如何進行Tungsten Fabric與K8s集成及創建隔離命名空間

發布時間：2021-12-16 11:01:24 來源：億速云閱讀：141 作者：柒染欄目：互聯網科技

本篇文章為大家展示了如何進行Tungsten Fabric與K8s集成及創建隔離命名空間，內容簡明扼要并且容易理解，絕對能使你眼前一亮，通過這篇文章的詳細介紹希望你能有所收獲。

K8s與Tungsten Fabric集成后有四種配置模式，分別為：默認模式、自定義隔離模式、命名空間隔離模式、嵌套模式。

默認模式：Tungsten Fabric創建一個由所有命名空間共享的虛擬網絡，并從中分配service和pod的IP地址，在Kubernetes集群中產生的所有命名空間中的所有pod都能夠彼此通信。

自定義隔離模式：管理員和應用程序開發人員可以添加注釋（"opencontrail.org/network: <fq_network_name>"）來指定虛擬網絡。在這個虛擬網絡中，一個命令空間中的一個或所有pod將在這個虛擬網絡中被啟動。如果該注釋是在pod上配置的，那么pod將在該網絡中啟動；如果注釋是在命名空間中配置的，那么命名空間中的所有pod都將在該網絡中啟動。

命名空間隔離模式：集群管理員可以在創建新的命令空間時，添加注釋（"opencontrail.org/isolation : true"）以啟用命令空間隔離。因此，該命名空間中的服務不能從其他命名空間訪問，除非明確定義了安全組或網絡策略以允許訪問，或者啟動注釋（"opencontrail.org/isolation.service : false"）單獨允許該命名空間的service可以被其他命令空間的pod訪問。

嵌套模式：Tungsten Fabric支持與基于OpenStack虛擬機部署的Kubernetes集群集成。Tungsten Fabric提供了一個可折疊的控制和數據平面，一個TF控制平面和一個網絡堆棧管理和服務同時在OpenStack和Kubernetes兩個集群中。有了統一的控制和數據平面，可以無縫地交互和配置這些集群，不需要單獨為每個集群部署TF。

創建隔離命名空間

在此將會創建一個隔離的命名空間，名為isolated-ns，具體配置文件如下：

執行kubectl的創建命令之后，對應的命名空間隨即被創建。

而在TF上也會有對應的policy和虛擬網絡被創建出來，分別為：

TF policy: k8s-isolated-ns-pod-service-np

這條TF policy的作用，是允許附加了該條策略的虛擬網絡能夠訪問命令空間isolated-ns中的service clusterip。

TF network: k8s-isolated-ns-pod-network , k8s-isolated-ns-service-network

這兩個網絡分別使用了命名空間default里面的IPAM，所以在這個命令空間isolated-ns中默認創建出來的pod和service所分配的IP所屬的IP池，與命名空間default中的一樣，即pod（10.32.0.0/12）和service（10.96.0.0/12）。

驗證與非隔離命令空間的網絡連通性

接下來在隔離的命令空間isolated-ns中創建pod和service，驗證isolated-ns與其他命令空間的連通性。

首先在default和isolated-ns兩個命令空間中分別創建兩個pod和一個service。

所以目前的資源為：

2個命名空間：default，isolated-ns

2個service：nginx-default (10.105.147.31)，nginx-isolated (10.97.162.157)

4個pod：

nginx-default-test01 (10.47.255.251)

nginx-default-test02 (10.47.255.250)

nginx-isolated-test01 (10.47.255.249)

nginx-isolated-test02 (10.47.255.247)

網絡連通性驗證流程：

1. 從命名空間default中的pod nginx-default-test01去ping其他三個pod，結果是pod nginx-default-test01只能連通同一命名空間中pod，而無法連通隔離命名空間中的pod。

2. 從命名空間isolated-ns中的pod nginx-isolated-test01去ping其他三個pod，結果是pod nginx-isolated-test01只能連通同一命名空間中pod，而無法連通其他命名空間中的pod。

3. 從命名空間default中的pod nginx-default-test01去curl分別在兩個命令空間中的service，結果是pod nginx-default-test01只能請求default和kube-system這些非隔離命名空間中的service，而無法請求隔離命名空間中的service。

4. 從命名空間isolated-ns中的pod nginx-isolated-test01去curl分別在兩個命令空間中的service，結果是pod nginx-isolated-test01只能請求default和kube-system這些非隔離命名空間中的service，而無法請求隔離命名空間中的service，即便該service在自己所在的命名空間。