开课倒计时丨Kubernetes网络插件

开课倒计时丨Kubernetes网络插件

Kubernetes是容器管理平台， 运行企业级、云应用和网络可扩展的IT负载。它是建立在谷歌奠定的15年运行容器化应用的经验基础上。

Kubernetes网络模型

IP-per-Pod，每个Pod都拥有一个独立IP地址，Pod内所有容器共享一个网络命名空间   集群内所有Pod都在一个直接连通的扁平网络中，可通过IP直接访问所有容器之间无需NAT就可以直接互相访问所有Node和所有容器之间无需NAT就可以直接互相访问容器自己看到的IP跟其他容器看到的一样Service cluster IP尽可在集群内部访问，外部请求需要通过NodePort、LoadBalance或者Ingress来访问

官方插件

kubenet：这是一个基于CNI bridge的网络插件（在bridge插件的基础上扩展了port mapping和traffic shaping），是目前推荐的默认插件CNI：CNI网络插件，需要用户将网络配置放到/etc/cni/net.d目录中，并将CNI插件的二进制文件放入/opt/cni/binexec：通过第三方的可执行文件来为容器配置网络，已在v1.6中移除，见kubernetes#39254

Flannel

Flannel是一个为Kubernetes提供overlay network的网络插件，它基于Linux TUN/TAP，使用UDP封装IP包来创建overlay网络，并借助etcd维护网络的分配情况。

Weave Net

Weave Net是一个多主机容器网络方案，支持去中心化的控制平面，各个host上的wRouter间通过建立Full Mesh的TCP链接，并通过Gossip来同步控制信息。这种方式省去了集中式的K/V Store，能够在一定程度上减低部署的复杂性，Weave将其称为“data centric”，而非RAFT或者Paxos的“algorithm centric”。

数据平面上，Weave通过UDP封装实现L2 Overlay，封装支持两种模式，一种是运行在user space的sleeve mode，另一种是运行在kernal space的 fastpath mode。Sleeve mode通过pcap设备在Linux bridge上截获数据包并由wRouter完成UDP封装，支持对L2 traffic进行加密，还支持Partial Connection，但是性能损失明显。

Fastpath mode即通过OVS的odp封装VxLAN并完成转发，wRouter不直接参与转发，而是通过下发odp 流表的方式控制转发，这种方式可以明显地提升吞吐量，但是不支持加密等高级功能。

Calico

Calico 是一个基于BGP的纯三层的数据中心网络方案（不需要Overlay），并且与OpenStack、Kubernetes、AWS、GCE等IaaS和容器平台都有良好的集成。

Calico在每一个计算节点利用Linux Kernel实现了一个高效的vRouter来负责数据转发，而每个vRouter通过BGP协议负责把自己上运行的workload的路由信息像整个Calico网络内传播——小规模部署可以直接互联，大规模下可通过指定的BGP route reflector来完成。 这样保证最终所有的workload之间的数据流量都是通过IP路由的方式完成互联的。Calico节点组网可以直接利用数据中心的网络结构（无论是L2或者L3），不需要额外的NAT，隧道或者Overlay Network。

此外，Calico基于iptables还提供了丰富而灵活的网络Policy，保证通过各个节点上的ACLs来提供Workload的多租户隔离、安全组以及其他可达性限制等功能。

OVS

https://kubernetes.io/docs/admin/ovs-networking/提供了一种简单的基于OVS的网络配置方法：

每台机器创建一个Linux网桥kbr0，并配置docker使用该网桥（而不是默认的docker0），其子网为10.244.x.0/24

每台机器创建一个OVS网桥obr0，通过veth pair连接kbr0并通过GRE将所有机器互联

开启STP

路由10.244.0.0/16到OVS隧道

OVN

OVN (Open Virtual Network) 是OVS提供的原生虚拟化网络方案，旨在解决传统SDN架构（比如Neutron DVR）的性能问题。

OVN为Kubernetes提供了两种网络方案：

Overaly: 通过ovs overlay连接容器Underlay: 将VM内的容器连到VM所在的相同网络（开发中）

其中，容器网络的配置是通过OVN的CNI插件来实现。

Contiv

Contiv是思科开源的容器网络方案，主要提供基于Policy的网络管理，并与主流容器编排系统集成。Contiv最主要的优势是直接提供了多租户网络，并支持L2(VLAN), L3(BGP), Overlay (VXLAN)以及思科自家的ACI。

Romana

Romana是Panic Networks在2016年提出的开源项目，旨在借鉴 route aggregation的思路来解决Overlay方案给网络带来的开销。

Open Contrail

OpenContrail是Juniper推出的开源网络虚拟化平台，其商业版本为Contrail。其主要由控制器和vRouter组成：

控制器提供虚拟网络的配置、控制和分析功能vRouter提供分布式路由，负责虚拟路由器、虚拟网络的建立以及数据转发

其中，vRouter支持三种模式

Kernel vRouter：类似于ovs内核模块DPDK vRouter：类似于ovs-dpdkNetronome Agilio Solution (商业产品)：支持DPDK, SR-IOV and Express Virtio (XVIO)

Juniper/contrail-kubernetes 提供了Kubernetes的集成，包括两部分：

kubelet network plugin基于kubernetes v1.6已经删除的exec network pluginkube-network-manager监听kubernetes API，并根据label信息来配置网络策略

Midonet

Midonet是Midokura公司开源的OpenStack网络虚拟化方案。

从组件来看，Midonet以Zookeeper+Cassandra构建分布式数据库存储VPC资源的状态——Network State DB Cluster，并将controller分布在转发设备（包括vswitch和L3 Gateway）本地——Midolman（L3 Gateway上还有quagga bgpd），设备的转发则保留了ovs kernel作为fast datapath。可以看到，Midonet和DragonFlow、OVN一样，在架构的设计上都是沿着OVS-Neutron-Agent的思路，将controller分布到设备本地，并在neutron plugin和设备agent间嵌入自己的资源数据库作为super controller。从接口来看，NSDB与Neutron间是REST API，Midolman与NSDB间是RPC，这俩没什么好说的。Controller的南向方面，Midolman并没有用OpenFlow和OVSDB，它干掉了user space中的vswitchd和ovsdb-server，直接通过linux netlink机制操作kernel space中的ovs datapath。

其他

ipvs

目前社区还在推https://github.com/kubernetes/kubernetes/issues/17470，预计v1.7可以有alpha版进来。

Canal

Canal是Flannel和Calico联合发布的一个统一网络插件，提供CNI网络插件，并支持network policy。

kuryr-kubernetes

kuryr-kubernetes是OpenStack推出的集成Neutron网络插件，主要包括Controller和CNI插件两部分，并且也提供基于Neutron LBaaS的Service集成。

Cilium

Cilium是一个基于eBPF和XDP的高性能容器网络方案，提供了CNI和CNM插件。

项目主页为https://github.com/cilium/cilium。

kope

kope是一个旨在简化Kubernetes网络配置的项目，支持三种模式：

Layer2：自动为每个Node配置路由Vxlan：为主机配置vxlan连接，并建立主机和Pod的连接（通过vxlan interface和ARP entry）ipsec：加密链接

开班喜讯

运维自动化开班啦！

理论结合实战，使学员既可掌握快速从零构建一套实用、完整、可扩展的运维自动化平台：

深度结合使用流行的zabbix、Ansible、Git、Docker、Rancher、ELK等开源框架与工具， 以应用最广泛的django框架为基础，构建一站式运维自动化平台 通过深度剖析与二次开发定制，结合REST API、运维流程化、运维可视化、运维平台化 思想来构造企业级的运维自动化解决方案在老师带领下大战Zabbix、CMDB、集群自动化部署上线、ELK日志大数据分析、Docker 容器管理平台等多个最新实战，天天实战，招招实用

课程时间：5期运维自动化  8月6日开班

上课模式：网络直播班    线下面授班

咨询QQ(1)：979950755    小夏

QQ(2)：279312229    ada

报名咨询电话：010-56061309

课程大纲：http://51reboot.com/course/devops/