這篇文章主要介紹kubernetes中網(wǎng)絡(luò)模型的示例分析，文中介紹的非常詳細，具有一定的參考價值，感興趣的小伙伴們一定要看完！
Kubernetes從Docker默認的網(wǎng)絡(luò)模型中獨立出來形成一套自己的網(wǎng)絡(luò)模型。模型的基礎(chǔ)原則是：每個Pod都擁有一個獨立的IP地址，而且假定所有Pod都在一個可以直接連通的，扁平的網(wǎng)絡(luò)空間中。同一個Pod內(nèi)的容器可以通過localhost來連接對方的端口。
Docker網(wǎng)絡(luò)模型
Docker使用Linux橋接，在宿主機上虛擬一個Docker網(wǎng)橋（docker0）,Docker啟動一個容器時會根據(jù)Docker網(wǎng)橋的網(wǎng)段分配容器的IP，同時Docker網(wǎng)橋是每個容器的默認網(wǎng)關(guān)。因為在同一個宿主機內(nèi)的容器都接入同一個網(wǎng)橋，這樣容器之間就能通過容器的IP直接通信。
1. 網(wǎng)絡(luò)命名空間
為了支持網(wǎng)絡(luò)協(xié)議棧的多個實例，Linux在網(wǎng)絡(luò)棧中引入了網(wǎng)絡(luò)命名空間。這些獨立的協(xié)議棧被隔離到不同的命名空間中。處于不同命名空間的網(wǎng)絡(luò)棧是完全隔離的。網(wǎng)絡(luò)命名空間內(nèi)可以有自己獨立的路由表及獨立的Iptables/Netfilter設(shè)置來提供包轉(zhuǎn)發(fā),NAT及IP包過濾等功能。
2. Veth
引入Veth設(shè)備對是為了在不同的網(wǎng)絡(luò)命名空間之間進行通信，利用它可以直接將兩個網(wǎng)絡(luò)命名空間連接起來。
3. Iptables/Netfilter
Netfilter是Linux操作系統(tǒng)核心層內(nèi)部的一個數(shù)據(jù)包處理模塊. Iptables是應(yīng)用層的，其實質(zhì)是一個定義規(guī)則的配置工具，而核心的數(shù)據(jù)包攔截和轉(zhuǎn)發(fā)是Netfiler。
Netfilter作用于網(wǎng)絡(luò)層，數(shù)據(jù)包通過網(wǎng)絡(luò)層會經(jīng)過Netfilter的五個掛載點（Hook POINT）：PRE_ROUTING、INPUT、OUTPUT、FORWARD、POST_ROUTING 任何一個數(shù)據(jù)包，只要經(jīng)過本機，必將經(jīng)過這五個掛載點的其中一個。
iptables的規(guī)則組成，又被稱為四表五鏈：
四張表：filter表(用于過濾)、nat表(用于地址轉(zhuǎn)換)、mangle表(修改數(shù)據(jù)包)、raw表(一般是為了不再讓iptables做數(shù)據(jù)包的鏈接跟蹤處理，跳過其他表，提高性能)
五個掛載點：PRE_ROUTING、INPUT、OUTPUT、FORWARD、POST_ROUTING
具體來說，就是iptables每一條允許/拒絕或轉(zhuǎn)發(fā)等規(guī)則必須選擇一個掛載點，關(guān)聯(lián)一張表。
查看系統(tǒng)中已有的規(guī)則的方法如下：
iptables-save : 按照命令的方式打印Iptables的內(nèi)容。
Iptables-vnL : 以另一種格式顯示Netfilter表的內(nèi)容。
4. 網(wǎng)橋
網(wǎng)橋是一個二層網(wǎng)絡(luò)設(shè)備，可以解析收發(fā)的報文，讀取目標(biāo)MAC地址的信息，和自己記錄的MAC表結(jié)合來決策報文的轉(zhuǎn)發(fā)端口。
5. 路由
路由功能由IP層維護的一張路由表來實現(xiàn)。當(dāng)主機收到數(shù)據(jù)報文時，它用此表來決策下來應(yīng)該做什么操作，當(dāng)從網(wǎng)絡(luò)側(cè)接收到數(shù)據(jù)報文時，IP層首先會檢查報文的IP地址是否與主機自身的地址相同。如果不同，并且主機配置了路由功能，那么報文將被轉(zhuǎn)發(fā)，否則，報文將被放棄。
查看LOCAL表的內(nèi)容:
ip route show table local type local
路由表查看:
Ip route list
6. 網(wǎng)關(guān)
網(wǎng)關(guān)(Gateway)就是一個網(wǎng)絡(luò)連接到另一個網(wǎng)絡(luò)的“關(guān)口”.按照不同的分類標(biāo)準，網(wǎng)關(guān)也有很多種。TCP/IP協(xié)議里的網(wǎng)關(guān)是最常用的.
網(wǎng)關(guān)實質(zhì)上是一個網(wǎng)絡(luò)通向其他網(wǎng)絡(luò)的IP地址。比如有網(wǎng)絡(luò)A和網(wǎng)絡(luò)B，網(wǎng)絡(luò)A的IP地址范圍為“192.168.1.1~192. 168.1.254”，子網(wǎng)掩碼為255.255.255.0；網(wǎng)絡(luò)B的IP地址范圍為“192.168.2.1~192.168.2.254”，子網(wǎng)掩碼為255.255.255.0。在沒有路由器的情況下，兩個網(wǎng)絡(luò)之間是不能進行TCP/IP通信的，即使是兩個網(wǎng)絡(luò)連接在同一臺交換機(或集線器)上，TCP/IP協(xié)議也會根據(jù)子網(wǎng)掩碼(255.255.255.0)判定兩個網(wǎng)絡(luò)中的主機處在不同的網(wǎng)絡(luò)里。而要實現(xiàn)這兩個網(wǎng)絡(luò)之間的通信，則必須通過網(wǎng)關(guān)。
Docker網(wǎng)橋是宿主機虛擬出來的，并不是真實存在的網(wǎng)絡(luò)設(shè)備，外部網(wǎng)絡(luò)是無法尋址到的，這也意味著外部網(wǎng)絡(luò)無法直接訪問到容器。如果容器希望能夠被外部網(wǎng)絡(luò)訪問到，就需要通過映射容器端口到宿主機。 Docker run -p ****:****
實際上，端口映射通過在iptables的NAT表中添加相應(yīng)的規(guī)則，所以我們將端口映射的方式成為NAT方式。
三：Kubernetes網(wǎng)絡(luò)模型
1. 容器間通信
Pod是容器的集合，Pod包含的容器都運行在同一個宿主機上，這些容器將擁有同樣的網(wǎng)絡(luò)空間，容器之間能夠互相通信，它們能夠在本地訪問其它容器的端口。
2. Pod間通信
Kubernetes網(wǎng)絡(luò)模型是一個扁平化的網(wǎng)絡(luò)平面，在這個網(wǎng)絡(luò)平面內(nèi)，Pod作為一個網(wǎng)絡(luò)單元同Kubernetes Node的網(wǎng)絡(luò)處于同一層級。
同一個Kubernetes Node上的Pod/容器原生能通信，但是Kubernetes Node之間的Pod/容器之間的通信，需要對Docker進行增強。在容器集群中創(chuàng)建一個覆蓋網(wǎng)絡(luò)，聯(lián)通各個節(jié)點。
3. Service到Pod的通信
Service 在Pod之間起到服務(wù)代理的作用，對外表現(xiàn)為一個單一訪問接口，將請求轉(zhuǎn)發(fā)給Pod,Service的網(wǎng)絡(luò)轉(zhuǎn)發(fā)是Kubernetes實現(xiàn)服務(wù)編排的關(guān)鍵一環(huán)。
IP
是10.254.248.68，端口80/TCP對應(yīng)的Endpoints包含10.1.46.2：80，10.1.77.2：80；即當(dāng)請求10.254.248.68：80時，會轉(zhuǎn)發(fā)到這些后端之一。
Kubernetes Proxy通過創(chuàng)建Iptables規(guī)則，直接重定向訪問Service虛擬IP的請求到Endpoints.而當(dāng)Endpoints發(fā)生變化的時候，Kubernetes Proxy會刷新相關(guān)的Iptables規(guī)則。在Iptables模式下，Kubernetes Proxy只是負責(zé)監(jiān)控Service和Endpoints,更新Iptables規(guī)則，報文的轉(zhuǎn)發(fā)依賴于Linux內(nèi)核，默認的負載均衡策略是隨機方式。
以上是“kubernetes中網(wǎng)絡(luò)模型的示例分析”這篇文章的所有內(nèi)容，感謝各位的閱讀！希望分享的內(nèi)容對大家有幫助，更多相關(guān)知識，歡迎關(guān)注創(chuàng)新互聯(lián)-成都網(wǎng)站建設(shè)公司行業(yè)資訊頻道！
重慶分公司
重慶分公司
