Организация сетей в Kubernetes и эффективное развертывание

1. Каждый под получает уникальный IP-адрес.
2. Поды могут взаимодействовать между собой без использования NAT.
3. Агенты на узле (например, kubelet) могут общаться со всеми подами на этом узле.
4. Если используется режим хост-сети, поды используют IP-адрес узла.

Ключевые компоненты сетевой архитектуры

Взаимодействие компонентов через сеть

Проблемы традиционных подходов и их решение

Эволюция сетевых архитектур

1. Каждый под имеет собственный IP, видимый во всём кластере.
2. Поды на одном узле могут общаться по локальной сети.
3. Поды на разных узлах общаются через сетевые оверлеи или прямую маршрутизацию.

Сетевые модели: overlay vs non-overlay

Фундаментальные принципы сетевой модели Kubernetes

CNI и его реализации

• Как выделять IP-адреса подам.
• Как настраивать сетевые интерфейсы.
• Как управлять маршрутизацией между подами.

Pod-to-Pod коммуникации: технический разбор

Производительность сети: узкие места и методы оптимизации

Сравнение производительности популярных CNI-плагинов

Запуск docker образа в kubernetes
Контейнер в docker запускаю так: docker run --cap-add=SYS_ADMIN -ti -e "container=docker" -v...

Деплой телеграм бота на Google Kubernetes Engine через GitLab CI
Доброго времни суток. Прошу помощи у форумчан тк. сам не могу разобраться. Как задеплоить бота на...

Возможно ли поднять в kubernetes proxy
Задача. Дано: На роутере настроены 10 ip-адресов внешних от провайдера. На сервере vmware поднято...

Nginx + Kubernetes
Добрый день всем! Я решил попробовать использовать Kubernetes. Вот что я сделал на текущий...

Сервисы и балансировка нагрузки

Анатомия сервисов в Kubernetes

1
2
3
4
5
6
7
8
9
10

apiVersion: v1
kind: Service
metadata:
  name: my-service
spec:
  selector:
    app: MyApp
  ports:
  - port: 80
    targetPort: 8080

Типы сервисов и сценарии их применения

Механизмы балансировки и их реализация

Оптимизация LoadBalancer в производственной среде

1
2
3
4

metadata:
  annotations:
    service.beta.kubernetes.io/aws-load-balancer-type: nlb
    service.beta.kubernetes.io/aws-load-balancer-connection-idle-timeout: "1800"

Стратегии распределения трафика между репликами

Механизмы Service Discovery и интеграция

Политики сетевой безопасности

Основы ограничения трафика

Практические сценарии применения

1
2
3
4
5
6
7
8
9
10
11
12
13
14

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-ingress
  namespace: production
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          name: production

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: db-access-policy
spec:
  podSelector:
    matchLabels:
      role: database
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          role: app
    ports:
    - protocol: TCP
      port: 5432

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: restrict-external
spec:
  podSelector:
    matchLabels:
      app: web
  policyTypes:
  - Egress
  egress:
  - to:
    - ipBlock:
        cidr: 10.0.0.0/8
  - to:
    ports:
    - port: 53
      protocol: UDP
    - port: 53
      protocol: TCP

Аудит сетевого трафика

Изоляция сетевых пространств в мультитенантной среде

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

apiVersion: projectcalico.org/v3
kind: GlobalNetworkPolicy
metadata:
  name: isolate-namespaces
spec:
  selector: all()
  types:
  - Ingress
  - Egress
  ingress:
  - action: Allow
    source:
      namespaceSelector: same-as-destination
  egress:
  - action: Allow

Интеграция с внешними системами безопасности

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: httpbin
  namespace: foo
spec:
  selector:
    matchLabels:
      app: httpbin
  action: ALLOW
  rules:
  - from:
    - source:
        namespaces: ["foo"]
    to:
    - operation:
        methods: ["GET"]

Продвинутые техники организации сетей

Ingress-контроллеры: краеугольная точка внешнего доступа

Инструменты сетевой отладки

1

kubectl debug mypod-xyxz -it --image=nicolaka/netshoot

1

kubectl sniff mypod -n namespace

Организация multi-cluster коммуникаций

Оптимизация маршрутизации трафика между узлами

1
2
3
4
5
6
7
8
9
10
11
12
13
14

apiVersion: v1
kind: Service
metadata:
  name: my-service
spec:
  selector:
    app: my-app
  ports:
  - port: 80
    targetPort: 8080
  topologyKeys:
  - "kubernetes.io/hostname"
  - "topology.kubernetes.io/zone"
  - "*"

1
2
3
4
5
6
7
8

spec:
  topologySpreadConstraints:
  - maxSkew: 1
    topologyKey: topology.kubernetes.io/zone
    whenUnsatisfiable: DoNotSchedule
    labelSelector:
      matchLabels:
        app: my-app

Service Mesh: новый уровень сетевого взаимодействия

• Крупные микросервисные архитектуры с десятками и сотнями сервисов.
• Строгие требования к безопасности взаимодействия между сервисами.
• Необходимость детального мониторинга и трассировки межсервисного взаимодействия.
• Потребность в продвинутых стратегиях развёртывания и контроля трафика.

Практические рекомендации и оптимизации

Типичные проблемы и их решения

1

kubectl run --rm -it network-test --image=nicolaka/netshoot -- /bin/bash

1

kubectl exec -it mypod -- nslookup service-name.namespace.svc.cluster.local

Мониторинг сетевой производительности

1
2
3
4
5
6
7
8
9
10
11
12

apiVersion: monitoring.coreos.com/v1
kind: ServiceMonitor
metadata:
  name: cni-metrics
  namespace: monitoring
spec:
  selector:
    matchLabels:
      k8s-app: calico-node  # или другой CNI
  endpoints:
  - port: metrics
    interval: 30s

• Задержка сетевых пакетов между подами (pod_network_latency).
• Процент потери пакетов (packet_loss_rate).
• Пропускная способность между узлами (node_network_transmit_bytes_total).
• Ошибки сетевых интерфейсов (node_network_transmit_errs_total).

Автоматизация настройки сетевых политик

1
2
3
4
5
6
7
8
9
10
11
12
13
14

apiVersion: namespace.example.com/v1
kind: NamespaceNetworkConfig
metadata:
  name: secure-namespace
spec:
  ingressRules:
    - from:
        namespaces:
          - gateway
        podLabels:
          role: frontend
    - ports:
        - protocol: TCP
          port: 443

Оптимизация DNS-резолвинга

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22

apiVersion: v1
kind: ConfigMap
metadata:
  name: coredns
  namespace: kube-system
data:
  Corefile: |
    .:53 {
        errors
        health
        kubernetes cluster.local in-addr.arpa ip6.arpa {
          pods verified
          ttl 30
          fallthrough in-addr.arpa ip6.arpa
        }
        prometheus :9153
        forward . /etc/resolv.conf
        cache 30
        loop
        reload
        loadbalance
    }

Архитектурные паттерны для организации сетевого взаимодействия

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    konghq.com/strip-path: "true"
  name: api-gateway
spec:
  rules:
  - http:
      paths:
      - path: /users
        pathType: Prefix
        backend:
          service:
            name: user-service
            port:
              number: 80
      - path: /orders
        pathType: Prefix
        backend:
          service:
            name: order-service
            port:
              number: 80

Проблемы масштабирования в гибридных средах

Конфигурация ngnix для Kubernetes Deployment
Подскажите, что не так с nginx.conf переданным в ConfigMap для k8s? У меня на порту сервиса сайт не...

Где расположить БД для Kubernetes кластера в облаке
Привет. Нагуглил и разобрал пример, как разместить Spring-овый микросервис в кубернетес-кластере....

Node.js аппа на Kubernetes
Или кто проворачивал такое? Есть какие грабли? Как там с process.env переменными?

Kubernetes не работает localhost
Добрый день! Пытался поставить kubernetes-dashboard на новом кластере. Выполнял все пункты по...

Развертывание OpenVPN на Windows Server 2016
Здравствуйте,возникла необходимость развернуть openVPN server на Windows Server 2016, на Windows 7...

Развертывание почтового сервера Mdaemon 19.5
Добрый день коллеги! Перечитал темы по установке и настройке почтовика Mdaemon, но так и не...

Средства соединения сетей.
Кто может ответить на вопросы? 1. Методы выделенного доступа. 2. Методы доступа. 3. Средства...

Прога для одновременной работы 2х сетей.
Есть 2 модема (Ethernet & USB), подключенных к двум сетям . Компьютер с 1 сетевой картой. При этом...

Программа мониторинга локальных сетей
Подскажите пожалуйста фривэйр програму для мониторинга локальных сетей. Такие как устанавливают в...

Классы сетей/подсетей
Нужно смоделировать сеть из 30 подразделений банка, которые находятся в разных городах. Для этого...

Объединение локальных сетей
Добрый день. Прошу помочь. Две локальных сети 192.168.10.0 и 192.168.20.0, обе с выделенными...

работа 2-х сетей одновременно
Здравствуйте, помогите с настройками маршрутов. У меня на 1 комп подключены 2 локальные сети. ОС -...