Kubernetes 网络模型揭秘：从 CNI 到 Service Mesh 的云原生通信

引言

在云原生时代，Kubernetes 已成为容器编排的事实标准，而其强大的网络通信能力是支撑其高效运行的关键。Kubernetes 的网络模型设计精巧，旨在为 Pod 提供扁平化的网络环境，使得 Pod 之间以及 Pod 与外部世界能够无缝通信。然而，随着微服务架构的深入发展，对流量管理、可观测性和安全性的需求也日益增长，Service Mesh 技术应运而生，为云原生通信带来了更高级别的控制和抽象。本文将深入探讨 Kubernetes 的网络模型，从底层的 CNI 插件到上层的 Service Mesh，全面揭示云原生通信的奥秘。

一、Kubernetes 网络模型基础：Pod 网络

Kubernetes 的网络模型遵循以下核心原则：

  • 每个 Pod 拥有独立的 IP 地址： 在 Kubernetes 集群中，每个 Pod 都会被分配一个唯一的 IP 地址。Pod 内的容器可以通过 localhost 互相通信，而 Pod 之间的通信则通过各自的 Pod IP 进行。
  • 所有 Pod 处于一个扁平网络中： Kubernetes 假设所有的 Pod 都在一个扁平的网络中，无需进行网络地址转换 (NAT) 即可相互通信。这意味着，无论 Pod 部署在哪个节点上，它们都能通过其 Pod IP 直接访问其他 Pod。
  • 所有节点可以与所有 Pod 通信： 集群中的每个节点（主机）都能够与所有 Pod 进行通信，这确保了 Pod 可以与节点上的服务（如 Kubelet）进行交互。
  • Service 抽象： Kubernetes 使用 Service 抽象来定义 Pod 的逻辑集合，并提供负载均衡和服务发现。Service 为 Pod 提供了一个稳定的入口，即使底层 Pod 发生变化，Service 的 IP 地址和端口也保持不变。

为了实现这些网络原则，Kubernetes 依赖于 CNI（Container Network Interface）插件来管理网络接口的配置。CNI 是一个云原生计算基金会项目，它定义了一套用于配置 Linux 容器网络接口的规范和库。CNI 插件只关注容器的网络连接，并在容器被删除时移除所分配的资源。Kubernetes 使用 CNI 作为网络提供商和 Kubernetes Pod 网络之间的接口。1

二、CNI 插件：构建 Pod 网络基石

CNI 插件是 Kubernetes 网络模型的基石，它们负责为 Pod 分配 IP 地址、配置网络路由以及实现 Pod 之间的通信。常见的 CNI 插件有 Flannel、Calico、Weave、Cilium 等。1

  • Flannel： Flannel 是一个简单易用的 CNI 插件，它通常使用 VXLAN（Virtual Extensible LAN）等封装网络模型来实现 Pod 之间的跨主机通信。Flannel 的优势在于部署简单，但性能一般，且无法实现固定 IP 的容器漂移，也无法做子网隔离。2
  • Calico： Calico 是一个功能强大的 CNI 插件，它支持灵活的网络选项，包括非覆盖和覆盖网络，带或不带 BGP。Calico 使用相同的引擎为主机、Pod 和（如果使用 Istio 和 Envoy）应用程序在服务网格层执行网络策略。2 Calico 的一大特点是其强大的网络策略功能，可以对 Pod 之间的流量进行细粒度控制，从而增强集群的安全性。2
  • Cilium： Cilium 是一个基于 eBPF 技术的 CNI 插件，它利用 eBPF 的强大能力在内核层面实现高性能的网络和安全策略。Cilium 能够提供更精细的流量控制、负载均衡和可观测性，尤其适用于对性能和安全性要求较高的场景。3
  • Kube-OVN： Kube-OVN 是一个基于 OVN/OVS 的网络插件，提供子网、静态 IP、ACL、QoS 等高级功能，能够满足更复杂的网络需求。1

Kube-proxy 是 Kubernetes 网络中的另一个关键组件，它在每个节点上运行，负责 Service 的网络规则配置，执行基于 iptables 或 IPVS 的负载均衡。1

三、Service Mesh：超越 CNI 的云原生通信管理

虽然 CNI 插件解决了 Pod 之间的基本通信问题，但随着微服务数量的增长，如何有效地管理服务间的流量、实现故障恢复、增强安全性以及提供可观测性变得越来越复杂。Service Mesh（服务网格）技术应运而生，它作为微服务间通信的基础设施层，旨在解决这些挑战。4

Service Mesh 通过在每个服务实例旁边部署一个轻量级代理（通常称为 Sidecar 代理），将网络通信的复杂性从应用程序中剥离出来。这些 Sidecar 代理拦截进出服务的所有流量，并由一个集中的控制平面进行管理。

1. Service Mesh 的核心功能

Service Mesh 提供了以下核心功能：

  • 流量管理： Service Mesh 可以对服务间的流量进行精细控制，例如 A/B 测试、金丝雀发布、流量镜像、超时和重试等。这使得开发者能够更灵活地部署和更新服务，同时降低风险。
  • 可观测性： Service Mesh 能够收集服务间的流量指标、日志和分布式跟踪信息，提供端到端的可见性。这对于快速定位和解决问题至关重要。
  • 安全性： Service Mesh 可以实现服务间的 mTLS（双向 TLS）加密通信，确保数据传输的安全性。此外，它还可以基于服务身份实施授权策略，防止未经授权的访问。
  • 弹性： Service Mesh 提供了断路器、限流和故障注入等功能，增强了微服务的弹性，使其能够更好地应对各种故障场景。

2. 常见的 Service Mesh 实现：Istio 和 Linkerd

目前，最流行的 Service Mesh 实现是 Istio 和 Linkerd。

  • Istio： Istio 是一个功能全面、功能强大的 Service Mesh 平台，由 Google、IBM 和 Lyft 共同开发。它使用 Envoy 作为 Sidecar 代理，提供了丰富的流量管理、策略执行和可观测性功能。Istio 的控制平面由 Pilot、Mixer 和 Citadel 等组件组成，负责配置和管理 Sidecar 代理。5 Istio 的优势在于其强大的功能和灵活的配置，但也因此带来了相对较高的学习曲线和资源开销。
  • Linkerd： Linkerd 是一个轻量级、高性能的 Service Mesh，专注于简单性和易用性。它最初由 Buoyant 开发，现在是 CNCF 的孵化项目。Linkerd 使用 Rust 编写的 Linkerd2-proxy 作为 Sidecar 代理，提供了服务发现、负载均衡、重试、超时和指标收集等核心功能。Linkerd 的设计哲学是"开箱即用"，旨在为用户提供一个快速上手的 Service Mesh 解决方案。5

四、云原生通信的未来

从 CNI 插件到 Service Mesh，Kubernetes 的网络模型不断演进，以适应云原生应用日益复杂的需求。CNI 提供了 Pod 网络的基础设施，而 Service Mesh 则在此基础上增加了高级的流量管理、可观测性和安全性功能。

未来，云原生通信将继续朝着更智能、更自动化、更安全的方向发展。eBPF 等底层技术的进步将进一步提升网络的性能和可编程性，而 Service Mesh 将继续集成更多的功能，例如更智能的流量路由、更强大的安全策略以及与各种云原生生态系统的深度融合。

结论

Kubernetes 网络模型是云原生应用高效运行的基石。从 CNI 插件构建的 Pod 网络，到 Service Mesh 提供的更高级别的通信管理，云原生通信正在不断演进，以满足微服务架构日益增长的需求。深入理解这些技术，对于构建和管理现代云原生应用至关重要。

评论

发表评论

此博客中的热门博文

gemini转发国内的部署教程

图片
 最近看到了这个项目 tech-shrimp/gemini-balance-lite: Gemini API 代理, 把Gemini API免费中转到国内。还可以聚合多个Gemini API Key，随机选取API Key的使用实现负载均衡，使得Gemini API免费成倍增加。 今天来演示一下搭建过程 1.点击deploy 2.输入项目名后点击creat 此时就会开始部署，等待一会 3.中转部署完成后，此时分配的域名并不能访问，所以要添加自定义域名 点击下方的黑色按钮，按照下方图片操作 点击Add domain 输入自己域名，没有自己注册一个 dpdns 再去把域名绑定到cloudflare 再输入域名后，会提示输入两个记录 输入域名服务商的dns解析即可 输入完成后点击refresh，域名前打上一个勾说明配置成功 在浏览器输入域名能正确输出结果proxy running就可以了 4.api获取 进入 aistudio 点击get api 创建api密钥复制即可 5.客户端使用 下载 cherry studio 点击左下角设置-模型服务-添加 随便输入一个名字 提供商openai或gemini二选一 api输入刚才复制的api 地址输入刚才的域名 添加一个模型，例如： gemini-2.5-pro gemini-2.0-flash-exp 然后点击测试，成功就说明可以使用，没成功把上述操作重新看一遍 之后cherry studio的设置就要自己摸索 完✌
Read more »

移动 IP 技术：如何在不同网络间无缝切换？

  引言 在当今移动互联网时代，我们习惯了随时随地保持网络连接。无论是乘坐高铁从一个城市到另一个城市，还是在家中、办公室、咖啡店之间切换，我们的手机和智能设备似乎都能保持网络畅通。这种无缝的网络体验背后，离不开一项关键技术——移动IP技术。移动IP技术让设备在不同网络间移动时能够保持连接的连续性，就像我们搬家时不会失去家庭地址一样，我们的设备在移动过程中也能保持"网络地址"的稳定性 8 。 传统IP技术的局限性 传统的IP协议设计之初主要针对固定网络环境。在传统的互联网架构中，每个设备都有一个固定的IP地址，这个地址标识了设备在网络中的位置。当设备需要与其他设备通信时，通信双方都需要知道对方的IP地址 8 。这种设计在固定网络中运行良好，但在移动场景下却面临诸多挑战。 当移动设备从一个网络切换到另一个网络时，由于IP地址的变化，原有的通信连接会被中断。例如，当你的手机从一个基站切换到另一个基站时，运营商需要为你分配新的IP地址，这就像换了个"网络服务站" 3 。这种IP地址的变化会导致正在进行的通话、下载或其他网络应用中断，严重影响用户体验。 移动IP技术的基本原理 移动IP技术正是为了解决上述问题而设计的。其核心思想是为移动设备分配两个IP地址： 家乡地址（Home Address） 和 转交地址（Care-of Address） 6 。 家乡地址 是移动设备永久不变的IP地址，就像公民的身份证号码一样，即使在设备移动过程中也不会改变。 转交地址 是移动设备当前所在网络的临时IP地址，当设备移动到新的网络时会发生变化。 移动IP技术通过 家乡代理（Home Agent） 和 外地代理（Foreign Agent） 两个关键组件来实现无缝切换 6 。家乡代理位于移动设备的家乡网络中，负责维护移动设备的位置信息；外地代理则位于移动设备当前访问的外地网络中，负责将发往移动家乡地址的数据包转发到其当前位置。 移动IP的关键技术组件 1. 家乡代理（Home Agent） 家乡代理是移动IP技术中的核心组件之一。它位于移动设备的家乡网络中，主要职责包括： 维护移动设备的位置信息，记录其当前的转交地址 截发发往移动设备家乡地址的数据包 将数据包通过隧道技术转发到移动设备的当前位置 处理移动设备的位置更新请求 2. 外地代理（Forei...
Read more »

公共 Wi-Fi 安全吗？你需要知道的风险

  在咖啡馆、机场、酒店甚至公交车上，公共 Wi-Fi 热点随处可见。它们提供了一种便捷的方式来连接互联网，无需消耗移动数据流量。然而，这种便利背后潜藏着诸多安全风险。了解这些风险并采取适当的预防措施至关重要，以保护您的个人信息和设备安全。 什么是公共 Wi-Fi？ 公共 Wi-Fi 是指在公共场所提供的无线网络连接，通常是开放的，无需密码或只需简单密码即可连接。这些网络通常由企业、政府或第三方服务提供商提供，旨在方便公众访问互联网。 公共 Wi-Fi 的便利性 公共 Wi-Fi 的主要优点是其便利性。它允许用户在没有移动数据或固定网络连接的情况下访问互联网。这对于旅行者、学生、以及那些需要随时随地保持联系的人来说尤其有用。此外，公共 Wi-Fi 通常是免费的，这使其成为一个经济实惠的选择。 公共 Wi-Fi 的风险 虽然公共 Wi-Fi 提供了诸多便利，但也存在一些严重的风险： 不安全的网络连接：  许多公共 Wi-Fi 网络未加密，这意味着您在网络上发送和接收的数据可以被拦截和读取。攻击者可以使用各种工具来监视网络流量，捕获密码、信用卡信息和其他敏感数据。 中间人攻击：  中间人攻击是指攻击者拦截您与网站或服务之间的通信，并冒充其中一方。这使得攻击者可以窃取您的登录凭据、个人信息或操纵您看到的信息。 恶意热点：  攻击者可以设置虚假的 Wi-Fi 热点，模仿合法的网络名称（例如，咖啡馆的 Wi-Fi）。当您连接到这些恶意热点时，您的所有流量都会通过攻击者的服务器，他们可以窃取您的数据或向您的设备注入恶意软件。 恶意软件传播：  公共 Wi-Fi 网络可能成为恶意软件传播的途径。攻击者可以利用未打补丁的操作系统或应用程序漏洞，通过网络传播病毒、蠕虫和其他恶意软件。 嗅探攻击：  攻击者可以使用嗅探工具来捕获网络上的数据包。这些数据包可能包含用户名、密码、电子邮件和其他敏感信息。即使网站使用 HTTPS 加密，攻击者仍然可以捕获加密的流量并尝试破解密码。 会话劫持：  攻击者可以劫持您的会话，冒充您访问网站或服务。这通常通过窃取您的会话 cookie 来实现，这些 cookie 存储了您的登录信息和会话状态。 如何保护自己 尽管存在上述风险，您仍然可以在使用公共 Wi-Fi 时采取一些措施来保护自己...
Read more »