第十二章 容器间网络
一、Linux网络虚拟化基础
1. 网络命名空间（Network Namespace）
- 隔离网络栈：每个网络命名空间拥有独立的IP地址、路由表、防火墙规则等网络配置。
- 实现方式：通过
ip netns命令管理，容器启动时自动创建新命名空间。 - 典型应用：每个容器运行在独立的网络命名空间中，实现网络隔离。
2. 虚拟网络设备
- veth pair：虚拟以太网设备对，用于连接不同命名空间（如容器与宿主机）。
- 网桥（Bridge）：类似物理交换机，连接多个veth设备，实现同一宿主机内容器间通信。
- 隧道（Tunnel）：如VXLAN，封装数据包实现跨主机容器通信。
- 示例流程：容器veth一端在容器命名空间，另一端连接到宿主机网桥（如docker0）。
3. 干预网络通信
- iptables：实现NAT、端口映射、防火墙规则（如Docker的端口映射
-p 80:80）。 - eBPF：更灵活的内核级网络策略控制（如Cilium插件）。
二、容器间通信机制
1. 单宿主机内容器通信
- Bridge模式：容器通过veth连接到宿主机网桥，IP由网桥分配。
- Host模式：容器共享宿主机的网络命名空间，直接使用宿主机IP和端口。
- None模式：无网络配置，需手动配置（特殊场景使用）。
2. 跨宿主机容器通信
- Overlay网络：通过VXLAN等隧道技术封装数据包，跨主机传输（如Flannel VXLAN模式）。
- 路由方案：直接路由容器IP（如Calico BGP协议同步路由表）。
- Host-GW模式：将宿主机作为网关，通过静态路由实现跨主机通信。
3. 服务发现与负载均衡
- DNS解析：Kubernetes通过CoreDNS为Service提供集群内域名解析。
- Service IP：Kube-proxy利用iptables/IPVS实现虚拟IP到Pod的负载均衡。
三、容器网络模型与标准
1. CNM（Container Network Model）
- Docker原生模型：包含Sandbox、Endpoint、Network三个核心组件。
- 工作流程：创建Sandbox→创建Endpoint→将Endpoint连接到Network。
- 局限：与Docker强耦合，生态碎片化（不同插件实现差异大）。
2. CNI（Container Network Interface）
- Kubernetes采用的标准：通过JSON配置文件定义网络插件。
- 核心操作：
ADD（创建容器网络）、DEL（删除容器网络）。 - 优势：解耦容器运行时与网络实现，插件生态丰富（Flannel、Calico等）。
3. CNM与CNI对比
- 设计哲学：CNM强调网络生命周期管理，CNI追求轻量级接口。
- 适用场景：CNM适用于Docker单机环境，CNI更适合Kubernetes等编排系统。
四、容器网络插件生态
1. Flannel
- Overlay网络：默认使用VXLAN封装，支持跨子网容器通信。
- Host-GW模式：通过宿主机的路由表转发流量，性能优于VXLAN但要求二层互通。
- 适用场景：中小规模集群，对网络性能要求适中。
2. Calico
- BGP路由：通过BGP协议同步集群路由表，实现容器IP直连。
- 网络策略：支持基于标签的NetworkPolicy，实现微服务间访问控制。
- 适用场景：大规模集群，需高性能和灵活策略控制。
3. Cilium
- 基于eBPF：取代iptables，实现高性能网络策略和可观测性。
- 服务网格集成：支持Envoy，提供L7层流量管理。
- 优势：适合云原生环境，支持安全策略和深度监控。
五、服务网格与容器网络
1. 服务网格的影响
- Sidecar模式：每个Pod注入代理（如Envoy），劫持容器流量。
- 透明流量拦截：通过iptables规则将进出容器的流量重定向到Sidecar。
2. 数据平面与控制平面
- 数据平面：负责实际流量转发（如Envoy代理）。
- 控制平面：管理服务发现、路由规则（如Istio Pilot）。
- 网络层交互：服务网格依赖底层容器网络实现跨节点通信。
关键难点与解决方案
跨主机通信性能优化
- 问题：Overlay网络（如VXLAN）引入封装开销。
- 方案：采用Host-GW或Calico BGP路由减少封装层。
网络策略实施
- 问题：传统iptables规则难以管理微服务间细粒度策略。
- 方案：使用Calico NetworkPolicy或Cilium eBPF实现L3-L7层策略。
IP地址管理（IPAM）
- 问题：大规模集群中容器IP分配易冲突。
- 方案：插件（如Calico IPAM）支持动态分配和子网划分。
总结
容器间网络的核心挑战在于如何实现高效、安全的跨节点通信，同时保持灵活性和可扩展性。Linux网络虚拟化技术（命名空间、veth、网桥）为容器提供了基础隔离能力，而CNI标准和生态插件（Flannel、Calico、Cilium）则解决了不同场景下的网络需求。理解这些技术的工作原理及适用场景，是构建可靠容器化基础设施的关键。
多选题
问题1：关于Linux网络虚拟化技术，以下哪些描述是正确的？
A. 使用veth对可以实现容器与宿主机之间的网络通信
B. macvlan允许容器直接使用宿主机的物理网卡MAC地址
C. ipvlan通过共享宿主机的网络命名空间实现网络隔离
D. bridge模式通过虚拟网桥连接容器与宿主机网络
E. Overlay网络必须依赖物理交换机的VLAN功能
问题2：关于CNM（Container Network Model）和CNI（Container Network Interface）的区别，以下哪些说法正确？
A. CNM是Kubernetes原生支持的容器网络模型
B. CNM由Docker提出，包含Sandbox、Endpoint和Network三个核心概念
C. CNI通过简单的JSON配置文件定义网络插件行为
D. CNI要求插件必须实现ADD和DEL两个操作接口
E. CNM和CNI可以完全兼容并互相替代
问题3：以下哪些协议或技术常用于容器Overlay网络的实现？
A. VXLAN（Virtual Extensible LAN）
B. Geneve（Generic Network Virtualization Encapsulation）
C. OVSDB（Open vSwitch Database）
D. BGP（Border Gateway Protocol）
E. IP-in-IP隧道
问题4：关于Kubernetes网络模型的要求，以下哪些是正确的？
A. 每个Pod必须拥有独立的IP地址
B. 容器之间必须通过NAT进行跨节点通信
C. Pod的IP地址在集群内可直接路由
D. 同一节点上的Pod必须共享网络命名空间
E. 容器可以通过localhost访问同一Pod内的其他容器
问题5：以下哪些是Calico网络插件的核心特性？
A. 基于BGP协议实现路由分发
B. 使用IP-in-IP隧道实现跨节点通信
C. 通过VXLAN封装数据包
D. 支持网络策略（Network Policy）
E. 依赖etcd存储网络状态
问题6：关于Flannel网络插件的实现方式，以下哪些描述正确？
A. 默认使用VXLAN作为后端传输协议
B. 支持Host-Gateway模式直接路由跨节点流量
C. 必须依赖云服务商的SDN（如AWS VPC）
D. 使用udp封装可能导致性能问题
E. 每个节点分配连续的IP地址段
问题7：以下哪些属于容器网络的安全隔离机制？
A. 使用Network Policy限制Pod间通信
B. 通过iptables规则实现流量过滤
C. 利用Linux命名空间隔离网络栈
D. 基于TLS加密容器间通信
E. 使用Service Mesh的mTLS认证
问题8：关于Service Mesh（如Istio）在容器网络中的作用，以下哪些正确？
A. 替代CNI插件实现基础网络连通
B. 提供细粒度的流量管理（如金丝雀发布）
C. 通过Sidecar代理实现服务间通信加密
D. 依赖Kubernetes Service进行服务发现
E. 自动生成Network Policy规则
问题9：关于多集群网络互联的实现方案，以下哪些可行？
A. 使用Submariner实现跨集群的Pod IP直通
B. 通过VPN隧道连接不同集群的节点网络
C. 依赖云服务商的Global Load Balancer
D. 使用DNS轮询实现跨集群服务发现
E. 通过BGP协议同步集群间路由表
问题10：以下哪些场景可能导致容器网络性能下降？
A. 使用用户态代理（如Flannel的udp模式）
B. 大量短连接的TCP握手开销
C. Overlay网络的封装/解封装操作
D. 基于Network Policy的iptables规则链过长
E. 容器直接使用宿主机的物理网卡（macvlan模式）
答案与详解
问题1答案：A、B、D
- 详解（12.1.1-12.1.3）：
veth对是虚拟以太网设备，用于连接容器与宿主机（A对）。macvlan允许容器直接使用物理网卡的MAC地址（B对）。ipvlan共享宿主机的网络命名空间，但通过子接口隔离（C错）。bridge模式通过虚拟网桥连接容器（D对）。- Overlay网络可通过VXLAN等协议实现，无需物理交换机支持（E错）。
问题2答案：B、C、D
- 详解（12.2.1-12.2.2）：
- CNM是Docker提出的模型（B对），CNI是Kubernetes的通用接口（A错）。
- CNI通过JSON配置定义插件行为（C对），要求实现
ADD/DEL接口（D对）。 - CNM和CNI设计目标不同，无法直接兼容（E错）。
问题3答案：A、B、E
- 详解（12.1.4）：
- VXLAN和Geneve是Overlay网络常用封装协议（A、B对），IP-in-IP是Calico的选项（E对）。
- OVSDB是Open vSwitch的管理协议（C错），BGP用于路由分发（D错）。
问题4答案：A、C、E
- 详解（12.2.3）：
- Kubernetes要求Pod有独立IP且直接路由（A、C对），同一Pod内容器共享网络命名空间（E对）。
- 跨节点通信无需NAT（B错），节点内Pod不共享网络命名空间（D错）。
问题5答案：A、B、D
- 详解（12.2.3）：
- Calico基于BGP（A对）和IP-in-IP（B对），支持Network Policy（D对）。
- VXLAN是Flannel的特性（C错），Calico默认使用Kubernetes API存储（E错）。
问题6答案：A、B、D、E
- 详解（12.2.3）：
- Flannel默认使用VXLAN（A对），Host-Gateway模式直接路由（B对）。
udp封装存在性能问题（D对），节点分配连续IP段（E对）。- Host-Gateway不依赖云SDN（C错）。
问题7答案：A、B、C、E
- 详解（12.1.3、15.2.3）：
- Network Policy和iptables是Kubernetes的安全机制（A、B对）。
- 命名空间隔离网络栈（C对），Service Mesh的mTLS提供加密（E对）。
- TLS加密一般由应用层实现（D错）。
问题8答案：B、C、D
- 详解（15.1.1-15.2.3）：
- Service Mesh提供流量管理和mTLS（B、C对），依赖Kubernetes Service（D对）。
- CNI插件仍负责基础网络（A错），Network Policy需手动配置（E错）。
问题9答案：A、B、C、E
- 详解（12.2.3、15.3）：
- Submariner、VPN、云LB和BGP均可实现跨集群互联（A、B、C、E对）。
- DNS轮询不解决网络连通性（D错）。
问题10答案：A、B、C、D
- 详解（12.1.3-12.2.3）：
- 用户态代理（A）、Overlay封装（C）、iptables规则链长（D）均影响性能。
- 短连接TCP开销大（B对），macvlan性能优于Overlay（E错）。