如何进行TungstenFabric与K8s集成及创建隔离命名空间

本篇文章为大家展示了如何进行Tungsten Fabric与K8s集成及创建隔离命名空间，内容简明扼要并且容易理解，绝对能使你眼前一亮，通过这篇文章的详细介绍希望你能有所收获。

专注于为中小企业提供成都网站设计、做网站服务,电脑端+手机端+微信端的三站合一,更高效的管理,为中小企业瑞丽免费做网站提供优质的服务。我们立足成都，凝聚了一批互联网行业人才，有力地推动了超过千家企业的稳健成长，帮助中小企业通过网站建设实现规模扩充和转变。

K8s与Tungsten Fabric集成后有四种配置模式，分别为：默认模式、自定义隔离模式、命名空间隔离模式、嵌套模式。

默认模式：Tungsten Fabric创建一个由所有命名空间共享的虚拟网络，并从中分配service和pod的IP地址，在Kubernetes集群中产生的所有命名空间中的所有pod都能够彼此通信。

自定义隔离模式：管理员和应用程序开发人员可以添加注释（"opencontrail.org/network: "）来指定虚拟网络。在这个虚拟网络中，一个命令空间中的一个或所有pod将在这个虚拟网络中被启动。如果该注释是在pod上配置的，那么pod将在该网络中启动；如果注释是在命名空间中配置的，那么命名空间中的所有pod都将在该网络中启动。

命名空间隔离模式：集群管理员可以在创建新的命令空间时，添加注释（"opencontrail.org/isolation : true"）以启用命令空间隔离。因此，该命名空间中的服务不能从其他命名空间访问，除非明确定义了安全组或网络策略以允许访问，或者启动注释（"opencontrail.org/isolation.service : false"）单独允许该命名空间的service可以被其他命令空间的pod访问。

嵌套模式：Tungsten Fabric支持与基于OpenStack虚拟机部署的Kubernetes集群集成。Tungsten Fabric提供了一个可折叠的控制和数据平面，一个TF控制平面和一个网络堆栈管理和服务同时在OpenStack和Kubernetes两个集群中。有了统一的控制和数据平面，可以无缝地交互和配置这些集群，不需要单独为每个集群部署TF。

 

创建隔离命名空间

在此将会创建一个隔离的命名空间，名为isolated-ns，具体配置文件如下：

 

执行kubectl的创建命令之后，对应的命名空间随即被创建。

 

而在TF上也会有对应的policy和虚拟网络被创建出来，分别为：

TF policy: k8s-isolated-ns-pod-service-np

这条TF policy的作用，是允许附加了该条策略的虚拟网络能够访问命令空间isolated-ns中的service clusterip。

TF network: k8s-isolated-ns-pod-network , k8s-isolated-ns-service-network

这两个网络分别使用了命名空间default里面的IPAM，所以在这个命令空间isolated-ns中默认创建出来的pod和service所分配的IP所属的IP池，与命名空间default中的一样，即pod（10.32.0.0/12）和service（10.96.0.0/12）。

 

验证与非隔离命令空间的网络连通性

接下来在隔离的命令空间isolated-ns中创建pod和service，验证isolated-ns与其他命令空间的连通性。

首先在default和isolated-ns两个命令空间中分别创建两个pod和一个service。

 

所以目前的资源为：

2个命名空间：default，isolated-ns

2个service：nginx-default (10.105.147.31)，nginx-isolated (10.97.162.157)

4个pod：

nginx-default-test01 (10.47.255.251)

nginx-default-test02 (10.47.255.250)

nginx-isolated-test01 (10.47.255.249)

nginx-isolated-test02 (10.47.255.247)

 

网络连通性验证流程：

1. 从命名空间default中的pod nginx-default-test01去ping其他三个pod，结果是pod nginx-default-test01只能连通同一命名空间中pod，而无法连通隔离命名空间中的pod。

    

2. 从命名空间isolated-ns中的pod nginx-isolated-test01去ping其他三个pod，结果是pod nginx-isolated-test01只能连通同一命名空间中pod，而无法连通其他命名空间中的pod。

 

3. 从命名空间default中的pod nginx-default-test01去curl分别在两个命令空间中的service，结果是pod nginx-default-test01只能请求default和kube-system这些非隔离命名空间中的service，而无法请求隔离命名空间中的service。

 

4. 从命名空间isolated-ns中的pod nginx-isolated-test01去curl分别在两个命令空间中的service，结果是pod nginx-isolated-test01只能请求default和kube-system这些非隔离命名空间中的service，而无法请求隔离命名空间中的service，即便该service在自己所在的命名空间。

 

所有验证结果综合起来就是，非隔离命名空间和隔离命名空间之后建的pod默认无法互访——即便在相同的IPAM中，并且非隔离命名的service可以被任何pod访问，而隔离命名空间的service默认无法被访问。

现在需要添加TF policy让pod之间，pod和service之间能够连通。

对于pod之间的访问，需要添加如下TF policy，该条policy是连接两个网络，k8s-default-pod-network与k8s-isolated-ns-pod-network。

 

创建完成，分别将这条Policy附加到隔离命名空间和非隔离命令空间的pod网络上，k8s-default-pod-network与k8s-isolated-ns-pod-network。

 

 

此时再进行pod之间的网络连接验证，结果是两个命名空间的pod之间已经能够通信。

 

对于pod与service之间的访问，需要添加如下TF policy，该条policy是允许指定网络能够访问isolated-ns的service。

 

创建完成后，再将这条Policy附加到隔离命名空间和非隔离命令空间的pod网络上，k8s-default-pod-network与k8s-isolated-ns-pod-network，以及隔离命名空间的service网络k8s-isolated-ns-service-network上。

 

 

此时再进行pod与service之间的网络连接验证，结果是两个命名空间的pod都可以访问到隔离命名空间中的service。

 

在隔离命名空间和非隔离命名空间的流量全通之后，还可以通过安全策略去做进一步的流量控制。

上述内容就是如何进行Tungsten Fabric与K8s集成及创建隔离命名空间，你们学到知识或技能了吗？如果还想学到更多技能或者丰富自己的知识储备，欢迎关注创新互联行业资讯频道。

文章名称：如何进行TungstenFabric与K8s集成及创建隔离命名空间
路径分享：http://6mz.cn/article/igocjo.html