Kubernetes对集群内部的网络进行了从头抽象，以实现整个集群网络扁平化。我们可以理解网络模型时，可以完全抽离物理节点去理解，我们用图措辞，先有根基印象。

名词解释

1、网络的定名空间：Linux在网络栈中引入网络定名空间，将独立的网络协议栈断绝到差此外命令空间中，相互间无法通信;docker操作这一特性，实现不容器间的网络断绝。

2、Veth设备对：也叫虚拟网络接口对。Veth设备对的引入是为了实此刻差别网络定名空间的通信。

3、Iptables/Netfilter：Netfilter卖力在内核中执行各类挂接的法则(过滤、改削、抛弃等)，运行在内核 模式中;Iptables模式是在用户模式下运行的进程，卖力协助维护内核中Netfilter的各类法则表;通过二者的共同来实现整个Linux网络协议栈中灵活的数据包措置惩罚惩罚机制。

4、网桥：网桥是一个二层网络设备,通过网桥可以将linux撑持的差此外端口连接起来,并实现类似交换机那样的多对多的通信。

5、路由：Linux系统包罗一个完整的路由成果，当IP层在措置惩罚惩罚数据发送或转发的时候，会使用路由表来决定发往哪里。

令人头大的网络模型

Kubernetes对集群内部的网络进行了从头抽象，以实现整个集群网络扁平化。我们可以理解网络模型时，可以完全抽离物理节点去理解，我们用图措辞，先有根基印象。

此中，重点讲解以下几个关键抽象观点。

一个Service

Service是Kubernetes为为屏蔽这些后端实例(Pod)的动态变革和对多实例的负载均衡而引入的资源东西。Service凡是与deployment绑定，界说了处事的访谒入口地点，应用(Pod)可以通过这个入口地点访谒其背后的一组由Pod副本构成的集群实例。Service与其后端Pod副本集群之间则是通过Label Selector来实现映射。

Service的类型(Type)决定了Service如何对外供给处事，按照类型差别，处事可以只在Kubernetes cluster中可见，也可以袒露到集群外部。Service有三种类型，ClusterIP，NodePort和LoadBalancer。具体的使用场景会不才文中进行论述。

在测试环境检察：

$ kubectl get svc --selector app=nginx NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE nginx ClusterIP 172.19.0.166 <none> 80/TCP 1m $ kubectl describe svc nginx Name: nginx Namespace: default Labels: app=nginx Annotations: <none> Selector: app=nginx Type: ClusterIP IP: 172.19.0.166 Port: <unset> 80/TCP TargetPort: 80/TCP Endpoints: 172.16.2.125:80,172.16.2.229:80 Session Affinity: None Events: <none>

上述信息中该svc后端代办代理了2个Pod实例:172.16.2.125:80,172.16.2.229:80

二个IP

Kubernetes为描述其网络模型的IP东西，抽象出Cluster IP和Pod IP的观点。

PodIP是Kubernetes集群中每个Pod的IP地点。它是Docker Engine 按照docker0网桥的IP地点段进行分配的，是一个虚拟的二层网络。Kubernetes中Pod间能够相互直接通讯，Pod里的容器访谒此外一个Pod里的容器，是通过Pod IP地址进行通信。

Cluster IP仅感化于Service，其没有实体东西所对应，因此Cluster IP无法被ping通。它的感化是为Service后真个实例供给统一的访谒入口。当访谒ClusterIP时，请求将被转发到后真个实例上，默认是轮询方法。Cluster IP和Service一样由kube-proxy组件维护，其实现方法主要有两种，iptables和IPVS。在1.8版本后kubeproxy开始撑持IPVS方法。在上例中，SVC的信息中包罗了Cluster IP。

这里未列出nodeip观点，由于其自己是物理机的网卡IP。因此可理解为nodeip就是物理机IP。

三个Port

在Kubernetes中，涉及容器，Pod，Service，集群各等多个层级的东西间的通信，为在网络模型中区分各层级的通信端口，这里对Port进行了抽象。

Port

该Port非一般意义上的TCP/IP中的Port观点，它是特指Kubernetes中Service的port，是Service间的访谒端口，例如Mysql的Service默认3306端口。它仅对进群内容器供给访谒权限，而无法从集群外部通过该端口访谒处事。

nodePort

nodePort为外部机器供给了访谒集群内处事的方法。好比一个Web应用需要被其他用户访谒，那么需要配置type=NodePort，而且配置nodePort=30001，那么其他机器就可以通过浏览器访谒scheme://node:30001访谒到该处事，例如:30001。

targetPort

targetPort是容器的端口(最根柢的端口入口)，与制作容器时袒露的端口一致(DockerFile中EXPOSE)，例如docker.io官方的nginx袒露的是80端口。

举一个例子来看如何配置Service的port：