编辑“︁Kubernetes网络”︁

= Kubernetes网络 =

Kubernetes网络是Kubernetes集群中实现容器间通信、服务发现和负载均衡的核心机制。它解决了分布式系统中容器化应用的网络连接问题，确保Pod之间、Pod与外部世界能够可靠通信。

== 核心概念 ==

=== Pod网络模型 ===
Kubernetes网络基于以下基本原则：
* '''每个Pod拥有唯一IP'''：集群中的每个Pod都获得一个唯一IP地址，所有容器共享该IP
* '''扁平网络空间'''：所有Pod无需NAT即可直接通信，无论它们运行在哪个节点上
* '''服务抽象'''：通过Service提供稳定的虚拟IP和DNS名称

<mermaid>
graph LR
    PodA[Pod A] -->|直接通信| PodB[Pod B]
    PodA --> Service
    Service --> PodC[Pod C]
    Service --> PodD[Pod D]
</mermaid>

=== 主要网络组件 ===
* '''Container Network Interface (CNI)'''：标准插件接口，实现网络配置
* '''kube-proxy'''：维护节点上的网络规则，实现Service的IP转发和负载均衡
* '''Ingress Controller'''：管理外部访问集群服务的入口

== 网络实现模型 ==

=== 覆盖网络(Overlay Network) ===
使用封装技术(如VXLAN)在现有网络之上创建虚拟网络层：

<syntaxhighlight lang="bash">
# Flannel的VXLAN配置示例
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-pod-to-pod
spec:
  podSelector: {}
  ingress:
  - from:
    - podSelector: {}
</syntaxhighlight>

=== 路由模型 ===
通过路由表直接转发数据包，如Calico的BGP协议：

<math>
\begin{aligned}
&\text{路由表条目示例:} \\
&\text{目标网络} \quad \text{下一跳} \quad \text{接口} \\
&10.244.1.0/24 \quad 192.168.0.101 \quad eth0
\end{aligned}
</math>

== Service网络 ==

Service是Kubernetes抽象网络服务的关键概念：

<syntaxhighlight lang="yaml">
apiVersion: v1
kind: Service
metadata:
  name: my-service
spec:
  selector:
    app: MyApp
  ports:
    - protocol: TCP
      port: 80
      targetPort: 9376
</syntaxhighlight>

Service类型包括：
* '''ClusterIP'''：默认类型，集群内部虚拟IP
* '''NodePort'''：通过节点端口暴露服务
* '''LoadBalancer'''：使用云提供商的负载均衡器
* '''ExternalName'''：通过DNS CNAME记录映射

== 网络策略 ==

NetworkPolicy实现了Pod级别的防火墙规则：

<syntaxhighlight lang="yaml">
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: db-access
spec:
  podSelector:
    matchLabels:
      role: db
  ingress:
  - from:
    - podSelector:
        matchLabels:
          role: api
    ports:
    - protocol: TCP
      port: 5432
</syntaxhighlight>

== 实际案例 ==

=== 微服务通信 ===
电商平台可能包含以下服务网络配置：
1. 前端服务(ClusterIP)暴露给Ingress
2. 订单服务通过Service名称"order-service"被其他服务发现
3. 支付服务仅允许来自订单服务的流量(NetworkPolicy)

=== 多租户隔离 ===
使用NetworkPolicy实现不同部门的网络隔离：
* 开发命名空间只能访问开发数据库
* 生产环境服务只能被特定IP范围访问

== 常见网络问题排查 ==

* '''DNS解析问题'''：检查CoreDNS Pod状态
* '''网络策略阻断'''：使用<code>kubectl describe networkpolicy</code>
* '''跨节点通信失败'''：验证CNI插件和节点路由表

== 总结 ==
Kubernetes网络提供了灵活强大的容器网络解决方案，理解其核心概念对于构建可靠的生产级应用至关重要。从基本的Pod通信到复杂的网络策略，Kubernetes网络模型支持各种应用场景的需求。

[[Category:集成部署]]
[[Category:Kubernetes]]
[[Category:Kubernetes核心概念]]