Kubernetes网络通关指南：从Pod间通信到外网访问的六层网络架构全拆解

一、网络沙盒：Pod网络的底层秘密

当两个Pod在Kubernetes集群中「隔空对话」时，实际上正在经历：

1. veth对等设备：每个Pod都有自己的网络命名空间，通过veth pair与宿主机连接
2. CNI魔法时刻：以Calico为例，在创建Pod时自动完成IPAM地址分配和路由规则设置
3. 路由迷宫导航：Linux路由表精确指引数据包流向，ip route show可查看当前节点路由规则

实战案例：某电商系统因Pod跨节点通信延迟，最终发现是iptables规则过多导致，通过优化网络策略解决

二、Service：集群内部的智能交通枢纽

2.1 流量调度三剑客

• ClusterIP：内部VIP地址，像公司内网的固定分机号
• NodePort：在节点上开启特殊端口，好比园区大门的多功能接待窗口
• LoadBalancer：云服务商提供的VIP入口，如同专业的物流调度中心

apiVersion: v1
kind: Service
metadata:
  name: my-service
spec:
  selector:
    app: web-server
  ports:
    - protocol: TCP
      port: 80
      targetPort: 9376
  type: LoadBalancer

三、Ingress：七层流量的艺术大师

流量管理四要素：

1. 基于域名的虚拟主机路由
2. TLS证书自动管理
3. 灰度发布流量切分
4. 请求速率限制配置

以Nginx Ingress为例的典型配置：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: cafe-ingress
  annotations:
    nginx.ingress.kubernetes.io/rewrite-target: /
spec:
  tls:
  - hosts:
    - cafe.example.com
    secretName: cafe-secret
  rules:
  - host: cafe.example.com
    http:
      paths:
      - path: /tea
        pathType: Prefix
        backend:
          service:
            name: tea-svc
            port:
              number: 80

四、CNI插件选型指南（含性能对比）

踩坑实录：某金融系统因Flannel的VXLAN封装导致MTU问题，表现为大文件传输失败

五、网络策略实战：打造零信任容器网络

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: db-firewall
spec:
  podSelector:
    matchLabels:
      role: database
  ingress:
  - from:
    - podSelector:
        matchLabels:
          role: application
    ports:
    - protocol: TCP
      port: 5432

安全防护三原则：

1. 默认拒绝所有入站流量
2. 按最小权限开放端口
3. 定期审计网络策略有效性

六、疑难杂症排查工具箱

# 查看Pod的DNS配置
kubectl exec -it mypod -- cat /etc/resolv.conf
 
# 追踪服务端点状态
kubectl get endpoints <service-name>
 
# 诊断网络策略生效情况
calicoctl get networkpolicy --all-namespaces -o wide
 
# 抓包神器tcpdump进阶用法
kubectl debug <pod-name> -it --image=nicolaka/netshoot

典型案例：某次服务访问异常，最终发现是CoreDNS副本数不足导致域名解析超时

七、未来演进：服务网格与eBPF的融合趋势

• 流量镜像在CI/CD中的应用
• 基于Cilium的透明加密通信
• 服务网格（Service Mesh）的sidecar模式优化方案
• 混合云场景下的跨集群网络方案