专栏首页Tungsten Fabric中文社区Tungsten Fabric与K8s集成指南丨创建隔离命名空间
原创

Tungsten Fabric与K8s集成指南丨创建隔离命名空间

Hi!欢迎来到Tungsten Fabric与Kubernetes集成指南系列,本文介绍如何创建隔离的命令空间,并对其网络连通性进行验证。 Tungsten Fabric与K8s集成指南系列文章,由TF中文社区为您呈现,旨在帮助大家了解Tungsten Fabric与K8s集成的基础知识。大家在相关部署中有什么经验,或者遇到的问题,欢迎与我们联系。

K8s与Tungsten Fabric集成后有四种配置模式,分别为:默认模式、自定义隔离模式、命名空间隔离模式、嵌套模式。

默认模式:Tungsten Fabric创建一个由所有命名空间共享的虚拟网络,并从中分配service和pod的IP地址,在Kubernetes集群中产生的所有命名空间中的所有pod都能够彼此通信。

自定义隔离模式:管理员和应用程序开发人员可以添加注释("opencontrail.org/network: <fq_network_name>")来指定虚拟网络。在这个虚拟网络中,一个命令空间中的一个或所有pod将在这个虚拟网络中被启动。如果该注释是在pod上配置的,那么pod将在该网络中启动;如果注释是在命名空间中配置的,那么命名空间中的所有pod都将在该网络中启动。

命名空间隔离模式:集群管理员可以在创建新的命令空间时,添加注释("opencontrail.org/isolation : true")以启用命令空间隔离。因此,该命名空间中的服务不能从其他命名空间访问,除非明确定义了安全组或网络策略以允许访问,或者启动注释("opencontrail.org/isolation.service : false")单独允许该命名空间的service可以被其他命令空间的pod访问。

嵌套模式:Tungsten Fabric支持与基于OpenStack虚拟机部署的Kubernetes集群集成。Tungsten Fabric提供了一个可折叠的控制和数据平面,一个TF控制平面和一个网络堆栈管理和服务同时在OpenStack和Kubernetes两个集群中。有了统一的控制和数据平面,可以无缝地交互和配置这些集群,不需要单独为每个集群部署TF。

在本系列的第二篇文章中,创建的命名空间为默认模式,而创建的网络是自定义模式的虚拟网络,在本章节中将会创建隔离的命令空间,并验证其网络连通性。

创建隔离命名空间

在此将会创建一个隔离的命名空间,名为isolated-ns,具体配置文件如下:

执行kubectl的创建命令之后,对应的命名空间随即被创建。

而在TF上也会有对应的policy和虚拟网络被创建出来,分别为:

TF policy: k8s-isolated-ns-pod-service-np

这条TF policy的作用,是允许附加了该条策略的虚拟网络能够访问命令空间isolated-ns中的service clusterip。

TF network: k8s-isolated-ns-pod-network , k8s-isolated-ns-service-network

这两个网络分别使用了命名空间default里面的IPAM,所以在这个命令空间isolated-ns中默认创建出来的pod和service所分配的IP所属的IP池,与命名空间default中的一样,即pod(10.32.0.0/12)和service(10.96.0.0/12)。

验证与非隔离命令空间的网络连通性

接下来在隔离的命令空间isolated-ns中创建pod和service,验证isolated-ns与其他命令空间的连通性。

首先在default和isolated-ns两个命令空间中分别创建两个pod和一个service。

所以目前的资源为:

2个命名空间:default,isolated-ns

2个service:nginx-default (10.105.147.31),nginx-isolated (10.97.162.157)

4个pod:

nginx-default-test01 (10.47.255.251)

nginx-default-test02 (10.47.255.250)

nginx-isolated-test01 (10.47.255.249)

nginx-isolated-test02 (10.47.255.247)

网络连通性验证流程:

1. 从命名空间default中的pod nginx-default-test01去ping其他三个pod,结果是pod nginx-default-test01只能连通同一命名空间中pod,而无法连通隔离命名空间中的pod。

2. 从命名空间isolated-ns中的pod nginx-isolated-test01去ping其他三个pod,结果是pod nginx-isolated-test01只能连通同一命名空间中pod,而无法连通其他命名空间中的pod。

3. 从命名空间default中的pod nginx-default-test01去curl分别在两个命令空间中的service,结果是pod nginx-default-test01只能请求default和kube-system这些非隔离命名空间中的service,而无法请求隔离命名空间中的service。

4. 从命名空间isolated-ns中的pod nginx-isolated-test01去curl分别在两个命令空间中的service,结果是pod nginx-isolated-test01只能请求default和kube-system这些非隔离命名空间中的service,而无法请求隔离命名空间中的service,即便该service在自己所在的命名空间。

所有验证结果综合起来就是,非隔离命名空间和隔离命名空间之后建的pod默认无法互访——即便在相同的IPAM中,并且非隔离命名的service可以被任何pod访问,而隔离命名空间的service默认无法被访问。

现在需要添加TF policy让pod之间,pod和service之间能够连通。

对于pod之间的访问,需要添加如下TF policy,该条policy是连接两个网络,k8s-default-pod-network与k8s-isolated-ns-pod-network。

创建完成,分别将这条Policy附加到隔离命名空间和非隔离命令空间的pod网络上,k8s-default-pod-network与k8s-isolated-ns-pod-network。

此时再进行pod之间的网络连接验证,结果是两个命名空间的pod之间已经能够通信。

对于pod与service之间的访问,需要添加如下TF policy,该条policy是允许指定网络能够访问isolated-ns的service。

创建完成后,再将这条Policy附加到隔离命名空间和非隔离命令空间的pod网络上,k8s-default-pod-network与k8s-isolated-ns-pod-network,以及隔离命名空间的service网络k8s-isolated-ns-service-network上。

此时再进行pod与service之间的网络连接验证,结果是两个命名空间的pod都可以访问到隔离命名空间中的service。

在隔离命名空间和非隔离命名空间的流量全通之后,还可以通过安全策略去做进一步的流量控制。

(作者来自深圳市天源景云科技有限公司)


·END·

 “Tungsten Fabric+K8s集成指南”系列文章

第一篇:部署准备与初始状态

第二篇:创建虚拟网络

第三篇:创建安全策略

MORE

 “Tungsten Fabric+K8s轻松上手”系列文章

第一篇:TF Carbide 评估指南--准备篇

第二篇:通过Kubernetes的服务进行基本应用程序连接

第三篇:通过Kubernetes Ingress进行高级外部应用程序连接

第四篇:通过Kubernetes命名空间实现初步的应用程序隔离

第五篇:通过Kubernetes网络策略进行应用程序微分段


原创声明,本文系作者授权云+社区发表,未经许可,不得转载。

如有侵权,请联系 yunjia_community@tencent.com 删除。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • TF+K8s轻松上手丨通过Kubernetes命名空间实现初步的应用程序隔离

    Kubernetes命名空间是“虚拟化”Kubernetes集群的一种内置方式。虽然目前尚无人讨论如何使用命名空间以及在何处使用命名空间,但是如果没有网络范围内...

    Tungsten Fabric
  • Tungsten Fabric如何收集、分析、部署?

    Tungsten Fabric从云基础架构(计算、网络和存储)及其上运行的工作负载收集信息,以便于运营监控、故障排除和容量规划。

    Tungsten Fabric
  • Tungsten Fabric与K8s集成指南丨创建安全策略

    安全策略可以通过限制端口、网络协议等方式控制任意pod之间的访问,以及pod与service之间的访问。在K8s集群中安全策略对应的是Network Polic...

    Tungsten Fabric
  • 多种手机APP称可“直连央行征信”,用户面临安全风险

    最近一年,一些手机APP开始在朋友圈卖力推广,号称不用跑银行排队等候,在手机上下载个APP应用,就可以查询自己在央行征信系统中的个人信用报告。有市民下载使用后还...

    FB客服
  • 微软将在Office 365中屏蔽Flash

    这次全面的禁用政策不只是禁用了有问题的控件,并且用户也不能像从前一样通过点击查看选项来浏览Flash 文件。该项禁用政策意味着Office 365将完全地阻止F...

    FB客服
  • Linux安装NFS

    NFS是Network  File System(网络文件系统)。主要功能是通过网络让不同的服务器之间可以共享文件或者目录。

    py3study
  • Effective Testing with RSpec 3(介绍)

    我们的测试再次被打破!”“为什么套件需要这么长时间才能运行?”“无论如何,我们从这些测试中获得了什么价值?”

    不知雨
  • R语言实现ICC分析

    今天给大家解释一个组内相关系数(intraclass correlationefficient,ICC)分析方法,其主要用于评价具有确定亲属关系的个体间某种定量...

    一粒沙
  • iOS - Swift UICollectionView横向分页滚动,cell左右排版

    LinXunFeng
  • SQL Server分区表(二):添加、查询、修改分区表中的数据

    在创建完分区表后,可以向分区表中直接插入数据,而不用去管它这些数据放在哪个物理上的数据表中。我们在创建好的分区表中插入几条数据:

    Vaccae

扫码关注云+社区

领取腾讯云代金券