Kubernetes - 集群内的网络 -

Question

我正在尝试了解 Kubernetes 网络，并在 GKE 网络文档中遇到了以下 sn-p...GKE - Networking。这说...

Kubernetes manages connectivity among Pods and Services using the kube-proxy component, which runs on each node. kube-proxy, which is not an in-line proxy, but an egress-based load-balancing controller, watches the Kubernetes API server and continually maps the ClusterIP to healthy Pods by adding and removing destination NAT (DNAT) rules to the node's iptables subsystem. When a container running in a Pod sends traffic to a Service's ClusterIP, the node selects a Pod at random and routes the traffic to that Pod.

我对此有两个问题...

1. 假设有 5 个节点，其中 3 个节点是服务的一部分。现在，其中一个 pod（来自不属于服务的节点）想要与服务通信......它通过服务的 FQDN 找到服务..这个节点中的 kube-proxy 是否将流量发送到其中一个 pod服务的一部分？
2. 另外，它说 kube-proxy 负载平衡整个 Pod 集的流量......这是怎么做到的？如果有一个节点进行流量路由，它会知道哪个节点是下一个获取流量的节点/pod。但是服务会随机选择节点（在服务中），对吗？

有人可以澄清一下吗？

提前致谢。

Answer 1

请找到您问题的答案：

1) 此节点中的 kube-proxy 是否将流量发送到作为服务一部分的 pod 之一？

是的，kube-proxy 会将流量路由到正确的 Pod。集群中的每个节点都会有 kube-proxy，每个 kube-proxy 都会编写 iptable 规则来在使用 serviceIP 时将流量重定向到 pod。

2) 举个例子：

我们有 4 个节点集群和两个应用程序运行 2 个副本。

node1 -> application1_pod1
node2 -> application1_pod2
node3 -> application2_pod1
node4 -> application2_pod2 
(all 4 pods are running in different node)

现在 application1 想使用 application2 的服务名称与 application2 通信。

1. application1_pod1 may talk to application2_pod1
1.1 (once this is done, node1 iptables will route next traffic to application2_pod2)
2. application1_pod2 may talk to application2_pod1 (as the iptables of node2 is not aware of previous traffic in node1)
2.1 (once this is done, node2 iptables will route next traffic to application2_pod2)
3. application1_pod1 will talk to application2_pod2 (because of 1.1)
4. application1_pod2 will talk to application2_pod2 (because of 2.1)

所以在第 2 步结束时，到 application2_pod1 的流量为 100%，到 application2_pod2 的流量为 0%。 在第 4 步结束时，到 application2_pod2 的流量为 50%，到 application2_pod2 的流量为 50%。

所以严格来说不是循环，而是最终循环。

服务IP如何转换为podIP？

ServiceIP 是虚拟IP。 PodIP 基本上是 containerIP（与一些正在运行的进程相关联）。 ServiceIP 以循环方式指向 PodIP。

kube-proxy 将在每个节点中编写如下 iptable 规则：（假设有 3 个 pod）

When destination is equal to serviceIP, then route to 

- PodIP1 with 33% probability, 
- PodIP2 with 33% probability and
- PodIP3 with 34% probability

为了实现这一点，kube-proxy 将监听来自 API 服务器的服务（基本上是端点）创建和更新。

Answer 2

查看official doc这部分

kube-proxy 以 3 种不同的代理模式运行：

1. 用户空间代理模式
2. iptables 代理模式
3. IPVS 代理模式

实现细节有所不同，但一般来说，kube-proxy 管理与服务和端点的连接。就像代理一样，它可以将不属于其节点的流量重定向到正确的流量。

所以...

1) 是的

2）您引用的文档专门针对 GKE。如果你查看k8s官方文档，你会发现只有kube-proxy in iptables mode chooses a backend at random.，其他模式将使用循环或用户指定的方法来调度流量。