MicroK8s网络策略调试：流量可视化与策略验证-优快云博客

MicroK8s网络策略调试：流量可视化与策略验证

【免费下载链接】microk8s MicroK8s is a small, fast, single-package Kubernetes for datacenters and the edge. 项目地址: https://gitcode.com/gh_mirrors/mi/microk8s

你是否曾在配置Kubernetes网络策略后，面对Pod间无法通信却找不到问题根源的困境？本文将通过MicroK8s环境下的Calico网络插件，从流量可视化到策略验证，提供一套完整的网络策略调试方案，帮助你快速定位并解决网络问题。读完本文，你将掌握网络策略配置验证、实时流量监控和故障排查的实用技巧。

网络策略调试环境准备

在开始调试前，需确保MicroK8s已启用Calico网络插件。Calico是MicroK8s默认的网络策略执行引擎，提供了丰富的流量控制和可视化能力。通过以下命令检查Calico是否正常运行：

microk8s kubectl get pods -n kube-system | grep calico

若Calico未启用，可通过MicroK8s的addons功能一键启用：

microk8s enable calico

Calico的核心配置文件位于upgrade-scripts/000-switch-to-calico/resources/calico.yaml，其中定义了网络插件的基本参数，如MTU设置、后端模式（VXLAN或BGP）等。默认配置采用VXLAN模式，适用于大多数环境：

# calico.yaml 片段
data:
  calico_backend: "vxlan"
  veth_mtu: "0"  # 自动检测MTU
  cni_network_config: |-
    {
      "name": "k8s-pod-network",
      "cniVersion": "0.3.1",
      "plugins": [
        {
          "type": "calico",
          "log_level": "info",
          "datastore_type": "kubernetes",
          "ipam": {
              "type": "calico-ipam"
          },
          "policy": {
              "type": "k8s"  # 使用Kubernetes NetworkPolicy API
          }
        }
      ]
    }

网络策略可视化工具链

Calicoctl命令行工具

Calico提供了专用的命令行工具calicoctl，可直接查看和调试网络策略。通过以下步骤在MicroK8s中启用calicoctl：

# 安装calicoctl
microk8s kubectl apply -f https://docs.projectcalico.org/v3.23/manifests/calicoctl.yaml

# 配置别名
alias calicoctl="microk8s kubectl exec -i -n kube-system calicoctl -- /calicoctl"

# 验证安装
calicoctl get profiles

流量可视化仪表盘

Calico Enterprise提供了内置的流量可视化功能，社区版用户可通过Prometheus+Grafana组合实现类似能力。MicroK8s已集成Prometheus和Grafana插件，启用命令如下：

microk8s enable prometheus grafana

启用后，通过microk8s dashboard-proxy访问Grafana，导入Calico提供的流量监控仪表盘模板，即可实时查看Pod间流量分布和策略执行情况。

网络策略验证实战

基础策略配置示例

创建一个简单的网络策略，仅允许来自frontend命名空间的Pod访问backend服务：

# backend-policy.yaml
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: backend-policy
  namespace: default
spec:
  podSelector:
    matchLabels:
      app: backend
  policyTypes:
  - Ingress
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          name: frontend
    ports:
    - protocol: TCP
      port: 8080

应用策略后，使用calicoctl验证策略状态：

calicoctl get networkpolicy backend-policy -o yaml

流量拦截测试

使用busybox测试策略是否生效：

# 在default命名空间创建测试Pod
microk8s kubectl run test --image=busybox --rm -it -- sh

# 尝试访问backend服务（应被阻止）
wget --timeout=5 backend:8080

# 在frontend命名空间创建测试Pod
microk8s kubectl run test --namespace=frontend --image=busybox --rm -it -- sh

# 再次尝试访问（应允许）
wget --timeout=5 backend:8080

高级调试技巧

查看策略执行日志

Calico的日志位于/var/snap/microk8s/common/var/log/calico/cni/cni.log，可通过以下命令查看：

microk8s kubectl exec -n kube-system -it $(microk8s kubectl get pods -n kube-system -l k8s-app=calico-node -o jsonpath='{.items[0].metadata.name}') -- tail -f /var/log/calico/cni/cni.log

使用calicoctl trace追踪流量

calicoctl提供了流量追踪功能，可精确显示策略如何处理特定流量：

calicoctl trace --src-ip 10.1.2.3 --dst-ip 10.1.3.4 --protocol tcp --dst-port 8080

常见问题解决方案

策略不生效问题排查

检查命名空间标签：确保namespaceSelector正确匹配目标命名空间标签

microk8s kubectl get namespaces --show-labels

验证Pod标签匹配：确认podSelector与目标Pod标签一致

microk8s kubectl get pods --show-labels

检查默认拒绝策略：若存在更严格的默认拒绝策略，可能会覆盖当前策略

流量可视化无数据问题

检查Prometheus采集配置：确保calico-node的metrics已被正确采集，配置文件位于microk8s-resources/default-args/prometheus.yml
验证Calico监控端口：确认calico-node的9091端口已开放

microk8s kubectl exec -n kube-system -it <calico-node-pod> -- netstat -tulpn | grep 9091

总结与最佳实践

网络策略调试是Kubernetes管理中的关键技能，通过本文介绍的工具和方法，你可以：

使用calicoctl快速验证策略配置
通过Grafana可视化实时监控网络流量
利用流量追踪工具定位策略拦截原因

建议在生产环境中实施以下最佳实践：

采用"默认拒绝"原则，仅开放必要端口
为所有策略添加明确的标签和注释
定期审计网络策略，移除不再使用的规则
结合服务网格（如Istio）实现更细粒度的流量控制

通过这些工具和实践，你可以构建一个安全、可观测的MicroK8s网络环境，有效解决网络策略配置中的各类问题。

官方文档：docs/community.md 网络配置源码：microk8s-resources/default-args/cni-network/ 项目教程：README.md

【免费下载链接】microk8s MicroK8s is a small, fast, single-package Kubernetes for datacenters and the edge. 项目地址: https://gitcode.com/gh_mirrors/mi/microk8s

创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考