Kubernetes网络分配范围

Question

在 Kubernetes 中有没有办法或者有一个网络插件可以限制 IP 分配的范围。例如，我正在尝试使用 weave 并使用子网 192.168.16.0/24。我想将通过 Kubernetes 分配给 Pod 的 IP 限制在192.168.16.10-30 的范围内。

但是，我的应用程序可能会根据要求使用其余 IP，即我的应用程序可以从 192.168.16.31-50 启动虚拟 IP，但我需要一些机制来确保我指定的 IP 范围不会由 K8s 分配，我的应用可以使用它。

我需要这样的东西：https://www.weave.works/docs/net/latest/tasks/ipam/configuring-weave/。

Answer 1

Network Policy 资源会有所帮助

见Documentation

一个示例 NetworkPolicy 可能如下所示：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: test-network-policy
  namespace: default
spec:
  podSelector:
    matchLabels:
      role: db
  policyTypes:
  - Ingress
  - Egress
  ingress:
  - from:
    - ipBlock:
        cidr: 172.17.0.0/16
        except:
        - 172.17.1.0/24
    - namespaceSelector:
        matchLabels:
          project: myproject
    - podSelector:
        matchLabels:
          role: frontend
    ports:
    - protocol: TCP
      port: 6379
  egress:
  - to:
    - ipBlock:
        cidr: 10.0.0.0/24
    ports:
    - protocol: TCP
      port: 5978

规则ipBlock 描述了ingress 和egress 规则的网络范围。 例如：

    - ipBlock:
        cidr: 172.17.0.0/16
        except:
        - 172.17.1.0/24

CIDR

CIDR 代表Classless Inter-Domain Routing，参见samples of IPv4 CIDR blocks

更多信息

• 有关详细信息，请参阅NetworkPolicy reference。
• 另外，你可以通过Reuven Harrison 来查看intro to k8s networking

Answer 2

其实这是一个很好的问题。这取决于您的 CNI，在您使用 weavenet 的情况下。

我假设您正在为您的 Weavenet 使用daemonset。如果是这样，请在您的 daemonset yaml 文件中添加类似的内容。

        spec:
          containers:
            - name: weave
              command:
                - /home/weave/launch.sh
              env:
                - name: IPALLOC_RANGE
                  value: 192.168.16.32/27

这将为您的 pod 提供 192.168.16.32-63 的 IP 范围。

您也可以使用 Wea​​ve CLI 进行设置，如果需要，请告诉我。

希望这有帮助。