第 8 章 容器网络 - 069 - Calico 的默认连通性

相同calico 网络之间的连通性

测试一下 bbox1 与 bbox2 的连通性：

ping 成功，数据包流向如下图所示。

1）根据 bbox1 的路由表，将数据包从 cal0 发出。

2）数据经过 veth pair 到达 host1，查看路由表，数据由 ens192 发给 host2（10.12.31.23）。

192.168.183.64/26 via 10.12.31.23 dev ens192  proto bird

3）host2 收到数据包，根据路由表发送给 cali95e23ca6529，进而通过 veth pair cali0 到达 bbox2。

192.168.183.70 dev cali95e23ca6529  scope link

不同 calico 网络之间的连通性

创建 cal_net2

docker network create --driver calico --ipam-driver calico-ipam cal_net2

在 host1 中运行容器 bbox4，连接到 cal_net2：

docker container run --network cal_net2 --name bbox4 -tid busybox

calico 为 bbox4 分配了 IP 192.168.119.9

验证 bbox1 与 bbox4 的连通性

虽然 bbox1 和 bbox4 都位于 host1，而且都在一个 subnet 192.168.119.0/26，但它们属于不同的 calico 网络，默认不能通行。

calico 默认的 policy 规则是：容器只能与同一个 calico 网络中的容器通信。

calico 的每个网络都有一个同名的 profile，profile 中定义了该网络的 policy。

查看 cal_net1 的 profile：

calicoctl get profile cal_net1 -o yaml

1）命名为 cal_net1，这就是 calico 网络 cal_net1 的 profile。

2）为 profile 添加一个 tag cal_net1。注意，这个 tag 虽然也叫 cal_net1，其实可以随便设置，这跟上面的 name: cal_net1 没有任何关系。此 tag 后面会用到。

3）egress 对从容器发出的数据包进行控制，当前没有任何限制。

4）ingress 对进入容器的数据包进行限制，当前设置是接收来自 tag cal_net1 的容器，根据第 1）步设置我们知道，实际上就是只接收本网络的数据包，这也进一步解释了前面的实验结果。

----------------------------------------------------引用来自----------------------------------------------------------------

https://mp.weixin.qq.com/s?__biz=MzIwMTM5MjUwMg==&mid=2653587859&idx=1&sn=12d8133bcc802a21ebfc52c4fb8ba98a&chksm=8d30818aba47089c11837734dd096e28872dce37ab20370902c2bc1bbabdb166fca010ad0b51&scene=21#wechat_redirect