Kubernetes从懵圈到熟练：集群服务的三个要点和一种实现

理解这两件事情之后，我们可以来看下iptables，或者更准确的说法，netfilter的工作原理。netfilter实际上就是一个过滤器框架。netfilter在网络包收发及路由的管道上，一共切了5个口，分别是PREROUTING，FORWARD，POSTROUTING，INPUT以及OUTPUT;同时netfilter定义了包括nat、filter在内的若干个网络包处理方式。

需要注意的是，routing和forwarding很大程度上增加了以上netfilter的复杂程度，如果我们不考虑routing和forwarding，那么netfilter会变得更我们的水质过滤器框架一样简单。

节点网络大图

现在我们看一下Kubernetes集群节点的网络全貌。横向来看，节点上的网络环境，被分割成不同的网络命名空间，包括主机网络命名空间和Pod网络命名空间;纵向来看，每个网络命名空间包括完整的网络栈，从应用到协议栈，再到网络设备。

在网络设备这一层，我们通过cni0虚拟网桥，组建出系统内部的一个虚拟局域网。Pod网络通过veth对连接到这个虚拟局域网内。cni0虚拟局域网通过主机路由以及网口eth0与外部通信。

在网络协议栈这一层，我们可以通过编程netfilter过滤器框架，来实现集群节点的反向代理。

实现反向代理，归根结底，就是做DNAT，即把发送给集群服务IP和端口的数据包，修改成发给具体容器组的IP和端口。

参考netfilter过滤器框架的图，我们知道，在netfilter里，可以通过在PREROUTING，OUTPUT以及POSTROUGING三个位置加入NAT规则，来改变数据包的源地址或目的地址。

因为这里需要做的是DNAT，即改变目的地址，这样的修改，必须在路由(ROUTING)之前发生以保证数据包可以被路由正确处理，所以实现反向代理的规则，需要被加到PREROUTING和OUTPUT两个位置。

其中，PREOURTING的规则，用来处理从Pod访问服务的流量。数据包从Pod网络veth发送到cni0之后，进入主机协议栈，首先会经过netfilter PREROUTING来做处理，所以发给服务的数据包，会在这个位置做DNAT。经过DNAT处理之后，数据包的目的地址变成另外一个Pod的地址，从而经过主机路由，转发到eth0，发送给正确的集群节点。

而添加在OUTPUT这个位置的DNAT规则，则用来处理从主机网络发给服务的数据包，原理也是类似，即经过路由之前，修改目的地址，以方便路由转发。

升级过滤器框架

（编辑：西安站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!