**一、Kubernetes 基本网络模型**
=======================
本文来介绍一下 Kubernetes 对网络模型的一些想法。大家知道 Kubernetes 对于网络具体实现方案，没有什么限制，也没有给出特别好的参考案例。Kubernetes 对一个容器网络是否合格做出了限制，也就是 Kubernetes 的容器网络模型。可以把它归结为约法三章和四大目标。
* 约法三章的意思是：在评价一个容器网络或者设计容器网络的时候，它的准入条件。它需要满足哪三条？ 才能认为它是一个合格的网络方案。
* 四大目标意思是在设计这个网络的拓扑，设计网络的具体功能的实现的时候，要去想清楚，能不能达成连通性等这几大指标。
**约法三章**
--------
先来看下约法三章：
* 第一条：任意两个 pod 之间其实是可以直接通信的，无需经过显式地使用 NAT 来接收数据和地址的转换；
* 第二条：node 与 pod 之间是可以直接通信的，无需使用明显的地址转换；
* 第三条：pod 看到自己的 IP 跟别人看见它所用的IP是一样的，中间不能经过转换。
后文中会讲一下我个人的理解，为什么 Kubernetes 对容器网络会有一些看起来武断的模型和要求。
**四大目标**
--------
四大目标其实是在设计一个 K8s 的系统为外部世界提供服务的时候，从网络的角度要想清楚，外部世界如何一步一步连接到容器内部的应用？
* **外部世界和 service 之间是怎么通信的？**就是有一个互联网或者是公司外部的一个用户，怎么用到 service？service 特指 K8s 里面的服务概念。
* **service 如何与它后端的 pod 通讯？**
* **pod 和 pod 之间调用是怎么做到通信的？**
* **最后就是 pod 内部容器与容器之间的通信？**
最终要达到目标，就是外部世界可以连接到最里面，对容器提供服务。
对基本约束的解释
--------
对基本约束，可以做出这样一些解读：因为容器的网络发展复杂性就在于它其实是寄生在 Host 网络之上的。从这个角度讲，可以把容器网络方案大体分为 **Underlay/Overlay **两大派别：
* Underlay 的标准是它与 Host 网络是同层的，从外在可见的一个特征就是它是不是使用了 Host 网络同样的网段、输入输出基础设备、容器的 IP 地址是不是需要与 Host 网络取得协同（来自同一个中心分配或统一划分）。这就是 Underlay；
* Overlay 不一样的地方就在于它并不需要从 Host 网络的 IPM 的管理的组件去申请 IP，一般来说，它只需要跟 Host 网络不冲突，这个 IP 可以自由分配的。
为什么社区会提出 perPodperIP 这种简单武断的模型呢？我个人是觉得这样为后面的 service 管理一些服务的跟踪性能监控，带来了非常多的好处。因为一个 IP 一贯到底，对 case 或者各种不大的事情都会有很大的好处。
**二、Netns 探秘**
==============
Netns 究竟实现了什么
-------------
下面简单讲一下，Network Namespace 里面能网络实现的内核基础。狭义上来说 runC 容器技术是不依赖于任何硬件的，它的执行基础就是它的内核里面，进程的内核代表就是 task，它如果不需要隔离，那么用的是主机的空间（ namespace），并不需要特别设置的空间隔离数据结构（ nsproxy-namespace proxy）。
相反，如果一个独立的网络 proxy，或者 mount proxy，里面就要填上真正的私有数据。它可以看到的数据结构如上图所示。
从感官上来看一个隔离的网络空间，它会拥有自己的网卡或者说是网络设备。网卡可能是虚拟的，也可能是物理网卡，它会拥有自己的 IP 地址、IP 表和路由表、拥有自己的协议栈状态。这里面特指就是 TCP/Ip协议栈，它会有自己的status，会有自己的 iptables、ipvs。
从整个感官上来讲，这就相当于拥有了一个完全独立的网络，它与主机网络是隔离的。当然协议栈的代码还是公用的，只是数据结构不相同。
Pod 与 Netns 的关系
---------------
这张图可以清晰表明 pod 里 Netns 的关系，每个 pod 都有着独立的网络空间，pod net container 会共享这个网络空间。一般 K8s 会推荐选用 Loopback 接口，在 pod net container 之间进行通信，而所有的 container 通过 pod 的 IP 对外提供服务。另外对于宿主机上的 Root Netns，可以把它看做一个特殊的网络空间，只不过它的 Pid 是1。
**三、主流网络方案简介**
==============
典型的容器网络实现方案
-----------
接下来简单介绍一下典型的容器网络实现方案。容器网络方案可能是 K8s 里最为百花齐放的一个领域，它有着各种各样的实现。容器网络的复杂性，其实在于它需要跟底层 Iass 层的网络做协调、需要在性能跟 IP 分配的灵活性上做一些选择，这个方案是多种多样的。
下面简单介绍几个比较主要的方案：分别是 Flannel、Calico、Canal ，最后是 WeaveNet，中间的大多数方案都是采用了跟 Calico 类似的策略路由的方法。
* **Flannel **是一个比较大一统的方案，它提供了多种的网络 backend。不同的 backend 实现了不同的拓扑，它可以覆盖多种场景；
* **Calico **主要是采用了策略路由，节点之间采用 BGP 的协议，去进行路由的同步。它的特点是功能比较丰富，尤其是对 Network Point 支持比较好，大家都知道 Calico 对底层网络的要求，一般是需要 mac 地址能够直通，不能跨二层域；
* 当然也有一些社区的同学会把 Flannel 的优点和 Calico 的优点做一些集成。我们称之为嫁接型的创新项目 **Cilium**；
* 最后讲一下 **WeaveNet**，如果大家在使用中需要对数据做一些加密，可以选择用 WeaveNet，它的动态方案可以实现比较好的加密。
Flannel 方案
----------
Flannel 方案是目前使用最为普遍的。如上图所示，可以看到一个典型的容器网方案。它首先要解决的是 container 的包如何到达 Host，这里采用的是加一个 Bridge 的方式。它的 backend 其实是独立的，也就是说这个包如何离开 Host，是采用哪种封装方式，还是不需要封装，都是可选择的。
现在来介绍三种主要的 backend：
* 一种是用户态的 udp，这种是最早期的实现；
* 然后是内核的 Vxlan，这两种都算是 overlay 的方案。Vxlan 的性能会比较好一点，但是它对内核的版本是有要求的，需要内核支持 Vxlan 的特性功能；
* 如果你的集群规模不够大，又处于同一个二层域，也可以选择采用 host-gw 的方式。这种方式的 backend 基本上是由一段广播路由规则来启动的，性能比较高。
**四、Network Policy 的用处**
========================
Network Policy 基本概念
-------------------
下面介绍一下 Network Policy 的概念。
刚才提到了 Kubernetes 网络的基本模型是需要 pod 之间全互联，这个将带来一些问题：可能在一个 K8s 集群里，有一些调用链之间是不会直接调用的。比如说两个部门之间，那么我希望 A 部门不要去探视到 B 部门的服务，这个时候就可以用到策略的概念。
基本上它的想法是这样的：它采用各种选择器（标签或 namespace），找到一组 pod，或者找到相当于通讯的两端，然后通过流的特征描述来决定它们之间是不是可以联通，可以理解为一个白名单的机制。
在使用 Network Policy 之前，如上图所示要注意 apiserver 需要打开一下这几个开关。另一个更重要的是我们选用的网络插件需要支持 Network Policy 的落地。大家要知道，Network Policy 只是 K8s 提供的一种对象，并没有内置组件做落地实施，需要取决于你选择的容器网络方案对这个标准的支持与否及完备程度，如果你选择 Flannel 之类，它并没有真正去落地这个 Policy，那么你试了这个也没有什么用。
配置实例
----
接下来讲一个配置的实例，或者说在设计一个 Network Policy 的时候要做哪些事情？我个人觉得需要决定三件事：
* 第一件事是控制对象，就像这个实例里面 spec 的部分。spec 里面通过 podSelector 或者 namespace 的 selector，可以选择做特定的一组 pod 来接受我们的控制；
* 第二个就是对流向考虑清楚，需要控制入方向还是出方向？还是两个方向都要控制？
* 最重要的就是第三部分，如果要对选择出来的方向加上控制对象来对它流进行描述，具体哪一些 stream 可以放进来，或者放出去？类比这个流特征的五元组，可以通过一些选择器来决定哪一些可以作为我的远端，这是对象的选择；也可以通过 IPBlock 这种机制来得到对哪些 IP 是可以放行的；最后就是哪些协议或哪些端口。其实流特征综合起来就是一个五元组，会把特定的能够接受的流选择出来 。
本文总结
====
本文内容到这里就结束了，我们简单总结一下：
* 在 pod 的容器网络中核心概念就是 IP，IP 就是每个 pod 对外通讯的地址基础，必须内外一致，符合 K8s 的模型特征；
* 那么在介绍网络方案的时候，影响容器网络性能最关键的就是拓扑。要能够理解你的包端到端是怎么联通的，中间怎么从 container 到达 Host，Host 出了 container 是要封装还是解封装？还是通过策略路由？最终到达对端是怎么解出来的？
* 容器网络选择和设计选择。如果你并不清楚你的外部网络，或者你需要一个普适性最强的方案，假设说你对 mac 是否直连不太清楚、对外部路由器的路由表能否控制也不太清楚，那么你可以选择 Flannel 利用 Vxlan 作为 backend 的这种方案。如果你确信你的网络是 2 层可直连的，你可以进行选用 Calico 或者 Flannel-Hostgw 作为一个 backend；
* 最后就是对 Network Policy，在运维和使用的时候，它是一个很强大的工具，可以实现对进出流的精确控制。实现的方法我们也介绍了，要想清楚你要控制谁，然后你的流要怎么去定义。
**五、思考时间**
==========
最后留一些思考，大家可以想一想：
1. 为什么接口标准化 CNI 化了，但是容器网络却没有一个很标准的实现，内置在 K8s 里面？
2. Network Policy 为什么没有一个标准的 controller 或者一个标准的实现，而是交给这个容器网络的 owner 来提供？
3. 有没有可能完全不用网络设备来实现容器网络呢？考虑到现在有 RDMA 等有别于 TCP/IP 的这种方案。
4. 在运维过程中网络问题比较多、也比较难排查，那么值不值得做一个开源工具，让它可以友好的展示从 container 到 Host 之间、Host 到 Host 之间，或者说封装及解封装之间，各个阶段的网络情况，有没有出现问题，能够快速的定位。据我所知应该现在是没有这样的工具的。
以上就是我对 K8s 容器网络的基本概念、以及 Network Policy 的一些介绍。
本文作者：阿里巴巴高级技术专家 叶磊
[原文链接](https://yq.aliyun.com/articles/721151?utm_content=g_1000082465)
本文为云栖社区原创内容，未经允许不得转载。
分享到：
相关推荐
内容概要：本文详细介绍了利用MATLAB及其工具箱YALMIP和CPLEX进行电动汽车削峰填谷的多目标优化调度方法。通过设定不同的权重系数，将电池损耗成本、峰谷差以及负荷波动三个关键因素整合为目标函数，实现了对电动汽车充放电行为的有效管理。文中不仅展示了具体的数学模型和代码实现，还讨论了求解过程中的一些技巧和注意事项，如充放电互斥约束的设计、求解器的选择与配置等。此外，作者通过实例演示了优化前后负荷曲线的变化情况，证明了该方法能够显著改善电网负荷分布。 适合人群：从事智能电网、能源管理系统开发的研究人员和技术人员，尤其是那些希望深入了解电动汽车参与电网调度的技术细节的人。 使用场景及目标：适用于需要解决电网负荷不均衡问题的实际应用场景，旨在通过合理的电动汽车调度策略，在保障用户利益的同时提高整个电力系统的运行效率和稳定性。 其他说明：文中提到的方法可以作为研究和开发类似系统的参考案例，同时也强调了在实际应用中需要根据具体情况进行调整和优化。
内容概要：本文详细介绍了三菱FX5U PLC的加密与授权管理系统，主要基于ST（Structured Text）语言实现。文中展示了多个关键模块的设计思路和技术细节，如授权验证逻辑、时间预警机制、通信检测、程序块加密以及硬件抽象层设计。授权验证逻辑通过预存密钥数组进行分期授权和永久授权的管理；时间预警机制利用定时器和系统时钟确保授权到期前提醒用户；通信检测采用心跳包机制保障通信安全；程序块加密通过预处理器指令和无效代码混淆保护源代码；硬件抽象层设计使得系统能够适应不同型号的PLC。此外，还讨论了移植性和客户破解防范措施。 适合人群：从事工业控制系统开发的技术人员，尤其是对PLC编程和系统安全有兴趣的专业人士。 使用场景及目标：适用于需要对PLC系统进行高级加密和授权管理的工程项目，旨在提高系统的安全性和可控性，防止未经授权的操作和访问。 其他说明：本文不仅提供了具体的代码实现，还深入探讨了设计理念和技术难点，帮助读者全面理解并应用于实际项目中。
1. 开启root登录 2.启用PAM 3.关闭selinux 4.操作以下内容 cat > /etc/pam.d/sshd << EOF #%PAM-1.0 auth required pam_sepermit.so auth include password-auth account required pam_nologin.so account include password-auth password include password-auth session required pam_limits.so session required pam_selinux.so close session required pam_loginuid.so session optional pam_keyinit.so force revoke session include password-auth EOF
Delphi 12.3控件之Pascal Expert 9.12.14 For Delphi 12 [CS].7z
内容概要：本文全面介绍了层次聚类算法，一种无监督学习方法，广泛应用于数据挖掘、机器学习和模式识别。文章首先阐述了聚类算法的基础理论，特别是层次聚类的独特之处——生成树状图展示数据点之间的相似性关系。随后，详细讲解了凝聚型层次聚类的工作原理，包括初始化、合并和重复步骤，并探讨了多种距离度量方法（如单链、完全链、平均链和重心法）。文中通过Python代码实例展示了如何使用SciPy库进行层次聚类，并生成树状图。此外，文章还讨论了层次聚类在生物信息学、图像分割和文本数据分析中的具体应用场景，以及评估聚类质量的方法（如轮廓系数和Calinski-Harabasz指数）。最后，文章总结了层次聚类的优点和缺点，并展望了未来的优化方向和挑战。 适合人群：数据科学家、机器学习工程师、研究人员和其他对聚类算法感兴趣的从业者。 使用场景及目标：①理解层次聚类的基本原理和工作流程；②掌握如何使用Python实现层次聚类；③学会评估聚类质量和优化聚类性能；④了解层次聚类在不同领域的应用。 其他说明：本文不仅提供了理论知识，还包括丰富的代码示例，使读者能够在实践中加深对层次聚类的理解。同时，文章还探讨了层次聚类
内容概要：本文深入探讨了一款30kW三相PFC充电桩的技术细节，涵盖硬件设计、主控芯片选择、关键算法实现及其性能表现。文中详细介绍了主电路采用的T型三相维也纳结构，主控芯片TMS320F28069的特点及其应用，包括CLA协处理器的优势。同时，对锁相环算法、PWM控制、中点平衡控制等进行了详细的解释，并提供了相应的代码示例。此外，还分享了一些实战经验和注意事项，如DQ变换的正确实现、滞回控制的应用技巧等。最后，附上了27页的量产测试报告，展示了该程序在实际生产环境中的稳定性和可靠性。 适合人群：从事电力电子、嵌入式系统开发的专业人士，尤其是对大功率充电设备感兴趣的工程师和技术爱好者。 使用场景及目标：适用于希望深入了解30kW三相PFC充电桩内部工作机制的研发人员。通过学习本文，可以掌握从硬件设计到软件实现的完整流程，为类似项目提供宝贵的参考资料和技术支持。 其他说明：本文不仅提供了理论知识，还结合了大量的实战经验，帮助读者避免常见陷阱，提高开发效率。
Java项目基于ssm框架的课程设计，包含LW+ppt
基于YOLOv8深度学习的布料外观缺陷检测系统(带GUI界面)（Python源码+Pyqt5界面+2100多张标注好的数据集+安装使用教程+训练好的模型+评估指标曲线+演示图片视频），开箱即用 高准确率，6个类别：带沙，断沙，面球，破洞，脱沙，污渍。 1、该资源内项目代码都经过本人训练测试并运行成功，功能都OK的情况下才上传的，请放心下载使用！有问题请私信我，提供技术支持。 2、本项目适合计算机相关专业(如计科、人工智能、通信工程、自动化、电子信息等)的在校学生、老师或者企业员工下载使用，也适合小白学习进阶，当然也可作为毕设项目、课程设计、日常作业、实战项目演示等。 3、可参考学习，也可在此基础上略做修改，以实现其他功能，也可直接用于毕设、课设和作业等。 升级版YOLO11资源详情展示：https://blog.csdn.net/m0_37302966/article/details/146467358 更多资源下载：https://blog.csdn.net/m0_37302966/article/details/146387003
远程连接工具
9月最新开心彩虹易码支付最新版转账付款功能，支持通过插件扩展 1. 新增微信公众号消息提醒功能 2. 重构转账付款功能，支持通过插件扩展 3. 商户后台新增代付功能 4. 后台新增付款记录列表 5. 支付宝插件新增预授权支付 6. 优化支付通道列表，支持翻页与快速复制通道 7. 新增创建订单人机验证，防止被恶意创建订单 8. 修复其他一些已知问题 9. 增加两套前端模板以及订单查询 安装教程：上传源码，访问即可安装。
内容概要：本文详细介绍了如何利用正余弦算法（SCA）优化广义回归神经网络（GRNN）进行数据回归预测的方法。首先解释了GRNN的基本结构及其平滑因子σ的重要性，然后展示了SCA通过正弦和余弦震荡寻找全局最优σ值的具体实现步骤。文中提供了完整的MATLAB代码片段，涵盖数据预处理、适应度函数设计、SCA参数更新规则以及最终模型评估等多个方面。实验结果显示，经过SCA优化后的GRNN在多个测试案例中均表现出更高的预测精度，特别是在处理中小型数据集时优势明显。 适合人群：具有一定MATLAB编程经验的数据分析师、机器学习爱好者及研究人员。 使用场景及目标：适用于需要提高数据回归预测准确性的小型至中型数据集处理任务。主要目标是通过自动化参数寻优减少人工干预，从而获得更加精确稳定的预测结果。 其他说明：作者强调了数据归一化的必要性和SCA参数配置的最佳实践，如适当设定搜索范围、种群大小和迭代次数等。此外还提到可以通过引入交叉验证等方式进一步增强模型鲁棒性。
MainActivity.kt
Delphi 12.3控件之ReportBuilder v22.04 for D10.2-D12.7z
芯原微电子笔试试卷真题，IC工程师笔试真题，自己下载。
数据集相关资源，AFQMC 蚂蚁金融语义相似度数据集，AFQMC（Ant Financial Question Matching Corpus）蚂蚁金融语义相似度数据集，用于问题相似度计算。
TIDBPTCA真题.html
内容概要：本文深入探讨了利用COMSOL Multiphysics软件中的等离子体模块建立针-针电极空气流注放电模型的方法。文中详细介绍了模型的几何结构设定、物理场配置（如电子、正负离子的载流子选择）、化学反应的设置（含21组带电粒子反应）以及Helmholtz光电离过程的具体实现方法。此外，还提供了关于求解器配置、边界条件处理等方面的实用技巧，确保模型能够稳定且高效地运行。通过该模型可以直观地观察到空气流注放电过程中的电场分布、粒子密度变化等情况。 适合人群：从事等离子体物理研究的专业人士，特别是那些对高压放电现象感兴趣的科研工作者和技术人员。 使用场景及目标：适用于研究等离子体行为及其在不同条件下的演化规律，特别是在针-针电极间的空气流注放电特性方面。该模型可用于验证理论预测、探索新型放电器件的设计思路，以及优化现有设备的工作性能。 其他说明：文中不仅提供了详细的建模步骤，还包括了一些实际操作中的注意事项和优化建议，有助于提高仿真的成功率并减少计算成本。同时，作者鼓励读者尝试调整模型参数以获得不同的仿真效果，从而进一步加深对该领域的理解。
内容概要：本文详细介绍了Java开发中的四个关键技术领域：JUnit单元测试、Java日志框架、Maven项目管理和Tomcat服务器。首先，阐述了JUnit的基本概念、核心功能及其在提高代码质量和开发效率中的重要作用。接着，讲解了几种主流的日志框架（如Log4j、Log4j2、Logback和SLF4J）的特点和使用方法。随后，深入探讨了Maven的功能特点、依赖管理和项目结构，强调了其在简化项目构建和管理方面的优势。最后，介绍了Tomcat服务器的工作原理、特点及其在Java Web应用中的应用。 适合人群：具备一定Java编程基础的研发人员，尤其是希望深入了解Java开发工具链的专业人士。 使用场景及目标：① 学习如何使用JUnit进行高效的单元测试；② 掌握常见Java日志框架的配置和使用；③ 理解Maven的依赖管理和项目管理机制；④ 掌握Tomcat服务器的配置和使用，搭建Java Web应用。 其他说明：本文不仅涵盖了理论知识，还包括了大量的实践案例和代码示例，有助于读者更好地理解和应用这些技术。
“传统节日”宣传介绍教学课件
内容概要：本文详细介绍了一套用于三菱Q系列PLC的伺服定位控制功能块（FB）程序的设计与实现方法。该程序采用结构化文本（Structured Text）编写，分为参数配置、运动控制和状态监控三大模块。文中强调了程序的结构清晰、注释详尽以及实战经验的应用，确保系统的稳定性和易维护性。具体亮点包括：轴参数配置结构体、运动控制逻辑的状态检测、异常处理机制、速度参数的安全处理、位置窗口比较法的位置到达判定、详细的报警处理模块等。此外，作者还分享了许多实际应用中的经验和技巧，如加减速曲线的选择、软极限保护、伺服使能控制等。 适合人群：从事工业自动化控制领域的工程师和技术人员，尤其是对三菱Q系列PLC和伺服控制系统有一定了解并希望提升编程技能的人群。 使用场景及目标：适用于需要编写高效稳定的三菱Q系列PLC伺服定位控制程序的场合。目标是帮助工程师掌握如何设计结构清晰、易于维护且性能可靠的伺服控制程序，减少调试时间和提高系统稳定性。 其他说明：本文不仅提供了具体的编程指导，还分享了大量来自生产一线的实际经验，有助于读者更好地理解和应对实际工作中可能出现的问题。