一個(gè)網(wǎng)站后臺(tái)怎么做,空客德國公司,蕪湖哪里做網(wǎng)站,建設(shè)直播網(wǎng)站需要哪些許可證篇文章主要涉及到 kubelet 通過 csi 向運(yùn)行時(shí)發(fā)送創(chuàng)建請(qǐng)求#xff0c;運(yùn)行時(shí)發(fā)生了什么#xff1f;pod 網(wǎng)絡(luò)又是怎么連通的#xff1f;對(duì)應(yīng)的流量圖畫板我們將使用 docker 和 linux Bridge 去完成這個(gè) pod 需求流程描述kubelet 通過 CRI 接口調(diào)用運(yùn)行時(shí)#xff08;如 conta…篇文章主要涉及到 kubelet 通過 csi 向運(yùn)行時(shí)發(fā)送創(chuàng)建請(qǐng)求運(yùn)行時(shí)發(fā)生了什么pod 網(wǎng)絡(luò)又是怎么連通的對(duì)應(yīng)的流量圖畫板我們將使用 docker 和 linux Bridge 去完成這個(gè) pod 需求流程描述kubelet 通過 CRI 接口調(diào)用運(yùn)行時(shí)如 containerd創(chuàng)建 pod。該過程分為兩步創(chuàng)建 Pod Sandbox運(yùn)行時(shí)先啟動(dòng)一個(gè)輕量的 pause 容器。其核心作用是調(diào)用 runc 創(chuàng)建并持有一個(gè)獨(dú)立的 Linux Network Namespace為 Pod 提供網(wǎng)絡(luò)沙盒環(huán)境。創(chuàng)建業(yè)務(wù)容器運(yùn)行時(shí)隨后創(chuàng)建業(yè)務(wù)容器如 Nginx并通過指定 network namespace 路徑使其直接加入 pause 容器所在的 Network Namespace從而實(shí)現(xiàn)網(wǎng)絡(luò)共享。Pod 沙盒就緒后運(yùn)行時(shí)調(diào)用 CNI 插件配置網(wǎng)絡(luò)。插件執(zhí)行如下操作創(chuàng)建 veth pair一端放入容器命名空間內(nèi)命名為 eth0另一端連接至主機(jī)網(wǎng)橋如 br0為容器內(nèi)的 eth0 分配 IP 并設(shè)置路由網(wǎng)關(guān)指向網(wǎng)橋。配置主機(jī) iptables 規(guī)則實(shí)現(xiàn) SNAT 以使 Pod 能訪問外部網(wǎng)絡(luò)并設(shè)置轉(zhuǎn)發(fā)規(guī)則。實(shí)際操作創(chuàng)建網(wǎng)橋這個(gè)網(wǎng)橋充當(dāng)虛擬交換機(jī)所有 pod 流量都通過該設(shè)備傳遞到物理網(wǎng)卡# 增加一個(gè)網(wǎng)卡設(shè)備ip link add name br0 type bridge# 向網(wǎng)卡設(shè)備添加地址ip addr add 10.0.0.1/24 dev br0# 設(shè)置網(wǎng)卡啟動(dòng)ip link set dev br0 up# 驗(yàn)證ip a啟動(dòng) pod 外殼并劫持網(wǎng)絡(luò)空間# 創(chuàng)建pod外殼容器docker run -itd --name my-pod --networknone docker.1ms.run/rancher/mirrored-pause:3.9# 劫持容器網(wǎng)絡(luò)命名空間mkdir -p /var/run/netnsln -sf /var/run/docker/netns/ce39ddc16db1 /var/run/netns/my-pod# 驗(yàn)證ip netns配置 pod 網(wǎng)絡(luò)模擬 CNI 插件我們將手動(dòng)模擬 CNIbridge插件的工作創(chuàng)建 veth pair連接容器和網(wǎng)橋分配 IP設(shè)置路由# 創(chuàng)建一對(duì)虛擬以太網(wǎng)設(shè)備veth pair# veth-pod將留在主機(jī)默認(rèn)命名空間的一端# veth-cont將留在容器命名空間的一端ip link add veth-pod type veth peer name veth-cont# 將veth-cont 放到容器命名空間內(nèi)部ip link set veth-cont netns my-pod# 重命名veth-cont將其改成符合容器的標(biāo)準(zhǔn)名稱eth0ip netns exec my-pod ip link set veth-cont name eth0# 啟動(dòng)容器內(nèi)命名空間網(wǎng)卡ip netns exec my-pod ip link set eth0 up# 為容器命名空間內(nèi)的網(wǎng)卡配置地址要和剛才網(wǎng)關(guān)網(wǎng)卡地址一致ip netns exec my-pod ip addr add 10.0.0.2/24 dev eth0# 添加到網(wǎng)關(guān)的路由ip netns exec my-pod ip route add default via 10.0.0.1# 給外面這一端網(wǎng)卡綁定masterip link set veth-pod master br0# 啟動(dòng)外面這一端網(wǎng)卡ip link set veth-pod up# 驗(yàn)證容器網(wǎng)絡(luò)命名空間內(nèi)網(wǎng)絡(luò)環(huán)境ip netns exec my-pod ip addr showip netns exec my-pod route -nip netns exec my-pod ping 10.0.0.1創(chuàng)建業(yè)務(wù)容器docker run -itd --name nginx-pod --network container:my-pod nginx:alpine配置主機(jī)網(wǎng)絡(luò)和 iptables 模擬 kubeporxy為了讓流量能進(jìn)出 Pod我們需要配置內(nèi)核轉(zhuǎn)發(fā)和 iptables 規(guī)則。# 開啟內(nèi)核轉(zhuǎn)發(fā)功能echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward# 配置SNAT# 解析# 10.244.1.0/24Pod網(wǎng)段且要從主機(jī)的物理網(wǎng)卡假設(shè)是eth0出去的流量將其源IP偽裝成主機(jī)自己的IP。# 這樣外部網(wǎng)絡(luò)回包時(shí)才知道送回給哪個(gè)主機(jī)iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth0 -j MASQUERADE# 添加一條 iptables DNAT 規(guī)則將端口轉(zhuǎn)發(fā)到業(yè)務(wù)網(wǎng)絡(luò)命名空間內(nèi)# -t nat: 操作 nat 表# -A PREROUTING: 在數(shù)據(jù)包剛到達(dá)時(shí)就進(jìn)行規(guī)則判斷# -p tcp --dport 30080: 匹配協(xié)議為 TCP且目標(biāo)端口是 30080 的流量# -j DNAT: 進(jìn)行目標(biāo)地址轉(zhuǎn)換DNAT# --to-destination 10.0.0.2:80: 將目標(biāo)地址改為 Pod 的 IP 和端口iptables -t nat -D PREROUTING -p tcp --dport 30080 -j DNAT --to-destination 10.0.0.2:80iptables -t nat -D OUTPUT -d 127.0.0.1/32 -p tcp --dport 30080 -j DNAT --to-destination 10.0.0.2:80iptables -t nat -I PREROUTING 1 -p tcp --dport 30080 -j DNAT --to-destination 10.0.0.2:80iptables -t nat -I OUTPUT 1 -p tcp --dport 30080 -j DNAT --to-destination 10.0.0.2:80# 驗(yàn)證規(guī)則iptables -t nat -L POSTROUTING -n -v# 驗(yàn)證訪問curl -v http://192.168.1.114:30080清理環(huán)境# 刪除容器docker stop 4728aeef69f8docker stop 3041747824ebdocker rm 3041747824ebdocker rm 4728aeef69f8重啟主機(jī)