Platform 4.6 中，OpenShift SDN 支 持在默认的网络隔离模式中使用网络策略。 注意 注意 在使用 OpenShift SDN 集群网络供应商时，网络策略会有以下限制： 不支持由 egress 字段指定的出口网络策略。 网络策略支持 IPBlock，但不支持 except。如果创建的策略带有一个有 except 的 IPBlock 项，SDN pod 的日志中会出现警告，策略中的整个 To Port: (traffic allowed to all ports) From: PodSelector: Not affecting egress traffic Policy Types: Ingress kind: NetworkPolicy apiVersion: networking.k8s.io/v1 metadata: ports) From: NamespaceSelector: network.openshift.io/policy-group: ingress Not affecting egress traffic Policy Types: Ingress Name: allow-from-openshift-monitoring OpenShift Container

Kubernetes 服务发现。 部署 部署 维护应用程序生命周期的 Kubernetes 资源对象。 domain Domain（域）是 Ingress Controller 提供的 DNS 名称。 egress 通过来自 pod 的网络出站流量进行外部数据共享的过程。 外部 外部 DNS Operator External DNS Operator 部署并管理 ExternalDNS，以便为从外部 Platform 4.9 中，OpenShift SDN 支 持在默认的网络隔离模式中使用网络策略。 注意 注意 在使用 OpenShift SDN 集群网络供应商时，网络策略会有以下限制： 不支持由 egress 字段指定的网络策略出口。在 OpenShift SDN 中，出口防火墙 也称为出口网络策略。这和网络策略出口不同。 网络策略支持 IPBlock，但不支持 except。如果创建的策略带有一个有 - Ingress - Egress --- apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: allow-from-same-namespace spec: podSelector: {} policyTypes: - Ingress - Egress ingress:

Kubernetes 服务发现。 部署 部署 维护应用程序生命周期的 Kubernetes 资源对象。 domain Domain（域）是 Ingress Controller 提供的 DNS 名称。 egress 通过来自 pod 的网络出站流量进行外部数据共享的过程。 外部 外部 DNS Operator External DNS Operator 部署并管理 ExternalDNS，以便为从外部 ingress 或 egress 规则的一 个网络策略比带有 ingress 或 egress 子集的多个网络策略更高效。 每个基于 podSelector 或 namespaceSelector spec 的 ingress 或 egress 规则会生成一个的 OVS 流数量，它与由网 由网络 络策略 策略选择 选择的 的 pod 数量 数量 + 由 由 ingress 或 或 egress 选择 选择的 网 网络 络策略 策略 209 以下策略表示这两个规则与以下相同的规则： 相同的指南信息适用于 spec.podSelector spec。如果不同的网络策略有相同的 ingress 或 egress 规则，则创建一个带有通用的 spec.podSelector spec 可能更有效率。例如，以下两个 策略有不同的规则： 以下网络策略将这两个相同的规则作为一个： apiVersion: networking

nat PREROUTING tc ingress conntrack filter FORWARD mangle POSTROUING nat POSTROUING tc egress veth pod 2 veth process kernel < 5.10 tailCall-> to-container: kernel network stack tc ingress kernel network stack netfilter tc egress veth veth eth0 tc ingress tc egress redirect_peer redirect_neigh kernel network stack netfilter pod2 kernel network stack tc ingress kernel network stack netfilter tc egress veth veth eth0 tc ingress tc egress redirect_peer redirect_neigh kernel network stack netfilter 加速东西向 nodePort

into eBPF assembly code • Inject to kernel • Attach to network tc hooks • Triggered by ingress/egress packets IPVS bypass conntrack • Why IPVS depends on conntrack? • Iptables/conntrack SNAT • NULL during PREROUTING • No de-fragment is done during PREROUTING IPVS bypass conntrack (con.) • Egress • Original way • Nf local-out -> ip_output nf post-route -> ip_finish_output • The new way • • eBPF program is easy to deploy • How to do SNAT in eBPF • Do SNAT in TC egress • Do reverse SNAT in TC ingress Tc egress Hit eBPF map? Does SNAT nic nic Y N • How IPVS talks with eBPF program

TP TP Operator Lifecycle Manager TP GA Red Hat OpenShift Service Mesh TP TP "Fully Automatic" Egress IPs GA GA Pod Priority and Preemption GA GA Dockerfiles 的 Multi-stage build TP GA OVN TP 基于 openshift4/ose-docker-builder openshift4/ose-docker-registry openshift4/ose-egress-dns-proxy openshift4/ose-egress-http-proxy openshift4/ose-egress-router openshift4/ose-elasticsearch-operator openshift4/ose-etcd

(Service) POD Workload (Service) VM Workload (Service) VM Workload (Service) VM API Gateway Ingress & Egress Mesh can include VMs ● Multi tenancy ● Traffic shaping and canary controls, across clusters ● High availability reporting ● Service discovery across multiple clusters ● Fine-grained ingress & egress controls ● API GW is part of the mesh ● Workflows for collaborative agility More About Multi (Service) POD Workload (Service) VM Workload (Service) VM Workload (Service) VM API Gateway Ingress & Egress Mesh include VMs Before using service mesh: 100+ Kubernetes cluster ● VM integration ● On-prem,

网络的接口名称，如果不指定，根据主机路由进行猜测； --lo_name=VALUE loopback 网卡名称； --egress_rate_limit_per_container=VALUE 每个容器的输出流量限制速率限制（采用 fq_codel 算法来限速），单位是字节每秒； --[no-]-egress_unique_flow_per_container 是否把不同容器的流量当作彼此不同的流， 避免彼此影响（默认为 ephemeral_ports:[32768-57344] \ --ephemeral_ports_per_container=512 \ --egress_rate_limit_per_container=50000KB \ --egress_unique_flow_per_container 为了避免主机分配的临时端口跟我们指定的临时端口范围冲突，需要在主机节点上进行配 置。 $ echo

Ingress、集群出口网关 Egress 以及核心 控制面 Istiod。各个组件的功能如下：  代理服务 Proxy 采用的 Lyft 公司开源的高性能 C++ 网络代理 Envoy，拦截业务的所有出入流 量。  入口网关 Ingress，作为集群的访问入口，控制着集群内部服务如何安全的暴露出去，并对所有 入口流量进行统⼀控制和观测。  出口网关 Egress，作为集群的访问出口，控 Egress，作为集群的访问出口，控制着集群内部服务如何安全的访问外部服务。  核心控制面 Istio 负责对所有数据面的代理服务 （包括 Ingress、Egress 网关）下发服务发现 信息，流量治理配置，以及用于服务之间进行双向认证的 TLS 证书。 可以看出 Istiod 是微服务领域的集大成者，覆盖了服务发现、服务治理、认证鉴权和可观测，以无 侵入的方式为微服务体系架构的业务提出了云原生时代下新的解决方案。 Nacos

控制面下发流量规则： Pilot • 数据面标准协议：xDS • 集群内Pod流量出入： Sidecar Proxy • 集群外部流量入口：Ingress Gateway • 集群外部流量出口：Egress Gateway（可选,在一个集中点对外部访问进行控制） • Service discovery • Load balancing • Time out • Retries • Circuit