Cilium 官方文档翻译（7） IPAM Kubernetes Host模式

最新推荐文章于 2025-05-09 10:48:19 发布
翻译 最新推荐文章于 2025-05-09 10:48:19 发布 · 403 阅读 · 0 ·
CC 4.0 BY-SA版权
原文链接：https://docs.cilium.io/en/stable/concepts/networking/ipam/kubernetes/
文章标签：

#kubernetes #容器 #网络 #云原生 #系统架构

本文介绍ciliumIPAM如何通过kuberneteshost-scope模式与Kubernetes集成，详细解释了通过v1.Node对象及注释配置IP地址的过程，并提供了ConfigMap与Helm配置方法。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

1. Kubernetes Host Scope

cilium IPAM的kubernetes host-scope模式通过选项ipam: kubernetes开启，将集群IP地址分配委托给每个独立的节点，并在每个kubernetes node的podCIDR范围内分配IP地址。
image.png

这种模式下，cilium agent会等待kubernetes的v1.Node对象通过以下任意一种办法告知podCIDR的地址族范围后后再完成启动：

1. 通过 v1.Node的资源域

域描述
spec.podCIDRsIPv4 and/or IPv6 PodCIDR 范围
spec.podCIDRIPv4 or IPv6 PodCIDR 范围

**kube-controler-manager 的 **--allocate-node-cidrs选项用于告诉kubernetes 为PodCIDR准备的地址范围。

2. 通过v1.Nodeannotation

Annotation描述
io.cilium.network.ipv4-pod-cidrIPv4 PodCIDR 范围
io.cilium.network.ipv6-pod-cidrIPv6 PodCIDR 范围
io.cilium.network.ipv4-cilium-hostIPv4 address of the cilium host interface
io.cilium.network.ipv6-cilium-hostIPv6 address of the cilium host interface
io.cilium.network.ipv4-health-ipIPv4 address of the cilium-health endpoint
io.cilium.network.ipv6-health-ipIPv6 address of the cilium-health endpoint

基于注释的机制主要与不支持spec.podCIDRs但支持IPv4和IPv6的旧版本Kubernetes结合使用。

配置

下面两种方式用于配置kubernetes host-scope 模式IPAM。

1. ConfigMap

  • ipam: kubernetes：启用 kubernetes host-scope 模式IPAM。开启模式时如果配置了enable-ipv4: true选项会自动启用k8s-require-ipv4-pod-cidr；如果配置了enable-ipv6则会自动启用 k8s-require-ipv6-pod-cidr。
  • k8s-require-ipv4-pod-cidr: true: 通知cilium agent等待，直到v1.Node资源的IPV4 PodCIDR 可用。
  • k8s-require-ipv6-pod-cidr: true: 通知cilium agent等待，直到v1.Node资源的IPV6 PodCIDR 可用。

2. Helm

在helm中可使用下面的选项来实现ConfigMap的能力：

  • ipam: kubernetes: --set ipam.mode=kubernetes.
  • k8s-require-ipv4-pod-cidr: true: --set k8s.requireIPv4PodCIDR=true, 需要和 --set ipam.mode=kubernetes选项配合使用。
  • k8s-require-ipv6-pod-cidr: true: --set k8s.requireIPv6PodCIDR=true, 需要和 --set ipam.mode=kubernetes选项配合使用。
Cilium动手实验室: 精通之旅---17.Cilium IPAM
Q先生
06-10 914
LAB访问地址我们将使用 Kind 来设置我们的 Kubernetes 集群，并在该 Cilium 之上。该集群包含 3 个节点，包括 1 个 control plane 和 2 个 worker。由于 Cilium 和其他 CNI 都尚未安装，因此它们都处于NotReady状态。Cilium 实现了 CNI 规范，为 Kubernetes 提供网络。在 Kubernetes 中添加新的 Pod 时，首先通过 Kubernetes Scheduler 将其分配给节点。
Cilium 官方文档翻译（6） IPAM Cluster scope模式
煮酒论架构
11-20 760
Cluster Pool模式是cilium默认的IPAM模式，它为每个node分配PodCIDRs，并为每个节点提供host-scope级的分配器。这与 Kubernetes Host Scope 模式非常像，不同之处在于cilium operator会通过资源管理每个node的PodCIDRs，而Kubernetes Host Scope 模式是通过kubernetes的v1.Node来为每个node分配PodCIDRs。
cilium系列之四：使用阿里云vpc作为ipam
李炜伦的博客
07-02 701
昨天试了一下cilium使用阿里云的vpc网络作为ipam，但是估计beta版ipam资源还没zhub
cilium路由模式和aws-eni模式下的IPAM
zhaojiew的学习笔记
05-09 1424
来看Cilium路由的几种核心模式。
cilium ipam机制源码分析
fengcai_ke的博客
04-16 783
cilium作为k8s cni插件，提供了ipam的机制，可用来给pod分配ip地址，具体配置可参考，其中Kubernetes Host Scope表示每个node的cidr由k8s来分配，node上每个pod的ip由cilium-agent来分配；Cluster Scope为默认的ipam方式，每个node的cidr由cilium-operator来分配，并更新到ciliumnode crd中，node上每个pod的ip仍然由cilium-agent来分配，其他几种模式为云厂商提供的。
Cilium 官方文档翻译（9） 替换kube-proxy
煮酒论架构
11-21 1843
本指南解释了如何在没有kube-proxy的情况下配置Kubernetes集群，以及如何使用Cilium完全替换它。cilium 使用 eBPF 实现了内核态高性能的负载均衡，并通过BPF Maps开放控制面的服务发现
kubernetes 使用cilium 网络插件 替换kube-proxy
02-10
在Kubernetes环境中，传统的服务发现和网络代理方案是通过kube-proxy来实现的，它提供了iptables、ipvs等不同的工作模式。然而，随着云原生应用的发展，对网络性能、安全性和可观测性的需求日益增强，这催生了Cilium...
cilium host-routing模式流程分析
fengcai_ke的博客
08-12 943
本文分析cilium host routing模式下的报文路径和涉及到的ebpf源码分析。
云原生 | 在 Kubernetes 中使用 Cilium 替代 Calico 网络插件实践指南!
WeiyiGeek 唯一极客IT知识分享
09-03 2427
Cilium 是一款开源软件，它基于一种名为eBPF的新的Linux内核技术提供动力，用于透明地保护使用 Docker 和 Kubernetes 等Linux 容器管理平台中部署的应用程序服务之间的网络连接，Cilium 主要使用场景是在 Kubernetes 中，但 Cilium 的优势并不仅限于 Kubernetes 环境。在 Kubernetes 环境中，Cilium 可充当网络插件，提供 pod 之间的连接。
使用 Cilium 增强 Kubernetes 网络安全
2401_88750910的博客
12-02 1109
Cilium是一个开源软件，用于提供、保护和观察容器工作负载（云原生）之间的网络连接，由革命性的内核技术eBPF推动。eBPF 是什么？Linux 内核一直是实现监控/可观测性、网络和安全功能的理想地方。不过很多情况下这并非易事，因为这些工作需要修改内核源码或加载内核模块， 最终实现形式是在已有的层层抽象之上叠加新的抽象。eBPF 是一项革命性技术，它能在内核中运行沙箱程序（sandbox programs）， 而无需修改内核源码或者加载内核模块。
kube-ipam配置和使用说明
任我行的博客
03-08 716
一些场景往往对IP地址有依赖，需要使用固定IP地址的Pod，可以使用kube-ipam轻松解决这类问题。例如，mysql主从架构的时候，主database与从database之间的同步；例如keepalived做集群HA的时候，两个节点之间检测通信等；例如某些安全防护设备，需要基于IP地址进行网络安全访问策略限制的场景等。
【博客438】Kubernetes IPAM分配IP原理
qq_43684922的博客
08-05 2692
IPAM是k8s cni插件中负责分配ip的一类插件，其实现有dhcp，host-local等。
【转载】Kubernetes IPAM分配IP原理 host-local
叮当猫的喵i
12-01 1176
假设有一个pod用了10.244.1.1，然后这个pod被删除了，然后CNI插件释放这个ip，docker释放这个容器，但是有可能docker还没完全释放这个容器的时候，CNI先完成了ip的释放并且这时候又有新的pod创建出来，那么新的pod可能用了10.244.1.1这个ip，但是旧的正在被释放容器也在用这个ip，就可能出现冲突和数据混乱。1、kubernetes会针对每个node去标示一个名为PodCIDR的值，代表该Node可以使用的网段是什么，且分配的时候保证为每个pod分配不同的段。
Cilium 官方文档翻译（8） IPAM CRD backed模式
煮酒论架构
11-20 411
CilumNode自定义资源以标准Kubernetes资源为模型，并分为spec和status。各个云厂商利用这个对象完成了Cilium和云厂商API之间的对接
基于Multus与Kube-ipam实现Web和数据库分层网络安全访问
weixin_52990636的博客
12-16 682
在互联网飞速发展的今天，网络已经成为人们日常生活和企业生产经营所不可或缺的一部分。尤其是在新冠疫情的背景之下，疫情防控、远程教育、视频会议、在线订购等网络应用越来越广泛。网络给我们带来便利的同时，各种安全威胁也在十面埋伏。 [1] 网络分层治理概述 对于企业而言，需要建立好内外部的网络防御体系，防止因某个部分的侵入而导致整个系统的崩溃。基于网络系统之间逻辑关联性、物理位置、功能特性等划分好安全层次和网络区域，在网络中部署安全产品与策略时就可以做到有的放矢。 通常我们采用层次分析法，..
cilium初探（一）
long75719507的专栏
12-04 7135
一、什么是cilium cilium是一个具备API感知的网络和安全的开源软件，用于透明保护使用Docker和Kubernetes等Linux容器管理平台部署的应用程序服务之间的网络连接。Cilium的基础是一种称为BPF的新Linux内核技术，该技术可在Linux自身内部动态插入强大的安全可见性和控制逻辑。由于BPF在Linux内核中运行，因此可以应用和更新Cilium安全策略，而无需...
国内环境下ubuntu22.04+kubeadm搭建v1.27.2多节点k8s集群
06-15 6725
ubuntu 22.04 上使用最新版本的kubeadm 搭建最新版本v1.27.2的k8s集群环境。
Cilium & Hubble
喝醉酒的小白
07-17 2092
Cilium在第3/4层运行，以提供传统的网络和安全服务，还在第7层运行，以保护现代应用协议（如HTTP,gRPC和Kafka）的使用。Hubble是建立在Cilium和eBPF之上，以一种完全透明的方式，提供网络基础设施通信以及应用行为的深度可视化，是一个应用于云原生工作负载，完全分布式的网络和安全可观察性平台。Cilium是一个用于容器网络领域的开源项目，主要是面向容器而使用，用于提供并透明地保护应用程序工作负载（如应用程序容器或进程）之间的网络连接和负载均衡。.........
multus如何配置
最新发布
07-12
<think>首先，用户的问题是：“我想配置Multus的方法 请问Multus 配置指南”。这翻译成英文是“I want to configure Multus, please provide Multus configuration guide”。所以，我需要提供一个关于如何配置Multus CNI插件的指南。 系统级指令要求： - 所有行内数学表达式使用$...$格式。 - 独立公式使用$$...$$格式并单独成段。 - LaTeX语法正确。 - 使用中文回答。 - 生成相关问题。 - 回答中引用的段落末尾自然地添加引用标识，例如[^1]。 - 回答结构清晰，帮助用户逐步解决问题，保证回答真实可靠。 - 参考站内引用：用户提供了几个引用，我需要引用它们。 提供的引用： - [^1]: 关于Multus CNI安装与配置，包括部署步骤、CNI配置整合等。 - [^2]: 安装默认CNI插件和Multus的快速启动。 - [^3]: Multus作为元插件，支持多个CNI插件。 - [^4]: 关于选择网络解决方案的重要性。 - [^5]: 基准测试和CNI插件性能。 用户的问题是关于配置Multus的指南，所以我应该专注于引用[^1]、[^2]、[^3]，因为它们直接相关。 回答结构： - 结构清晰：逐步解释如何配置Multus。 - 使用中文。 - 在适当的地方添加引用。 - 最后生成相关问题。 配置Multus的关键步骤（基于引用）： 1. **前提条件**：安装默认CNI插件（如Flannel、Calico）来提供Pod之间的基本网络[^2]。 2. **安装Multus**：通过DaemonSet部署Multus。使用提供的YAML文件[^2]。 3. **配置Multus**：设置主CNI配置文件（如00-multus.conf），并确保它指向Multus插件[^1]。 4. **配置NetworkAttachmentDefinitions (NADs)**：定义额外的网络接口[^1]。 5. **验证配置**：确保Multus可以访问Kubernetes API[^1]。 用户提到“配置指南”，所以我会提供步骤。 在回答中，我需要自然地添加引用。例如： - "在部署Multus时，需要先安装一个默认的CNI插件[^2]。" - "主CNI配置通常命名为00-multus.conf[^1]。" 生成相关问题：在回答结束时，添加“§§相关问题§§”部分，列出2-3个相关问题。 确保没有数学表达式，因为用户的问题是关于网络配置的，不涉及数学。但如果需要，我可以添加一些简单的例子，但最好避免不必要的LaTeX。 完整回答结构： 1. **引言**：简要介绍Multus。 2. **前提条件**。 3. **安装步骤**。 4. **配置细节**。 5. **验证**。 6. **相关问题**。</think>### Multus CNI 配置指南 Multus CNI 是一个 Kubernetes 的元插件，允许 Pod 拥有多个网络接口，支持 Flannel、Calico、Cilium 等多种 CNI 插件[^3]。配置 Multus 需要逐步完成以下步骤，确保集群网络功能正常。本指南基于官方文档和最佳实践，帮助你高效部署。注意：配置前备份集群数据，以防意外中断。 #### 1. **前提条件** - **安装默认 CNI 插件**：Multus 本身不提供基础网络，你需要先安装一个默认 CNI 插件（如 Flannel 或 Calico）来处理 Pod 之间的基本通信。这避免集群网络中断[^2]。 - 示例：使用 Flannel 安装： ```bash kubectl apply -f https://raw.githubusercontent.com/coreos/flannel/master/Documentation/kube-flannel.yml ``` - 验证：运行 `kubectl get pods -n kube-system` 检查默认 CNI 插件是否正常运行。 - **确保 Kubernetes 集群健康**：节点状态应为 Ready，API 服务器可访问。避免在维护时段操作，以减少服务停机风险[^4]。 #### 2. **安装 Multus** Multus 通常通过 DaemonSet 部署到所有节点，确保每节点都有 Multus 代理。 - **下载并应用部署 YAML**：使用官方提供的 DaemonSet 文件快速安装。 - 示例命令： ```bash kubectl apply -f https://raw.githubusercontent.com/k8snetworkplumbingwg/multus-cni/master/deployments/multus-daemonset-thick.yml ``` 此命令会创建 DaemonSet，自动部署 Multus 到集群[^2][^3]。 - **验证安装**：检查 DaemonSet 状态： ```bash kubectl get daemonset -n kube-system | grep multus ``` 输出应显示所有节点上都有 Running Pod。 #### 3. **配置 Multus** 核心是设置 Multus 的主配置文件，并定义额外网络接口（通过 NetworkAttachmentDefinitions）。 - **创建主 CNI 配置文件**：Multus 需要在每个节点的 `/etc/cni/net.d` 目录下生成配置文件（如 `00-multus.conf`）。此文件指向 Multus 插件路径。 - 示例配置文件内容（手动创建或自动生成）： ```json { "name": "multus-cni-network", "type": "multus", "kubeconfig": "/etc/cni/net.d/multus.d/multus.kubeconfig", "delegates": [ { "name": "default-network", "cniVersion": "0.3.1", "plugins": [ { "type": "flannel", // 替换为你的默认 CNI 类型，如 calico 或 weave "delegate": { "isDefaultGateway": true } } ] } ] } ``` 此配置指定 Multus 作为主插件，并委托默认 CNI 处理基础网络[^1][^3]。 - **放置配置文件**：登录到每个节点，将文件保存为 `/etc/cni/net.d/00-multus.conf`。或使用 Kubernetes ConfigMap 自动分发。 - **配置 Kubernetes API 访问**：Multus 需要访问 API 服务器以管理 NetworkAttachmentDefinitions (NADs)。 - 创建 API 凭据文件： ```bash kubectl create serviceaccount multus -n kube-system kubectl create clusterrolebinding multus-binding --clusterrole=cluster-admin --serviceaccount=kube-system:multus ``` - 生成 kubeconfig 文件并放置到 `/etc/cni/net.d/multus.d/multus.kubeconfig`（DaemonSet 通常自动处理此步骤）[^1]。 - **定义额外网络接口 (NADs)**：创建 NetworkAttachmentDefinitions 资源，为 Pod 添加多网络支持。 - 示例 YAML（保存为 `extra-network.yaml`）： ```yaml apiVersion: k8s.cni.cncf.io/v1 kind: NetworkAttachmentDefinition metadata: name: macvlan-network namespace: default spec: config: '{ "cniVersion": "0.3.1", "type": "macvlan", "master": "eth0", "mode": "bridge", "ipam": { "type": "host-local", "subnet": "192.168.1.0/24", "rangeStart": "192.168.1.100", "rangeEnd": "192.168.1.200" } }' ``` 应用此配置： ```bash kubectl apply -f extra-network.yaml ``` 这定义了一个基于 macvlan 的额外网络，Pod 可以通过注解引用它[^1][^3]。 #### 4. **验证配置** - **测试多网络 Pod**：创建一个 Pod 使用额外网络。 - 示例 Pod YAML： ```yaml apiVersion: v1 kind: Pod metadata: name: test-pod annotations: k8s.v1.cni.cncf.io/networks: macvlan-network // 引用 NAD spec: containers: - name: test-container image: nginx ``` 应用后，检查 Pod 网络接口： ```bash kubectl exec test-pod -- ip a ``` 输出应显示多个接口（如 eth0 和 net1）。 - **检查日志**：查看 Multus Pod 日志： ```bash kubectl logs -l app=multus -n kube-system ``` 确保无错误，如 API 访问问题或配置错误。 - **性能考虑**：基准测试显示，CNI 插件性能受配置影响，建议微调网络参数（如 MTU 或 IPAM 范围）以优化延迟和吞吐量[^5]。 #### 常见问题解决 - **配置错误**：如果 Pod 无法启动，检查 `/etc/cni/net.d/` 下的配置文件语法（使用 `jq` 验证 JSON）。 - **API 访问失败**：确保 ServiceAccount 权限正确，kubeconfig 文件路径无误[^1]。 - **网络冲突**：避免子网重叠，使用工具如 `ipcalc` 验证 IP 范围。 通过以上步骤，你已成功配置 Multus，实现 Pod 多网络功能。如果需要更详细示例，参考 [Multus 官方 GitHub 仓库](https://github.com/k8snetworkplumbingwg/multus-cni)。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值