近日，由TWT社区主办的2021容器云职业技能大赛团队赛的冠军作品：《适用于大中型银行的云原生技术体系建设方案》中，Kube-OVN成为银行技术团队推荐的金融级云原生网络最佳实践。本文部分节选自获奖作品中的网络方案叙述，从打造金融级容器云基建的出发点，为广大金融技术团队提供网络部分改造的路径参考。
方案作者：2021容器云职业技能大赛参赛团队“三地五中心队” 队员：孙佳明 兴业数金 容器云工程师、李逍 兴业银行 应用运维工程师、林钫 兴业数金 系统运维工程师、林鑫 兴业数金 容器云工程师、王嵩阳 兴业银行 质量中心工程师
转载来源：本文部分节选自“twt企业IT社区”公众号《适用于大中型银行的云原生技术体系建设方案》
大中型银行需打造金融级容器云基建
银行 IT 基础设施对高可用、稳定可靠有较高的要求，基于传统的 IaaS 部署应用已有相对成熟的解决方案，如存储层镜像复制、虚拟机漂移、全局 DNS 切换等。基于容器技术建设的云基础设施具备更优的资源利用率和弹性优势，但云原生技术体系仍在快速发展过程中，如何利用容器技术打造高可用、稳定可靠的IT 基础设施，各企业需求存在不同的解法，本方案设计了多云管理、Runtime 改进、高性能云原生存储、金融级容器网络、容器云容灾系统等系列方案进行容器云基础设施建设，并使其具备支撑企业级 PaaS 的扩展性能力。
图1：本方案设计的云原生技术体系全景
金融级云原生网络方案的设计
在银行进行容器云建设和应用上云，网络一直是难点和关键点，本文作者团队认为主要是以下三点关切：
- 主流的 K8S 网络方案与数据中心的传统网络架构很难融合，容器网络管理不透明。
- 多集群环境下，不同业务系统间细粒度的网络管控较难实现。
- 随着业务系统分布式、微服务转型，应用多活部署，跨集群微服务治理相对困难。
本方案将通过设计 Overlay/Underlay 双栈容器网络打通容器云与传统 IaaS 层网络， 使得网络管控更具一致性；并建设高性能全局负载， 满足银行业务系统多活部署需求。
图2：容器云网络整体设计
基于 Kube-OVN 搭建 Overlay/Underlay 双栈容器网络
Kube-OVN 是一个由国内公司开源的 K8S CNI 网络插件，本方案基于Kube-OVN 作为容器集群网络解决方案，可较好解决上述关切问题。
选用 Kube-OVN 的核心优势如下。方案社区化且可扩展性强，利用社区最为成熟的 OVS 作为网络底座，复用 OVS 社区生态，基于 K8S 架构原生设计。可在容器集群兼容 Overlay/Underlay 两种网络， Overlay 和物理网络保持独立，可进行每个 Namespace 独立网络控制，具备分布式网关/集中式网关/NAT 控制的网络出口控制方式；Underlay 网络和物理网络直接打通，直连底层结构实现高性能，且支持 Pod 运行在不通 VLAN 中，通过 VLAN 实现网络管控，通过annotation 可固定 Pod 的 IP/MAC。
图3：Kube-OVN 双栈容器网络架构
另外， OVS 层容器流量可全镜像， 便于安全审计， 流量分析；支持动态 QoS 限制双向带宽，流表实现 Service 避免 Iptables 性能损耗。
图4：通过 OVS 做流量全镜像
基于上述方案， 非核心业务容器可基于 Overlay 网络部署， 节约网络资源，灵活易扩展，关键业务系统容器可采用 Underlay 网络模式，无缝融合数据中心网络管控；Underlay 模式天然实现多集群间 Pod、虚机、物理机网络打通，高性能满足多集群微服务治理需求。
总结
作为一款金融级云原生网络方案，Kube-OVN以成熟的OVS用作容器网络底座，通过将OpenStack领域成熟的网络功能平移到Kubernetes，融合了安全强化、智能运维、硬件加速等多方面的特性，极大增强了Kubernetes容器网络的安全性、可运维性、管理性和性能。
在性能层面，Kube-OVN也具备金融级优异表现。通过Kube-OVN调优，可以实现和现有容器网络有同等流量性能。如某股份制银行案例，之前用到Calico方案是最接近于物理网络性能的吞吐量，通过对比，Kube-OVN在性能上与Calico相当，还可支持OVS、DPDK这种自定义协议栈以及硬件加速方案，可以提升整个的容器性能。已经过金融行业核心系统性能的压测，免除金融技术团队后顾之忧。
结合了安全、管控、监管侧的考量，以及在不同的金融机构里落地的经验，Kube-OVN可以有效地帮助金融行业用户构建更加适配金融云原生的高性能容器网络。
祝愿广大金融技术团队，都能够依据自身企业的实际情况，顺利构建高并发、高可用、高性能的云原生容器网络，稳健、高效地实现云原生化转型。