第 8 章 容器网络 - 069 - Calico 的默认连通性

相同calico 网络之间的连通性

测试一下 bbox1 与 bbox2 的连通性:

第 8 章 容器网络 - 069 - Calico 的默认连通性_第1张图片

 

ping 成功,数据包流向如下图所示。

第 8 章 容器网络 - 069 - Calico 的默认连通性_第2张图片

 

1)根据 bbox1 的路由表,将数据包从 cal0 发出。

 

2)数据经过 veth pair 到达 host1,查看路由表,数据由 ens192 发给 host2(10.12.31.23)。

      192.168.183.64/26 via 10.12.31.23 dev ens192  proto bird

3)host2 收到数据包,根据路由表发送给 cali95e23ca6529,进而通过 veth pair cali0 到达 bbox2。

      192.168.183.70 dev cali95e23ca6529  scope link

 

不同 calico 网络之间的连通性

 

创建 cal_net2

docker network create --driver calico --ipam-driver calico-ipam cal_net2

 

在 host1 中运行容器 bbox4,连接到 cal_net2:

docker container run --network cal_net2 --name bbox4 -tid busybox

 

calico 为 bbox4 分配了 IP 192.168.119.9

第 8 章 容器网络 - 069 - Calico 的默认连通性_第3张图片

 

验证 bbox1 与 bbox4 的连通性

第 8 章 容器网络 - 069 - Calico 的默认连通性_第4张图片

 

虽然 bbox1 和 bbox4 都位于 host1,而且都在一个 subnet 192.168.119.0/26,但它们属于不同的 calico 网络,默认不能通行。

calico 默认的 policy 规则是:容器只能与同一个 calico 网络中的容器通信。

calico 的每个网络都有一个同名的 profile,profile 中定义了该网络的 policy。

 

查看 cal_net1 的 profile:

calicoctl get profile cal_net1 -o yaml

 第 8 章 容器网络 - 069 - Calico 的默认连通性_第5张图片

 

1)命名为 cal_net1,这就是 calico 网络 cal_net1 的 profile。

2)为 profile 添加一个 tag cal_net1。注意,这个 tag 虽然也叫 cal_net1,其实可以随便设置,这跟上面的 name: cal_net1 没有任何关系。此 tag 后面会用到。

3)egress 对从容器发出的数据包进行控制,当前没有任何限制。

4)ingress 对进入容器的数据包进行限制,当前设置是接收来自 tag cal_net1 的容器,根据第 1)步设置我们知道,实际上就是只接收本网络的数据包,这也进一步解释了前面的实验结果。

 

----------------------------------------------------引用来自----------------------------------------------------------------

https://mp.weixin.qq.com/s?__biz=MzIwMTM5MjUwMg==&mid=2653587859&idx=1&sn=12d8133bcc802a21ebfc52c4fb8ba98a&chksm=8d30818aba47089c11837734dd096e28872dce37ab20370902c2bc1bbabdb166fca010ad0b51&scene=21#wechat_redirect

转载于:https://www.cnblogs.com/gsophy/p/10695666.html

你可能感兴趣的:(运维)