如何进行TungstenFabric与K8s集成及创建隔离命名空间-创新互联
本篇文章为大家展示了如何进行Tungsten Fabric与K8s集成及创建隔离命名空间,内容简明扼要并且容易理解,绝对能使你眼前一亮,通过这篇文章的详细介绍希望你能有所收获。
创新互联主营九江网站建设的网络公司,主营网站建设方案,app软件定制开发,九江h5微信小程序开发搭建,九江网站营销推广欢迎九江等地区企业咨询K8s与Tungsten Fabric集成后有四种配置模式,分别为:默认模式、自定义隔离模式、命名空间隔离模式、嵌套模式。默认模式:Tungsten Fabric创建一个由所有命名空间共享的虚拟网络,并从中分配service和pod的IP地址,在Kubernetes集群中产生的所有命名空间中的所有pod都能够彼此通信。自定义隔离模式:管理员和应用程序开发人员可以添加注释("opencontrail.org/network:创建隔离命名空间
在此将会创建一个隔离的命名空间,名为isolated-ns,具体配置文件如下:
执行kubectl的创建命令之后,对应的命名空间随即被创建。
而在TF上也会有对应的policy和虚拟网络被创建出来,分别为:TF policy: k8s-isolated-ns-pod-service-np这条TF policy的作用,是允许附加了该条策略的虚拟网络能够访问命令空间isolated-ns中的service clusterip。TF network: k8s-isolated-ns-pod-network , k8s-isolated-ns-service-network
这两个网络分别使用了命名空间default里面的IPAM,所以在这个命令空间isolated-ns中默认创建出来的pod和service所分配的IP所属的IP池,与命名空间default中的一样,即pod(10.32.0.0/12)和service(10.96.0.0/12)。
验证与非隔离命令空间的网络连通性
接下来在隔离的命令空间isolated-ns中创建pod和service,验证isolated-ns与其他命令空间的连通性。首先在default和isolated-ns两个命令空间中分别创建两个pod和一个service。
所以目前的资源为:2个命名空间:default,isolated-ns2个service:nginx-default (10.105.147.31),nginx-isolated (10.97.162.157)4个pod:nginx-default-test01 (10.47.255.251)nginx-default-test02 (10.47.255.250)nginx-isolated-test01 (10.47.255.249)nginx-isolated-test02 (10.47.255.247) 网络连通性验证流程:1. 从命名空间default中的pod nginx-default-test01去ping其他三个pod,结果是pod nginx-default-test01只能连通同一命名空间中pod,而无法连通隔离命名空间中的pod。
2. 从命名空间isolated-ns中的pod nginx-isolated-test01去ping其他三个pod,结果是pod nginx-isolated-test01只能连通同一命名空间中pod,而无法连通其他命名空间中的pod。
3. 从命名空间default中的pod nginx-default-test01去curl分别在两个命令空间中的service,结果是pod nginx-default-test01只能请求default和kube-system这些非隔离命名空间中的service,而无法请求隔离命名空间中的service。
4. 从命名空间isolated-ns中的pod nginx-isolated-test01去curl分别在两个命令空间中的service,结果是pod nginx-isolated-test01只能请求default和kube-system这些非隔离命名空间中的service,而无法请求隔离命名空间中的service,即便该service在自己所在的命名空间。
所有验证结果综合起来就是,非隔离命名空间和隔离命名空间之后建的pod默认无法互访——即便在相同的IPAM中,并且非隔离命名的service可以被任何pod访问,而隔离命名空间的service默认无法被访问。现在需要添加TF policy让pod之间,pod和service之间能够连通。对于pod之间的访问,需要添加如下TF policy,该条policy是连接两个网络,k8s-default-pod-network与k8s-isolated-ns-pod-network。
创建完成,分别将这条Policy附加到隔离命名空间和非隔离命令空间的pod网络上,k8s-default-pod-network与k8s-isolated-ns-pod-network。
此时再进行pod之间的网络连接验证,结果是两个命名空间的pod之间已经能够通信。
对于pod与service之间的访问,需要添加如下TF policy,该条policy是允许指定网络能够访问isolated-ns的service。
创建完成后,再将这条Policy附加到隔离命名空间和非隔离命令空间的pod网络上,k8s-default-pod-network与k8s-isolated-ns-pod-network,以及隔离命名空间的service网络k8s-isolated-ns-service-network上。
此时再进行pod与service之间的网络连接验证,结果是两个命名空间的pod都可以访问到隔离命名空间中的service。
在隔离命名空间和非隔离命名空间的流量全通之后,还可以通过安全策略去做进一步的流量控制。
上述内容就是如何进行Tungsten Fabric与K8s集成及创建隔离命名空间,你们学到知识或技能了吗?如果还想学到更多技能或者丰富自己的知识储备,欢迎关注创新互联-成都网站建设公司行业资讯频道。
文章名称:如何进行TungstenFabric与K8s集成及创建隔离命名空间-创新互联
本文地址:http://myzitong.com/article/cddepi.html