Docker容器及kubernetes网络

        本文讲述下docker容器以及k8s部署环境下，与网络相关的知识。读者需要对tcp/ip网络，交换/路由，网络虚拟化以及容器技术需要有一定的基础。

 

1. 浅谈容器网络

        容器container，就是一个被隔离的环境（Namespace）下，同时限制了访问权限（Cgroup）的进程运行时，它配置了属于自己的网卡，网络栈，就像物理机一样，可以访问外部网络，同时外部网络也可以访问容器，容器间也可以互相访问。

1.1 容器怎么访问外部网络

        配置了网卡的物理主机，网卡+tcp/ip协议栈就可以访问网络了。网卡完成物理层和链接层的收发，ip路由，tcp负载传输。主机与主机通信，主机访问互联网，用网线或者光纤连接主机到交换机，或者两台主机网线直连，主机配置IP地址，互相间就可以通信了，中间的网络，可能是二层，也可能是三层的。

 

                                                           Figure -- 1

        如图Figure -- 1所示，正是veth pair这个设备，把容器“连接”到主机，然后通过主机的路由转发，虚拟网桥桥接，Vxlan包封装这些种种技术，容器的packet最终通过物理主机的物理网卡发送或者接收。

        这里用到的一种名叫Veth Pair的虚拟设备，它的特点是：它被创建后，总是以两张网卡（Veth Peer）的形式成对出现，并且，从其中一个“网卡”发出的数据包，可以直接出现在与它对应的另一张“网卡”上，哪怕这两个“网卡”在不同的Network Namespace里。

        容器有自己的Network Namespace，TCP/IP网络栈，报文发送至Veth Pair在容器侧的虚拟设备，虚拟Veth设备发送报文，这个过程就是前端（front-end）的处理。报文到达宿主机后，在宿主机的Network Namespace，TCP/IP网络栈，路由、封装、转发，报文最后通过物理网卡发送出去，这个过程就是后端（back-end）的处理。

思考：

1. Veth（virtual ethernet）是以太链路层设备，承载转发的是二层mac帧，容器发出的帧到达主机侧后，怎么到达bridge，路由是三层报文转发，怎么处理二层mac帧？
2. 除了veth pair方式外，容器还可能有别的方式访问外部网络吗？哪种方式性能会好些？
3. 容器对比物理主机，网络性能损耗在哪里？路由、封装、转发，还有哪些处理？

1.2 容器网络模