14-Flannel网络插件网路策略配置

网络插件

一般网络策略:
名称空间,拒绝所有出站,入站,放行所有出站目标本名称空间内的所有Pod

Docker 四种网络模型

  • bridge

  • joined

  • open

  • none

Kubernetes 网络通信
1、容器间通信
2、POD通信
3、POD与Service通信
4、Service 与集群

CNI 网络插件

提供网络分配功能

  • flannel

  • calico

  • canel

  • kube-router

kubernetes网络解决方案:

  • 虚拟网桥

  • 多路复用:MacVLAN

  • 硬件交换:SR-IOV  (单根IO虚拟化)

网络插件配置文件目录 /etc/cni/net.d/

Flannel 支持多种后端
VxLAN

  • vxlan   (隧道叠加网络通信+L3)

  • Directrouting  (直接路由)

  • host-ge: Host Gateway  (同一个网段)

  • UDP

Flannel 配置

kubectl get configmap -n kube-system

 kubectl get configmap -n kube-system
kubectl get configmap kube-flannel-cfg -o json -n kube-system
  • Network:flannel 使用CIDR格式的网络地址,用于为POD配置网络功能

    • 10.244.0.0/16

  • SubnetLen:把Network切分子网供各节点使用时,使用多少的掩码切分,默认为24位

    • SubnetMin:  10.244.10.0/24

    • SubnetMax   10.244.100.0./24

  • Backend: 使用什么方式作为POD后端通信

    • vxlan

    • host-gw

    • udp

方法1:

vim flannet.json

{
 "Network": "10.244.0.0/16""
  "Bacend": {
    "Type": "vxlan",
    "Directrouting": "true"
    }
}

方法2:

改初始安装Flannel时候的yaml,卸载重新安装

验证:
ip route show

Calico 网络策略

kubectl explain networkpolicy.spec
kubectl explain networkpolicy.spec.ingress
kubectl get netpolicy -n xxx

Ingress  进方向规则
Egress     出方向规则
policyTypes 默认存在什么就生效

配置拒绝所有入站例子

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metedata:
  name: deny-all-ingress
  namespace: dev
spec:
  podSelector: {}
  policyTypes:
  - Ingress

配置允许所有入站例子

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metedata:
  name: all-ingress
  namespace: dev
spec:
  podSelector: {}
   ingress: 
  - {}
  policyTypes:
  - Ingress

配置特定网段进站,特定IP允许进站规则例子

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metedata:
  name: allow-myapp-ingress
  namespace: dev
spec:
  podSelector: {}
    matchLabels:
        app: myapp
  ingress:
   - from:
     - ipBlock:
         cidr: 10.244.0.0/16
        except:
        - 10.244.1.2/32
    ports:
    - protocol: TCP
      port: 80
    ports:
    - protocol: TCP
      port: 443

配置禁止所有出站规则例子

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metedata:
  name: deny-all-Egress
  namespace: dev
spec:
  podSelector: {}
  policyTypes:
  - Egress

配置禁止所有出站规则例子

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metedata:
  name: deny-all-Egress
  namespace: dev
spec:
  podSelector: {}
  policyTypes:
  - Egress

配置允许所有出站规则例子

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metedata:
  name: deny-all-Egress
  namespace: dev
spec:
  podSelector: {}
  - {}
  policyTypes:
  - Egress
  • blogger
版权声明:若无特殊注明,本文为《橙子柠檬》原创,转载请保留文章出处。
本文链接:https://qinzc.me/post-235.html
正文到此结束

热门推荐

发表吐槽

你肿么看?

你还可以输入 250 / 250 个字

嘻嘻 大笑 可怜 吃惊 害羞 调皮 鄙视 示爱 大哭 开心 偷笑 嘘 奸笑 委屈 抱抱 愤怒 思考 日了狗 胜利 不高兴 阴险 乖 酷 滑稽

评论信息框
可使用QQ号实时获取昵称+头像

私密评论

吃奶的力气提交吐槽中...


既然没有吐槽,那就赶紧抢沙发吧!