Kubernetes网络插件

Kubernetes 1.28引入了对容器网络接口（CNI）插件的支持，用于集群的网络联通。为了满足需求，需要选择一个与集群兼容并符合需求的CNI插件。在更广泛的Kubernetes生态系统中，可以选择使用各种开源和闭源的CNI插件。

为了实现Kubernetes的网络模型，需要选择一个符合v0.4.0或更高版本CNI规范的CNI插件。Kubernetes建议使用一个兼容v1.0.0 CNI规范的插件，尽管插件可以兼容多个规范版本。因此，选择一个符合最新CNI规范的插件可以确保能够充分利用Kubernetes提供的网络功能，并且能够与未来的Kubernetes版本保持兼容性。

一、安装

在网络语境中，容器运行时（Container Runtime）是在节点上的守护进程， 被配置用来为 kubelet 提供 CRI 服务。具体而言，容器运行时必须配置为加载所需的 CNI 插件，从而实现 Kubernetes 网络模型。

在 Kubernetes 1.24 之前，CNI 插件也可以由 kubelet 使用命令行参数 cni-bin-dir 和 network-plugin 管理。Kubernetes 1.24 移除了这些命令行参数， CNI 的管理不再是 kubelet 的工作。

容器运行时管理 CNI 插件的具体信息，例如：

• containerd
• CRI-O

二、网络插件要求

对于插件开发人员以及时常会构建并部署 Kubernetes 的用户而言， 插件可能也需要特定的配置来支持 kube-proxy。 iptables 代理依赖于 iptables，插件可能需要确保 iptables 能够监控容器的网络通信。 例如，如果插件将容器连接到 Linux 网桥，插件必须将 net/bridge/bridge-nf-call-iptables sysctl 参数设置为 1，以确保 iptables 代理正常工作。 如果插件不使用 Linux 网桥，而是使用类似于 Open vSwitch 或者其它一些机制， 它应该确保为代理对容器通信执行正确的路由。

默认情况下，如果未指定 kubelet 网络插件，则使用 noop 插件， 该插件设置 net/bridge/bridge-nf-call-iptables=1，以确保简单的配置 （如带网桥的 Docker）与 iptables 代理正常工作。

1、本地回路CNI

除了安装到节点上用于实现 Kubernetes 网络模型的 CNI 插件外，Kubernetes 还需要容器运行时提供一个本地回路接口 lo，用于各个沙箱（Pod 沙箱、虚机沙箱……）。 实现本地回路接口的工作可以通过复用 CNI 本地回路插件来实现， 也可以通过开发自己的代码来实现。

2、支持hostPort

CNI 网络插件支持 hostPort。可以使用官方 portmap 插件，它由 CNI 插件团队提供，或者使用自己的带有 portMapping 功能的插件。

如果想要启动 hostPort 支持，则必须在 cni-conf-dir 指定 portMappings capability。 例如：

{
"name": "k8s-pod-network",
"cniVersion": "0.4.0",
"plugins": [
{
"type": "calico",
"log_level": "info",
"datastore_type": "kubernetes",
"nodename": "127.0.0.1",
"ipam": {
"type": "host-local",
"subnet": "usePodCidr"
},
"policy": {
"type": "k8s"
},
"kubernetes": {
"kubeconfig": "/etc/cni/net.d/calico-kubeconfig"
}
},
{
"type": "portmap",
"capabilities": {"portMappings": true},
"externalSetMarkChain": "KUBE-MARK-MASQ"
}
]
}

3、支持流量整形

实验功能：

CNI 网络插件还支持 Pod 入站和出站流量整形。 可以使用 CNI 插件团队提供的 bandwidth 插件，也可以使用自己的具有带宽控制功能的插件。

如果想要启用流量整形支持，必须将 bandwidth 插件添加到 CNI 配置文件 （默认是 /etc/cni/net.d）并保证该可执行文件包含在 CNI 的 bin 文件夹内 (默认为 /opt/cni/bin)。

{
"name": "k8s-pod-network",
"cniVersion": "0.4.0",
"plugins": [
{
"type": "calico",
"log_level": "info",
"datastore_type": "kubernetes",
"nodename": "127.0.0.1",
"ipam": {
"type": "host-local",
"subnet": "usePodCidr"
},
"policy": {
"type": "k8s"
},
"kubernetes": {
"kubeconfig": "/etc/cni/net.d/calico-kubeconfig"
}
},
{
"type": "bandwidth",
"capabilities": {"bandwidth": true}
}
]
}

现在，可以将 kubernetes.io/ingress-bandwidth 和 kubernetes.io/egress-bandwidth 注解添加到 Pod 中。例如：

apiVersion: v1
kind: Pod
metadata:
annotations:
kubernetes.io/ingress-bandwidth: 1M
kubernetes.io/egress-bandwidth: 1M
...