Kubernetes 网络使您能够在 k8s 网络内配置通信。它基于扁平网络结构，无需在主机和容器之间映射端口。
Kubernetes 网络支持容器化组件之间的通信。这种网络模型的主要优点是不需要在主机和容器之间映射端口。然而，配置 Kubernetes 网络模型并不是一件容易的事。在本文中，您将了解什么是 Kubernetes 网络，探索常见的实现，并发现关键的 Kubernetes 网络变化。
什么是 Kubernetes 网络？
Kubernetes (k8s) 是一个开源容器编排平台。您可以使用它来自动化本地或云中容器的部署、更新和操作。使用 k8s，您可以跨多个基础架构管理容器化工作负载，而无需担心操作系统或环境。
Kubernetes 网络是 k8s 用来实现其组件之间通信的模型。它基于扁平的网络结构，不需要你在主机和容器之间映射端口。尽管 Kubernetes 网络设置起来可能是一个挑战，但它是任何 k8s 操作的重要组成部分，并且您需要了解它才能成功部署。
常见的 Kubernetes 网络实现
使用 Kubernetes 时，平台会强制实施需要第三方工具来实现的网络模型。您可以选择许多第三方工具，但以下三个是流行的选项。
Flannel——一种为 k8s 设计的开源网络结构。Flannel 通过每个主机上的二进制代理运行。该代理将子网租用分配给主机并使用 etcd 来存储配置数据。
Project Calico——一个开源网络供应商和政策引擎。Calico 使您能够创建一个可扩展的网络解决方案来连接 k8s pod。它还使您能够在主机网络或服务网格层上实施安全策略。
Weave Net — 一种专有网络工具包，可用于创建虚拟网络。Weave Net 包括弹性、可扩展性、安全性、多播网络和服务发现等功能。它基于去中心化架构，不需要任何外部配置服务或存储。
Kubernetes 网络变化
在标准的 Kubernetes 部署中，您应该注意多种网络变化。以下是需要了解的最常见的网络情况。
容器到容器网络
网络的高级视图描述了直接与以太网设备通信的设备或虚拟机。然而，实际上（至少对于 Linux），您机器上的每个进程都在网络命名空间内进行通信。
这个命名空间创建了一个逻辑网络堆栈，它有自己的网络设备、防火墙规则和路由。当您运行一个进程时，它默认分配给您的根网络命名空间。这为进程提供了外部访问。
在 Kubernetes 中，您的容器被分组为 pod，每个 pod 都有一个共享的命名空间。在这个 pod 中，所有容器都具有相同的端口和 IP 地址以及端口空间。为了通信，Pod 中的容器可以使用 localhost，因为它们都在同一个命名空间中运行。如果不同 Pod 中的容器需要通信，则您正在使用下面描述的 Pod 到 Pod 网络过程。
Pod 到 Pod 网络
Pod 到 Pod 网络可以发生在同一节点内或跨节点的 Pod 中。您的每个节点都有一个无类域间路由 (CIDR) 块。该块是分配给该节点内的 Pod 的一组已定义的唯一 IP 地址。这确保了每个 pod 都被提供了一个唯一的 IP，而不管它在哪个节点。
当 Pod 需要通信时，会使用虚拟以太网设备 (VED) 或 veth 对来连接 Pod。Veth 对是分布在命名空间中的耦合网络接口。一对中的一个分配给根命名空间，另一个分配给 pod 命名空间。然后，VED 用作两个命名空间之间的中介连接。
Pod 到服务网络
Kubernetes 旨在允许根据需要动态替换 pod。这意味着 pod IP 地址不是持久的，除非采取特殊的预防措施，例如有状态的应用程序。为了解决这个问题并确保保持与 Pod 之间的通信，Kubernetes 使用了服务。
Kubernetes 服务管理 pod 状态并使您能够随时间跟踪 pod IP 地址。这些服务通过将单个虚拟 IP（集群 IP）分配给一组 pod IP 来抽象 pod 地址。然后，发送到虚拟 IP 的任何流量都会分发到相关联的 pod。
此服务 IP 允许根据需要创建和销毁 pod，而不会影响整体通信。它还使 Kubernetes 服务能够充当集群内负载均衡器，根据需要在关联的 pod 之间分配流量。
互联网到服务网络
大多数部署所需的最终网络情况是在 Internet 和服务之间。无论您是将 Kubernetes 用于内部还是外部应用程序，您通常都需要 Internet 连接。这种连接使用户能够访问您的服务和分布式团队进行协作。
在设置外部访问时，您需要使用两种技术——出口和入口。您可以使用白名单或黑名单来设置这些策略，以控制进出网络的流量。
Egress（出口）：出口是将流量从您的节点路由到外部连接的过程。它通常通过连接到您的虚拟私有云 (VPC) 的 Internet 网关完成。此网关使用网络地址转换 (NAT) 在您的用户和您的节点所在的机器之间映射 IP。但是，它无法映射到您节点上的各个 Pod。对于这一步，Kubernetes 使用 IP 表和集群 IP 来完成通信。
Ingress：Ingress 是 Egress 的相反过程，涉及从外部客户端到您的 Kubernetes 服务的通信。它作为一组规则运行，定义允许哪些连接以及阻止哪些连接与您的服务进行通信。
结论
Kubernetes 网络使您能够在 k8s 网络内配置通信。它基于扁平网络结构，无需在主机和容器之间映射端口。但是，要强制实施此网络模型，您需要使用第三方工具（开源或付费的），例如 Flannel、Project Calico 和 Weave Net。
此外，在配置 Kubernetes 网络时，您需要考虑某些网络方面，这在传统网络中是不会遇到的。其中包括容器到容器网络、Pod 到 Pod 网络、Pod 到服务网络和 Internet 到服务网络。请务必妥善规划您的网络，因为错误配置可能会导致漏洞。
| 本文 :https://architect.pub/understanding-kubernetes-networking-model | ||
| 讨论：知识星球【首席架构师圈】或者加微信小号【ca_cto】或者加QQ群【792862318】 | ||
| 公众号 | 【jiagoushipro】 【超级架构师】 精彩图文详解架构方法论，架构实践，技术原理，技术趋势。 我们在等你，赶快扫描关注吧。 |  |
| 微信小号 | 【ca_cea】 50000人社区，讨论：企业架构，云计算，大数据，数据科学，物联网，人工智能，安全，全栈开发，DevOps，数字化. |
|
| QQ群 | 【285069459】深度交流企业架构，业务架构，应用架构，数据架构，技术架构，集成架构，安全架构。以及大数据，云计算，物联网，人工智能等各种新兴技术。 加QQ群，有珍贵的报告和干货资料分享。 |
|
| 视频号 | 【超级架构师】 1分钟快速了解架构相关的基本概念，模型，方法，经验。 每天1分钟，架构心中熟。 |
|
| 知识星球 | 【首席架构师圈】向大咖提问，近距离接触，或者获得私密资料分享。 |
|
| 喜马拉雅 | 【超级架构师】路上或者车上了解最新黑科技资讯，架构心得。 | 【智能时刻，架构君和你聊黑科技】 |
| 知识星球 | 认识更多朋友，职场和技术闲聊。 | 知识星球【职场和技术】 |
| 领英 | Harry | https://www.linkedin.com/in/architect-harry/ |
| 领英群组 | 领英架构群组 | https://www.linkedin.com/groups/14209750/ |
| 微博 | 【超级架构师】 | 智能时刻 |
| 哔哩哔哩 | 【超级架构师】 |
|
| 抖音 | 【cea_cio】超级架构师 |
|
| 快手 | 【cea_cio_cto】超级架构师 |
|
| 小红书 | 【cea_csa_cto】超级架构师 |
|
| 网站 | CIO(首席信息官) | https://cio.ceo |
| 网站 | CIO,CTO和CDO | https://cioctocdo.com |
| 网站 | 架构师实战分享 | https://architect.pub |
| 网站 | 程序员云开发分享 | https://pgmr.cloud |
| 网站 | 首席架构师社区 | https://jiagoushi.pro |
| 网站 | 应用开发和开发平台 | https://apaas.dev |
| 网站 | 开发信息网 | https://xinxi.dev |
| 网站 | 超级架构师 | https://jiagou.dev |
| 网站 | 企业技术培训 | https://peixun.dev |
| 网站 | 程序员宝典 | https://pgmr.pub |
| 网站 | 开发者闲谈 | https://blog.developer.chat |
| 网站 | CPO宝典 | https://cpo.work |
| 网站 | 首席安全官 | https://cso.pub |
| 网站 | CIO酷 | https://cio.cool |
| 网站 | CDO信息 | https://cdo.fyi |
| 网站 | CXO信息 | https://cxo.pub |
谢谢大家关注，转发，点赞和点在看。
