我們一起聊聊 Kubernetes 網絡模型綜合指南

作者：岱軍 2024-02-19 10:11:00

云計算云原生

Kubernetes 網絡是支持容器化應用動態和分布式特性的關鍵因素。通過理解其模型，并有效地實施網絡策略和服務，您可以確保為 Kubernetes 集群建立一個穩健、安全和高效的環境。

這篇詳細的博文探討了 Kubernetes 網絡的復雜性，提供了關于如何在容器化環境中確保高效和安全通信的見解。

譯自Navigating the Network: A Comprehensive Guide to Kubernetes Networking Models。

介紹

在 Kubernetes 的世界中，網絡是一個基本方面，它編排著集群內外各種組件之間的通信。理解 Kubernetes 網絡模型對于任何使用這個編排工具的人來說都是至關重要的。

這篇詳細的博文探討了 Kubernetes 網絡的復雜性，提供了關于如何在容器化環境中確保高效和安全通信的見解。

Kubernetes 網絡被設計來滿足四個關鍵要求，每個要求在 Kubernetes 集群的功能和操作中都扮演著至關重要的角色。

容器與容器之間的通信：這是 Kubernetes 網絡的基本層。它實現了同一個 Pod 內容器之間的直接通信。這些容器共享相同的網絡命名空間，意味著它們可以使用 localhost 互相通信。對于涉及多容器 Pod 的應用程序而言，這種設置對于需要密切高效地交互的容器至關重要。

Pod-to-Pod 通訊: 在 Kubernetes 中，每個 Pod 都被分配了一個唯一的 IP 地址。這種設計選擇簡化了啟用 Pod 之間通信的過程，無論它們位于哪個節點上。Pod 之間可以直接通信，無需進行網絡地址轉換（NAT），確保了直接且簡單的連接。這種模型是創建分布式系統的基礎，其中每個 Pod 都可以作為獨立的微服務運行。

Pod-to-Service 通訊: Kubernetes 服務是一個關鍵的抽象，為 Pod 訪問其他 Pod 提供了一種一致可靠的方式。服務本質上是一組變化的 Pod 的穩定地址。它確保任何發送到服務的請求都會自動智能地路由到正確的 Pod，即使 Pod 被創建、銷毀或更新。這種抽象層對于維護一個具有彈性和可擴展性的系統至關重要。

External-to-Internal 通訊: Kubernetes 網絡的這一方面涉及管理來自集群外部到集群內部服務的入站流量。通過 Ingress 控制器和負載均衡器等機制來處理。這些工具允許外部用戶和應用程序安全高效地訪問運行在集群內部的服務。它們在將應用程序暴露給最終用戶和其他外部系統方面發揮著至關重要的作用。

服務和負載均衡

Kubernetes 中的服務對于為一組可能隨時間動態變化的 Pod 提供穩定的地址至關重要。它們在管理訪問運行在 Pod 上的應用程序方面起著至關重要的作用。讓我們深入了解不同類型的服務及其在負載均衡中的作用：

ClusterIP：這是 Kubernetes 的默認服務。ClusterIP 服務分配一個唯一的內部 IP 地址，用于與服務進行通信。這些服務只能在集群內部訪問，對于集群中的 Pod 之間的內部通信非常有用。這在不需要外部訪問服務的場景中非常理想。

NodePort：NodePort 服務擴展了 ClusterIP 的功能。除了內部 IP 外，NodePort 服務還在所有集群節點上提供了一個特定的端口。外部流量可以訪問這些暴露的端口上的服務，然后將流量路由到相應的內部 IP。當您需要外部流量跨所有節點訪問特定端口時，這尤其有用。

LoadBalancer：在 NodePort 的基礎上，LoadBalancer 服務與云服務提供商的負載均衡器集成。這種類型會自動創建一個外部負載均衡器，將外部流量引導到整個集群節點上的 NodePort，然后再路由到正確的 Pod 上。它簡化了將服務暴露到互聯網的過程，特別適用于分發傳入的網絡流量，從而提高了應用程序的可擴展性和可靠性。

ExternalName: 與其他類型不同，ExternalName 服務不會將流量路由到 Pod。相反，它們充當別名，通過返回一個 CNAME 記錄到一個外部服務。當您想要使用 DNS 將 Kubernetes 集群中的服務與外部服務集成時，這是非常有用的。

網絡安全的網絡策略

Kubernetes 中的網絡策略提供了一個重要的安全層，規定了 Pod 之間以及與其他網絡端點之間的通信方式。它們充當了 Pod 的防火墻，允許用戶根據標簽選擇器和 CIDR 塊指定入站和出站規則。

例如，考慮這樣一個情景：您有一個前端和一個后端服務。后端服務不應該從集群外部訪問，但應該允許來自前端服務的流量。您可以使用類似以下內容的網絡策略來實現：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: backend-network-policy
  namespace: default
spec:
  podSelector:
    matchLabels:
      app: backend
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: kubeops-frontend
    ports:
    - protocol: TCP
      port: 80

這個策略確保只有帶有標簽 app: kubeops-frontend 的 Pod 可以訪問 TCP 端口 80 上的后端 Pod。這種細粒度的控制有助于在 Kubernetes 中維護一個安全且受控的網絡環境。

考慮默認行為也是至關重要的。默認情況下，Kubernetes 集群中的所有 Pod 都可以彼此通信。應用網絡策略可以改變這種默認行為。例如，應用允許特定流量的策略意味著所有不符合該策略的其他流量都將被拒絕。

Ingress 和 Egress 控制器

圖片

Kubernetes 中的入口和出口控制器管理集群內部服務的外部訪問，通常是 HTTP。入口控制器促進將外部流量路由到正確的內部資源，而出口控制器則管理集群的出站流量。

入口控制器負責讀取入口資源信息并適當地處理它。例如，當用戶請求 URL 時，入口控制器根據入口資源中定義的路由規則將請求路由到適當的服務。這對于管理對微服務的訪問和實現 SSL/TLS 終止特別有用。

另一方面，出口控制器處理出站流量。它們確保來自集群內部到外部世界的請求被正確管理和路由。出口控制器可以強制執行限制 Pod 可以建立連接的目的地的策略，增強了集群的整體安全性。

實現這些控制器需要對網絡架構和應用程序的流量模式有清晰的理解。例如，一個配置良好的入口控制器可以高效地處理流量突增，根據 URL 路徑進行路由，并提供基于名稱的虛擬主機。

核心網絡解決方案：重要性與作用

Calico 用于網絡策略執行：以其強大的網絡策略執行而聞名，Calico 在維護應用程序安全方面發揮著關鍵作用。它對 Pod 通信提供了精細的控制，僅允許授權的流量，從而執行安全策略并分段網絡流量以防止未經授權的訪問。其重要性在于增強了應用程序內部網絡交互的整體安全性和完整性。

Flannel 用于簡單的覆蓋網絡：Flannel 以其在設置覆蓋網絡方面的簡單性和效率而至關重要，連接跨節點的 Pod。它的作用是通過自動管理子網分配來簡化 Kubernetes 部署中的網絡配置。這減少了與網絡管理相關的復雜性和運營開銷，使其成為直接但有效的網絡連接的有價值工具。

Cilium 用于 API 感知網絡：Cilium 對于將 API 感知的網絡安全過濾引入 Kubernetes 至關重要。利用 BPF，在內核級別過濾網絡流量，理解 Kubernetes 標簽和元數據。它的作用在于增強安全性，并為網絡流量提供改進的可見性，特別是對于微服務，從而促進更安全、更透明的網絡環境。

Canal 作為 Flannel 和 Calico 的組合：Canal 合并了 Flannel 和 Calico 的優點，為 Kubernetes 提供了全面的網絡解決方案。它的作用是提供易用性（來自 Flannel）和強大的安全功能（來自 Calico）。這種組合使得 Canal 成為一個多功能的選擇，滿足了對高效網絡覆蓋和靈活網絡策略的需求。

Kube-router 作為輕量級解決方案：Kube-router 是標準網絡解決方案的簡化、更高效的替代方案。它的作用是通過單個守護程序處理路由、網絡策略和服務代理功能。這使其成為較小或資源受限環境的理想選擇，提供了輕量級但有效的網絡解決方案。

圖片

Kubernetes 網絡的最佳實踐

利用網絡策略控制流量流向：網絡策略對于保護 Kubernetes 環境至關重要。它們充當 Pod 的防火墻，允許您定義哪些 Pod 可以彼此通信。例如，您可以限制數據庫 Pod，使其只能被特定應用程序 Pod 訪問，增強數據的安全性和完整性。
實現服務網格以處理復雜通信：在微服務架構中，像 Istio 或 Linkerd 這樣的服務網格提供了額外的通信控制、可觀察性和可靠性層。例如，您可以通過服務網格管理負載均衡、服務間身份驗證，并監控服務間通信，從而更容易調試和優化您的應用程序。
優化負載均衡策略：負載均衡對于平均分配流量到各個 Pod 至關重要。您可以使用輪詢策略，其中請求按順序分配，或者更高級的方法，如 IP 哈希，確保用戶的會話始終由相同的 Pod 服務。這確保了資源的有效利用和用戶體驗的改進。
啟用 DNS 進行服務發現：Kubernetes DNS 服務在服務發現中起著關鍵作用。它允許 Pod 通過名稱定位其他 Pod 和服務，而不是依賴于可能變化的 IP 地址。例如，一個應用程序可以通過其 DNS 名稱輕松定位到數據庫服務，簡化配置和服務間通信。
利用 Ingress 控制器進行外部訪問：當將您的服務暴露給外部世界時，Ingress 控制器是比 NodePort 或 LoadBalancer 服務更高級和靈活的選項。它們提供 HTTP/HTTPS 路由、SSL 終止和基于名稱的虛擬主機。這意味著您可以通過精細的控制高效管理對服務的外部訪問。
監控和記錄網絡活動：持續監控和記錄網絡流量對于診斷問題和確保安全至關重要。像 Prometheus 監控和 Fluentd 記錄這樣的工具提供了對您的網絡性能和安全性的洞察。它們幫助您發現異常、了解流量模式，并就擴展和優化做出明智決策。
采用 IPv6 網絡以實現可擴展性：隨著 Kubernetes 集群規模的增長，IPv6 網絡變得越來越重要。它提供了更大的地址空間，消除了復雜的 NAT 設置的需要。過渡到 IPv6 可以未雨綢繆，確保您有足夠的 IP 地址用于所有的 Pod 和服務。

結論

責任編輯：武曉燕來源：云云眾生s

Kubernetes 網絡模型