k8s的网络模型假定了所有Pod都在一个可以直接连通的扁平的网络空间中，这在GCE（Google Compute Engine）里面是现成的网络模型，k8s假定这个网络已经存在。而私有云搭建k8s集群，就不能假定这个网络已经存在了。我们需要自己实现这个网络假设，将不同节点上的Docker容器之间互相访问先打通，然后运行K8s。
同一个Pod内的多个容器之间：lo
各Pod之间通讯：Overlay Network
Pod与Service之间的通讯：各节点的Iptables规则，，目前通过LVS转发
Flannel是CoreOS团队针对Kubernetes设计一个网络规划服务，简单来说，它的功能是让集群中的不同节点主机创建Docker容器都具有全集群唯一的虚拟IP地址。而且它还能在这些IP地址之间建立一个覆盖网络，通过覆盖网络将数据包原封不动的传递到目标容器内
Pod到外网：Pod向外网发送请求，查找路由表，转发数据包到宿主主机的网卡，宿主网卡完成路由选择后，iptables执行Masquerade,把源IP更改为宿主网卡的IP，然后向外网服务器发送请求
外网访问Pod：Service，需要node pod进行映射
网络解决方案Kubernetes+Flannel
Backend前端组件，所有流量访问到Backend经过自己的网关去处理，把什么样的请求分配到什么样的服务上。
当Backend与Web app2跨主机通讯以及Backend与Web App3同主机通讯，怎样实现？
- 在真实node服务器上会安装一个Flanneld（守护进程）会监听后期转发数据包的端口。Flanneld一旦开启会开启一个Flannel0网桥，这个网桥会收集Docker0转发出来的数据包。docker0会分布自己的IP到对应的Pod上。
- 同主机两个P偶读通讯走的是Docker0的网桥。
- 跨主机
Web App2将数据包发到Docker0，Docker0把数据包抓取到Flannel0，并有一堆从etcd获得的路由表记录，判断是哪一台机器，之后数据包会到FlannelD，到FlannelD之后会对数据进行封装，Flannel0使用UDP报文转发，数据包会被FlannelD截获，截获之后会拆分并转发到Flannel0，Flannel0继续转发到
Docker0Web App2将数据包发到Docker0，Docker0把数据包抓取到Flannel0，并有一堆从etcd获得的路由表记录，判断是哪一台机器，之后数据包会到FlannelD，到FlannelD之后会对数据进行封装，mac-udp封装，下一层封装15.2，20.3封装到这一层会封装一个数据包实体（payload)，Flannel0使用UDP报文转发，数据包会被FlannelD截获，截获之后会拆分并转发到Flannel0，Flannel0继续转发到Docker0，最后经过二次解封到Backend。
ETCD之Flannel提供说明：
存储管理Flannel可分配的IP地址段资源
- Flannel启动之后会向ETCD插入可分配网段，防止已分配的网段被Flannel分配给其它node节点
- 监控ETCD中每个Pod的实际地址，并在内存中建立维护Pod节点路由表
在k8s中有三层网络，真实网络只有一个（节点网络）