12、Kubernetes网络、安全、监控与日志管理全解析

Kubernetes网络、安全、监控与日志管理全解析

1. 网络与服务通信

在Kubernetes中，服务将集群IP暴露给外部流量。以目标 KUBE - SVC - 37ROJ3MK6RKFMQ2B 为例，它与两个自定义链 KUBE - SEP - SVVBOHTYP7PAP3J5 和 KUBE - SEP - AYS7I6ZPYFC6YNNF 相连，统计模式随机概率为0.5。这意味着 iptables 会生成一个随机数，并根据0.5的概率分布调整到目标地址。这两个自定义链的 DNAT 目标设置为相应的Pod IP， DNAT 负责更改数据包的目标IP地址。默认情况下， conntrack 会在流量进入时跟踪连接的目标和源，从而实现路由行为。当流量到达服务时， iptables 会随机选择一个Pod进行路由，将目标IP从服务IP修改为实际的Pod IP，然后再进行反向 DNAT 返回。

1.1 外部到服务的通信

Kubernetes提供了两种API对象来处理外部流量：
- Service ：外部网络 LoadBalancer 或 NodePort （L4）
- Ingress ：HTTP(S) LoadBalancer （L7）