22、OpenShift网络与安全配置全解析

OpenShift网络与安全配置全解析

1. OpenShift网络配置

1.1 ovs - subnet插件

ovs - subnet插件为所有项目中的所有Pod配置了扁平网络拓扑，使得任意已部署的应用程序之间都能进行通信。使用该插件时，OpenShift集群如同单租户部署，所有资源相互可访问。不过，如果需要分离多个租户的网络流量，就可以使用ovs - multitenant插件。

1.2 ovs - multitenant插件

1.2.1 流量隔离原理

ovs - multitenant网络插件在项目级别隔离Pod通信。每个应用部署的Pod只能与同一项目中的Pod和服务在Pod网络上进行通信。例如，image - uploader项目中的app - gui和app - cli Pod可以直接通信，但它们与stateful - apps项目中的wildfly - app应用是隔离的。

这种隔离依赖于Open vSwitch中的两个主要工具：
- VXLAN网络标识符（VNID） ：类似于传统网络中的VLAN，是一个唯一标识符，可与接口关联，用于将通信隔离到具有相同VNID的接口。
- OpenFlow ：一种通信协议，用于在网络基础设施中映射网络流量。在OpenShift中，OpenFlow用于定义哪些接口可以通信，以及何时通过每个节点上的vxlan0和tun0接口路由流量。

当启用ovs - multitenant插件时，每个项目会被分配一个VNID，该VNID存储在OpenShift主节点