【k8s】集群12-flannel SNAT优化

目录

1.环境

1.1 预先拉取curl镜像

1.2 运行

1.3 在h135上观察日志

1.4 对于上面的访问结果有以下说明

2.安装iptables-services服务

3.查看当前iptables规则

4.修改iptables策略

4.1 删除

4.2 添加

4.3 保存iptables策略

5 启动iptables

6 验证

---

1.环境

对象：h134

node	docker ip	物理ip
h134	172.7.134.0/24	192.168.146.134
h135	172.7.135.0/24	192.168.146.135

1.1 预先拉取curl镜像

docker pull curlimages/curl

1.2 运行

docker run --rm curlimages/curl:latest -L -v 172.7.135.3

1.3 在h135上观察日志

[root@h134 hehe]# kubectl logs -f nginx-ds-8xpmw

192.168.146.134 - - [02/Aug/2021:06:21:09 +0000] "GET / HTTP/1.1" 200 612 "-" "curl/7.78.0-DEV" "-"

1.4 对于上面的访问结果有以下说明

由于h134上启动的curl镜像容器 去访问h135的nginx，观察h135日志，来访ip为h134物理ip，在k8s网络环境下，这不是我们想要的，我们预想的同k8s集群下的访问关系，应当观察到的来访者ip是属于docker网络的172.7.134.0这个网段中的ip，对此有以下优化。

2.安装iptables-services服务

对象h134

yum install -y iptables-services

3.查看当前iptables规则

对象h134

iptables-save | grep -i postrouting
#####
:POSTROUTING ACCEPT [5467511:908632521]
:POSTROUTING ACCEPT [64:3839]
:KUBE-POSTROUTING - [0:0]
-A POSTROUTING -m comment --comment "kubernetes postrouting rules" -j KUBE-POSTROUTING
#######################修改下面这条#######################
-A POSTROUTING -s 172.7.134.0/24 ! -o docker0 -j MASQUERADE
#######################修改上面这条#######################
-A KUBE-POSTROUTING -m comment --comment "Kubernetes endpoints dst ip:port, source ip for solving hairpin purpose" -m set --match-set KUBE-LOOP-BACK dst,dst,src -j MASQUERADE
-A KUBE-POSTROUTING -m mark ! --mark 0x4000/0x4000 -j RETURN
-A KUBE-POSTROUTING -j MARK --set-xmark 0x4000/0x0
-A KUBE-POSTROUTING -m comment --comment "kubernetes service traffic requiring SNAT" -j MASQUERADE

4.修改iptables策略

对象h134

4.1 删除

iptables -t nat -D POSTROUTING -s 172.7.134.0/24 ! -o docker0 -j MASQUERADE

4.2 添加

下面策略解释：h134节点主机上的，源ip是172.7.134.0且目的ip不是172.7.0.0且网络发包不从docker0桥设备出站的，进行SNAT转换

iptables -t nat -I POSTROUTING -s 172.7.134.0/24 ! -d 172.7.0.0/16 ! -o docker0 -j MASQUERADE

4.3 保存iptables策略

iptables-save > /etc/sysconfig/iptables

5 启动iptables

systemctl enable iptables
systemctl start iptables

6 验证

从h134启动curl容器 去访问在h135的nginx容器，通过观察nginx容器日志

，发现访问的源ip已经改变成我们希望的docker网络的ip