目的，如路由决策前后的处理、转发和本地主机的报文处理。此外，还讨论了iptables的通用匹配、状态检测以及mark值的意义。
摘要由CSDN通过智能技术生成

本文为 calico 3.7 版本

名词解释

endpoint: 接入到calico网络中的网卡称为endpoint
AS: 网络自治系统，通过BGP协议与其它AS网络交换路由信息
ibgp: AS内部的BGP Speaker，与同一个AS内部的ibgp、ebgp交换路由信息。
ebgp: AS边界的BGP Speaker，与同一个AS内部的ibgp、其它AS的ebgp交换路由信息。

workloadEndpoint: 虚拟机、容器使用的 endpoint
hostEndpoints: 物理机(node)的地址

 

    
 
  1. 引用网上图片 
    2. 

 

基本步骤如下：
 

 
 
    
  
  1. 数据包到达网络接口比 eth0
    2. 
  
  2. 进入 raw 表的 PREROUTING 链，这个链的作用是在连接跟踪之前处理数据包
    3. 
  
  3. 如果进行了连接跟踪
    4. 
 



                

        

        

        

    

  


        

            

                

                

                了解本专栏
                
                
                  
                订阅专栏 解锁全文
                 
                
                    
                    超级会员免费看
                
            

            
            
            
        

    

      

        

            

              
                
                  未来AI编程
                
              
            

            

                关注
              
            

        

        

          
    
            
  • 
              
                
                
                
                
                      0
                
              
              
    点赞
    
            
    • 
            
  • 
              
                
                
                
              
              
    踩
    
            
    • 
            
  • 
              
                
                
                
                
                    0
                
              
              
    
                
    
                  
                    收藏
                  
                
    
              
    
              
    
                
    
                  觉得还不错?
                  
                    一键收藏
                  
                 
                
    
              
    
            
    • 
                
  • 
                  
                    打赏
                    
                  
                  
    打赏
    
                
    • 
          
  • 
            
    
              
              
            
    
              
              
              
                    0
              
            
            
    评论
    
          
    • 
          
  • 
          
    • 
          
  • 
            
              
            
              
    
            
              
                
            
    
          
    • 
        

      

      

            

                专栏目录
          

                

                        订阅专栏
                










                



	

		

			

				
					
【ubuntu24.04】k8s 部署5：配置calico 镜像拉取

				
			

			

				

					突围
				

				

					08-19
					
					235
					
				

			

		

		

			
				
docker.io/calico/csi:v3.28.1

			
		

	



                

              
                



	

		

			

				
					
calico iptables详解

				
			

			

				

					虾米的博客
				

				

					06-15
					
					8711
					
				

			

		

		

			
				
报文处理过程

报文处理过程中使用的标记位：

一共使用了3个标记位，0x7000000对应的标记位
0x1000000:  报文的处理动作，置1表示放行，默认0表示拒绝。
0x2000000:  是否已经经过了policy规则检测，置1表示已经过。
0x4000000:  报文来源，置1，表示来自host-endpoint



流入报文来源:

1. 以cali+命名的网卡收

			
		

	



                


  
              

                


	

		

			

				
					
12张图带你轻松了解 calico 6种场景下宿主机和pod互访的iptables规则链流转情况【上】

				
			

			

				

					weixin_42072280的博客
				

				

					01-13
					
					2591
					
				

			

		

		

			
				
iptables -t raw -A OUTPUT -p icmp -j LOG  
iptables -t raw -A PREROUTING -p icmp -j LOG 

iptables -t raw -A OUTPUT -p icmp -j TRACE   
iptables -t raw -A PREROUTING -p icmp -j TRACE  


场景一: 从宿主机到容器
# master节点
tcpdump -nn -i cali8b980351434 -w 1-master...

			
		

	





	

		

			

				
					
calico的iptables规则

				
			

			

				

					sdmei
				

				

					12-26
					
					2762
					
				

			

		

		

			
				
学习了下calico的iptables规则，挺复杂的，没想到iptables能这么用。。。

iptables中的链涉及到不少简写：

hep: host endpoint
wl: workload endpoint
fw: from workload endpoint
tw: to wordkoad endpoint
fip: floating IP (为某容器绑定的一个非容器段的IP地址：如n...

			
		

	



		

			
		



	

		

			

				
					
一、kubeadm部署Kubernetes(k8s) 1.23.0多主高可用集群

					
最新发布

				
			

			

				

					技术分享博客，工作经验，技能学习分享（多做一些不会的，会有意向不到的收获，IT高手不可能永远只做会的）
				

				

					03-14
					
					1077
					
				

			

		

		

			
				
kubeadm部署Kubernetes(k8s) 1.23.0多主高可用集群

			
		

	





	

		

			

				
					
Kubernetes网络插件详解 - Calico篇 - 概述

				
			

			

				

					m0_72650596的博客
				

				

					08-05
					
					856
					
				

			

		

		

			
				
Kubernetes容器网络比较复杂，需要与底层基础设施及上层业务来确定容器网络方案，同时很多网络插件又支持多种模式，需要大量的网络的基础知识支撑才能了解清楚。选择合适的CNI插件，需要综合考虑底层网络网络拓扑，结合应用需要的网络功能，以及网络路由协议的需求。Calico是比较成熟的容器网络插件，功能上比较丰富，性能上也在不断优化。...

			
		

	





	

		

			

				
					
Kubernetes（k8s）集群安装与配置

				
			

			

				

					weixin_43872526的博客
				

				

					09-04
					
					2519
					
				

			

		

		

			
				
Kubernetes（k8s）集群安装与配置
准备3台虚拟机，参考我上一篇文章 Centos7虚拟机安装与配置联网
节点安排：




node_name
ip




k8s-master01
192.168.175.10


k8s-node01
192.168.175.20


k8s-node02
192.168.175.21


分别设置系统主机名，to separately
# k8s-master01
hostnamectl set-hostname k8s-master01
# k8s-no

			
		

	





	

		

			

				
					
12张图带你轻松了解 calico 6种场景下宿主机和pod互访的iptables规则链流转情况【下】

				
			

			

				

					weixin_42072280的博客
				

				

					01-19
					
					2204
					
				

			

		

		

			
				
master iptables filter表
[root@master files]# iptables -nvL --line-numbers
Chain INPUT (policy ACCEPT 931 packets, 158K bytes)
num   pkts bytes target     prot opt in     out     source               destination
1      16M 3067M cali-INPUT  all  --  *      

			
		

	





	

		

			

				
					
容器跨主机通信之Calico

				
			

			

				

					sk1137的专栏
				

				

					03-22
					
					7718
					
				

			

		

		

			
				
1，Difficulties with traditional overlay networks

https://www.projectcalico.org/learn/

Traditional virtual infrastructures have offered a LAN-like (Layer 2) experience to users
 configuring mult

			
		

	





	

		

			

				
					
kubernetes1.8.4 安装指南 -- 9. calico

				
			

			

				

					陈海峰的博客
				

				

					12-12
					
					3332
					
				

			

		

		

			
				
在master节点通过kubectl建立calico policy controller
calico-controller.yml
apiVersion: rbac.authorization.k8s.io/v1beta1
kind: ClusterRoleBinding
metadata:
  name: calico-kube-controllers
roleRef:
  apiGrou

			
		

	





	

		

			

				
					
Kubernetes 开启iptables后 规则添加以及验证

				
			

			

				

					weixin_43405242的博客
				

				

					10-10
					
					4445
					
				

			

		

		

			
				
1. pod通讯通过flannel的udp端口8472通讯
1.1包封装图

1.不通的情况
启动node2的iptables，确定8472udp端口不通的情况，在node1的pod上测试node2上的pod是否能ping通
# kubectl get pod -o wide
NAME                        READY   STATUS    RESTARTS   AGE     IP            NODE        NOMINATED NODE   READINESS

			
		

	





	

		

			

				
					
详解 Calico 三种模式（与 Fannel 网络对比学习）

				
			

			

				

					叮当猫的喵i
				

				

					08-04
					
					1万+
					
				

			

		

		

			
				
之后「源 VTEP 设备」 —— 会将此「 Vxlan 数据包」进行「UDP封装」,其中「 Vxlan 数据包」会视为「UDP数据包的基础数据信息」通过「目的 Pod IP」—— 得知「目的 VTEP 设备的 MAC 地址」 —— 「源 VTEP 设备」根据得到的信息构建 Vxlan 数据包。”二层“通信 —— 指的是，需要维护「MAC 地址级别的信息」，即「虚拟IP」与「MAC 地址」的映射关系。之后此封装好的「UDP数据包」，将会通过三层网络，到达目的容器所在的主机的「目的VTEP设备」......

			
		

	





	

		

			

				
					
Kubernetes学习笔记之Calico CNI Plugin源码解析(二)

				
			

			

				

					HULK一线技术杂谈
				

				

					05-19
					
					541
					
				

			

		

		

			
				
女主宣言今天小编继续为大家分享Kubernetes Calico CNI Plugin学习笔记，希望能对大家有所帮助。PS：丰富的一线技术、多元化的表现形式，尽在“360云计算”，点关注哦...

			
		

	





	

		

			

				
					
iptables命令参数说明

				
			

			

				

					weixin_47105257的博客
				

				

					02-07
					
					1211
					
				

			

		

		

			
				
iptables的主要功能是实现对网络数据包进出设备及转发的控制。当数据包需要进入设备、从设备中流出或者经该设备转发、路由时，都可以使用iptables进行控制。


	iptables语法规则
	

iptables [-t table] COMMAND [chain] CRETIRIA -j ACTION

-t table，是指操作的表，filter、nat、mangle或raw, 默认使用filter

　　COMMAND，子命令，定义对规则的管理

　　chain, 指明链路

　　CRETIRI

			
		

	





	

		

			

				
					
calico网络原理、组网方式和使用

				
			

			

				

					chuiyanyou9920的博客
				

				

					07-09
					
					3888
					
				

			

		

		

			
				
目录 
 
 目录 
 calico 
 名词解释 
 组网原理 
 BGP与AS 
   
   BGP Speaker 全互联模式(node-to-node mesh) 
   BGP Speaker RR模式 
    
 calico网络的部署 
   
   calico在Ethe...

			
		

	





	

		

			

				
					
Calico数据路径：IP路由和iptables

				
			

			

				

					weixin_34242331的博客
				

				

					07-16
					
					757
					
				

			

		

		

			
				
在Calico方案中，IP数据包是被宿主机linux系统路由表和iptables进行路由转发和防火墙策略处理的。对于正在发送数据包的workload（workload，后面均使用英文原文），无论它的路由是如何配置的，Calico都确保将下一跳解析出来的是宿主机（Host）的MAC地址。对于寻址到一个workload的数据包，最后一跳是从目标workload所在宿主机到workload自身。图：容器...

			
		

	





	

		

			

				
					
k8s calico网络原理以及多租户实现设计

					
热门推荐

				
			

			

				

					虾米的博客
				

				

					04-07
					
					1万+
					
				

			

		

		

			
				
软件定义网络SDN


基础概念介绍

租户（Tenant）：在网络资源上完全隔离的一个用户，在业务上可以代表一个对于网络有隔离和管理需求的部门。一个租户可以对应多个网络。

网络（Network）：在业务上可以代表一个部门下的一个项目组。一个网络只能挂在一个租户下面，同时可以有多个子网。

子网（Subnet）：在业务上可以代表一个部门下项目组的一个开发或测试环境。同一个net

			
		

	





	

		

			

				
					

				
			

			

				

					
				

			

		

		

			
				

			
		

	



              




          




        



    





    



      

      

        
      

      





	

		评论	
	

	
	




  

    

      添加红包
      
    

    

      

        
        

          
          
        

        
请填写红包祝福语或标题

      

      

        
        

          
          个
        

        
红包个数最小为10个

      

      

        
        

          
          元
        

        
红包金额最低5元

      

      

        
        

          当前余额3.43元
          前往充值 >
        

      

      

        

          需支付：10.00元
        

        
        
      

    

  





  

    
    
  

  

    
    
  








  

    

      

        

          

            
            
成就一亿技术人!

          

          

        

        

          

          

            领取后你会自动成为博主和红包主的粉丝
            规则
          

        

      

      

        

          

            
              
            
            

              
hope_wisdom
 发出的红包
            

          

        

        

          

          

          

        

      

    

    

  





	
打赏作者

	

		

		
			
		
		

		

			
未来AI编程

			
共鸣===鼓励 打赏您随意

		

	

	

			

	

	

    ¥1
    ¥2
    ¥4
    ¥6
    ¥10
    ¥20
	

	

		

			

				

					扫码支付：¥1
				

				

					

					
					获取中
					

				

				

					
					
					扫码支付
				

			

		

		

			
您的余额不足，请更换扫码支付或充值

			
打赏作者

		

	



      
      

      
实付元

      
使用余额支付

      

        

          

            
            点击重新获取
          

        

        
扫码支付

      

      

        
          
            
          
          
        
      

      

        
        钱包余额
          0
          

            
            

              

                
抵扣说明：

                
 1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
 2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

              

            

          

      

      余额充值