mr1jie的博客

这样通常有一个问题，即 pod 收到的报文源 IP 不是真正的 clientIP，这通常对一些需要通过访问者 IP 有需求的应用有一定的影响；当通过 nodePort 或 ExternalIP 访问集群服务时，如果 后端 pod 不在访问的 节点，那么通常会 snat 成 访问节点默认路由网卡的 ip，然后转发到 pod 所在节点；如下图所示，在 pod1 访问 services 时，通过查看目的 ip，发现是 service 后，直接选择一个 backend，实际上省略了 dnat 流程。

根据路由 10.0.0.0/24 via 10.0.0.161 dev cilium_host src 10.0.0.161 ，到 本地 pod 的流量会命中 cilium_host egress hook，即。收包后本地处理回包，根据路由 10.0.0.0/24 via 172.18.22.111 dev ens3，通过 ens3 网络通信，pod 所在节点 ens3 ingress。在 lookup_ip4_remote_endpoint 时，获取到对面 pod 的 ip。

环境：fedora37，kernel：6.0.7-301.fc37.x86_64，cilium 版本 v1.13.0传统的基于二层转发或三层路由的方式，数据包转发的路径是比较清晰，可以利用一些抓包工具直观的分析报文的走向，但在基于 ebpf 的 cilium 场景下，用传统的分析工具就没那么清晰了。下面通过 ebpf 代码和对应接口的挂载点就行数据包的分析。先进到 pod1 里查看 netns 网络环境。

cilium ipvlan

cilium 介绍使用

Calico felix

calico ebpf

calico bgp

calico ipip

calico

calico

flannel udp alloc

Flannel vxlan

Flannel host-gw

Kubernetes NetworkPolicy

CNI flannel 原理与介绍

CNI 网络