在 Kubernetes 的世界中，網路安全和除錯如同太極的陰陽兩面，相輔相成，缺一不可。我將分享一些我多年來在實踐中積累的經驗和技巧，希望能幫助大家更好地駕馭 Kubernetes 網路。
Kubernetes 網路安全：構建銅牆鐵壁
Seccomp (Secure Computing Mode) 和 Falco 是 Kubernetes 網路安全的兩大護法，它們利用 Linux 核心的 eBPF (Extended Berkeley Packet Filter) 技術，為容器提供了更精細的保護。
Seccomp 限制了容器內行程可用的系統呼叫，如同為容器穿上了一層鎖子甲，有效減少了攻擊面。而 Falco 則像一位警惕的哨兵，監控著系統呼叫和網路活動，一旦發現異常行為，立即發出警示。
Cilium 作為一款 CNI 外掛程式，更是將 eBPF 的威力發揮到了極致。它取代了 kube-proxy，直接在核心層面進行網路封包的攔截和路由，不僅提升了效能，也提供了更靈活的網路策略控制。
graph LR
C[C]
A[Kubernetes Pod] --> B(Cilium)
B --> C{eBPF 程式}
C -- 系統呼叫過濾 --> D[Linux 核心]
C -- 網路封包處理 --> E[網路]
上圖展示了 Cilium 如何利用 eBPF 強化 Kubernetes 網路安全。Cilium 就像 Pod 和 Linux 核心之間的橋樑，透過 eBPF 程式直接在核心層面處理系統呼叫和網路封包，從而提升效率和安全性。
Kubernetes 網路除錯：抽絲剝繭，找出元兇
網路除錯如同偵探破案，需要抽絲剝繭，逐步縮小範圍，最終找出問題的根源。以下是我常用的 Kubernetes 網路除錯工具：
- 連線性測試：
ping、traceroute、telnet和nc是網路連線測試的四大法寶。ping雖然簡單，但 Kubernetes 服務不支援 ICMP，因此 ping 服務 IP 通常會失敗。traceroute可以追蹤封包路由路徑，幫助定位網路問題。telnet和nc則可以測試特定連線埠的連線性。 - 連線埠掃描：
nmap是一款功能強大的連線埠掃描工具，可以快速發現網路上的服務和開放連線埠。 - DNS 查詢：
dig可以查詢各種 DNS 記錄，例如 A 記錄、CNAME 記錄等，幫助診斷 DNS 解析問題。 - HTTP/HTTPS 檢查：
curl可以傳送 HTTP/HTTPS 請求，並顯示回應結果，openssl則可以檢查 SSL/TLS 證書和連線。 - 監聽程式檢查：
netstat和ss可以顯示系統的網路連線和監聽連線埠，幫助識別正在執行的服務。
graph LR
A[連線逾時] --> B{ping 目標 Pod IP}
B -- 封包遺失 --> C[網路不通]
B -- 封包正常 --> D{traceroute 目標 Pod IP}
D -- 路由異常 --> E[路由問題]
D -- 路由正常 --> F[檢查網路策略]
這個流程圖展示了一個典型的 Kubernetes 網路除錯流程。從 ping 測試連線性開始，逐步排查網路、路由和網路策略等方面的問題。
構建簡化容器：Go 語言實戰
以下 Go 程式碼示範瞭如何使用系統呼叫建立一個簡化的容器環境：
package main
import (
"fmt"
"os"
"syscall"
)
func main() {
// 建立新的名稱空間
if err := syscall.Unshare(syscall.CLONE_NEWUTS | syscall.CLONE_NEWPID | syscall.CLONE_NEWNS); err != nil {
fmt.Printf("建立名稱空間失敗: %v\n", err)
os.Exit(1)
}
// 設定主機名稱
if err := syscall.Sethostname([]byte("my-container")); err != nil {
fmt.Printf("設定主機名稱失敗: %v\n", err)
os.Exit(1)
}
// 執行 /bin/sh
if err := syscall.Exec("/bin/sh", []string{"sh"}, os.Environ()); err != nil {
fmt.Printf("執行 /bin/sh 失敗: %v\n", err)
os.Exit(1)
}
}
這段程式碼的核心概念是利用 Linux 名稱空間來隔離容器的執行環境。它建立了新的 UTS、PID 和 Mount 名稱空間，並設定了容器的主機名稱，最後執行 /bin/sh 提供一個 shell 環境。
雖然這個範例程式碼很簡化，但它展現了容器技術的核心原理。在實際應用中，我們可以使用 Docker 或 Kubernetes 等容器化平台來構建和管理更複雜的容器環境。
容器技術的根本：Cgroups 和 Namespaces
Cgroups (Control Groups) 和 Namespaces 是容器技術的兩大根本。Cgroups 負責資源管理，Namespaces 負責環境隔離。它們就像容器的左右護法，共同守護著容器的穩定執行。
graph LR
subgraph 容器1
A[行程 1] --> B(Cgroup 1)
A --> C(Namespace 1)
end
subgraph 容器2
D[行程 2] --> E(Cgroup 2)
D --> F(Namespace 2)
end
subgraph 主機系統
G[核心] --> B
G --> C
G --> E
G --> F
end
上圖清晰地展示了 Cgroups 和 Namespaces 如何協同工作，為容器提供資源限制和環境隔離。每個容器都擁有獨立的 Cgroup 和 Namespace，確保容器之間互不幹擾。
透過這篇文章，我希望大家對 Kubernetes 網路安全和除錯有了更深入的理解。記住，安全和除錯是持續不斷的過程，只有不斷學習和實踐，才能在 Kubernetes 的世界中游刃有餘。
在現代軟體開發中，容器化技術已成為不可或缺的一環。理解容器網路的運作機制，對於構建和維護高效能、高可靠性的容器化應用程式至關重要。這篇文章將深入淺出地解析容器網路技術，從基礎的 veth 配對到 Docker 的各種網路模式，帶您探索容器網路的奧秘。
Shell 指令碼：開發容器網路根本
我們先從底層的 Shell 指令碼開始，逐步構建容器網路環境。以下指令碼示範瞭如何使用 ip 命令建立 veth 配對、網路名稱空間，以及橋接介面，並將它們連線起來：
# 建立 veth 配對
sudo ip link add veth0 type veth peer name veth1
# 將 veth1 移至網路名稱空間 net1
sudo ip link set veth1 netns net1
# 在主機上設定 veth0 的 IP 位址
sudo ip addr add 192.168.100.1/24 dev veth0
# 啟動 veth0
sudo ip link set veth0 up
# 在 net1 名稱空間中設定 veth1 的 IP 位址
sudo ip netns exec net1 ip addr add 192.168.100.2/24 dev veth1
# 在 net1 名稱空間中啟動 veth1
sudo ip netns exec net1 ip link set veth1 up
# 建立橋接介面 br0
sudo ip link add br0 type bridge
# 將 veth0 加入 br0
sudo ip link set veth0 master br0
# 設定 br0 的 IP 位址
sudo ip addr add 192.168.100.3/24 dev br0
# 啟動 br0
sudo ip link set br0 up
# 設定 net1 名稱空間的預設閘道器
sudo ip netns exec net1 ip route add default via 192.168.100.1
這段 Shell 指令碼的核心在於建立一個虛擬的橋接網路 br0，並將主機上的 veth0 和網路名稱空間 net1 中的 veth1 連線到這個橋接網路。如此一來，net1 名稱空間中的程式就可以透過 veth1 和 br0 與外部網路通訊。veth 配對就像一條虛擬的網路線，連線了容器和主機網路。
Docker 網路：簡化容器連線管理
Docker 提供了更簡潔易用的網路管理方式，讓我們無需手動設定底層網路細節。以下將介紹幾種常用的 Docker 網路模式。
Bridge 模式：容器間的橋樑
Bridge 模式是 Docker 的預設網路模式。在這個模式下，Docker 會建立一個名為 docker0 的虛擬網橋，所有未指定網路的容器都會連線到這個網橋。
graph LR
subgraph 容器
A[Container 1] --> B(docker0 Bridge)
C[Container 2] --> B
end
B --> D[Host Network]
D --> E[External Network]
上圖展示了 Docker Bridge 網路的運作方式。容器透過 docker0 網橋連線到主機網路，再由主機網路連線到外部網路。每個容器在 Bridge 網路上都有獨立的 IP 位址，可以互相通訊。
您可以使用以下指令檢視 Docker 網路：
docker network ls
這個指令會列出所有 Docker 網路，包括名稱、驅動程式和作用範圍。
Host 模式：與主機分享網路
Host 模式允許容器直接使用主機的網路堆積疊，分享相同的 IP 位址和連線埠。
docker run --network host <image_name>
使用 --network host 引數可以以 Host 模式啟動容器。這種模式適用於對網路效能要求極高的應用程式，但會降低容器的隔離性。
Overlay 網路：跨主機的容器通訊
Overlay 網路允許跨多個主機上的容器互相通訊。
graph LR
subgraph Host 1
A[Container 1] --> B(Overlay Network)
end
subgraph Host 2
C[Container 2] --> D(Overlay Network)
end
B --- D
Overlay 網路透過建立虛擬的覆寫網路，將不同主機上的容器連線起來，使它們如同在同一個網路中一樣。這對於構建分散式應用程式至關重要。
