参考文档:

  1. Difficulties with traditional overlay networks:https://www.projectcalico.org/learn/
  2. Get Start(v2.6.x):https://docs.projectcalico.org/v2.6/getting-started/docker/
  3. Calico组件(v2.6.x):https://docs.projectcalico.org/v2.6/reference/architecture/
  4. 配置calicoctl(v2.6.x):https://docs.projectcalico.org/v2.6/reference/calicoctl/setup/etcdv2
  5. 资源定义:https://docs.projectcalico.org/v2.6/reference/calicoctl/resources/
  6. Calico网络模型:http://cizixs.com/2017/10/19/docker-calico-network
  7. 白话kubernetes网络:http://dockone.io/article/2616

一.Calico架构

Calico是一个纯三层的方案,为虚机及容器提供多主机间通信,没有使用重叠网络(如flannel)驱动,采用虚拟路由代替虚拟交换,每一台虚拟路由器通过BGP协议传播可达信息(路由)到其他虚拟或物理路由器。

1. 框架

  1. Felix:Calico agent,运行在每台workload节点,主要负责配置路由及ACLs等信息,确保endpoint的连通状态;
  2. Etcd:分布式kv存储,主要负责网络元数据一致性,确保Calico网络状态的准确性;
  3. BGP Client(BIRD):主要负责把Felix写入kernel的路由信息分发到当前Calico网络,确保workload间的通信的有效性;
  4. BGP Route Reflector(BIRD):一般在大规模部署时采用,与所有节点互联的mesh模式不同,通过一个或多个BGP Route Reflector来完成集中式的路由分发。

二.环境

1. 环境规划

docker服务(含加速)与etcd集群服务已提前部署,可参考:

docker安装服务: https://docs.docker.com/install/linux/docker-ce/centos/

https://www.cnblogs.com/netonline/p/7420047.html

docker镜像加速:https://yq.aliyun.com/articles/29941(阿里云)

https://www.cnblogs.com/netonline/p/7420188.html(Daocloud)

etcd: https://www.cnblogs.com/netonline/p/8665847.html

Hostname

IP

Service

os

Remark

calico-node1

172.30.200.36

docker 1.12.6

etcd v3.3.0

calico v2.6.10

centos7.4

selinux disabled

calico-node2

172.30.200.37

docker 1.12.6

etcd v3.3.0

calico v2.6.10

centos7.4

selinux disabled

calico-node3

172.30.200.38

docker 1.12.6

etcd v3.3.0

calico v2.6.10

centos7.4

selinux disabled

注:这里并未采用calico v3.x.x版本,v2与v3版本在命令以及资源下发等操作区别较大。

2. 设置iptables

# 统一设置iptables,以calico-node1节点为例;
# 初始环境已使用iptables替代centos7.x自带的firewalld;
[root@calico-node1 ~]# vim /etc/sysconfig/iptables
# tcp179:bgp通信端口;
# tcp2375:docker-api端口;
# tcp2379:etcd监听端口;
# tcp2380:etcd集群通信端口;
# 注释“FORWARD”表的禁止转发规则
-A INPUT -p tcp -m state --state NEW -m tcp --dport 179 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 2375 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 2379 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 2380 -j ACCEPT
#-A FORWARD -j REJECT --reject-with icmp-host-prohibited [root@calico-node1 ~]# service iptables restart

三.配置calicoctl

1. 安装calicoctl

# 以下操作主要在calico-node1节点执行,其余节点类似,做适当调整;
# 下载calicoctl命令行工具
[root@calico-node1 ~]# cd /usr/local/src
[root@calico-node1 src]# curl -O -L https://github.com/projectcalico/calicoctl/releases/download/v1.6.4/calicoctl # 下载的”calicoctl”赋予权限后,可直接运行
[root@calico-node1 src]# chmod +x calicoctl
[root@calico-node1 src]# mv /usr/local/src/calicoctl /usr/local/bin/

2. 配置calicoctl

# 运行calicoctl时,默认调用/etc/calico/calicoctl.cfg文件,其中指定了datastoreType与etcdEndpoints等重要参数;
# 或在运行calicoctl时,通--config参数指定文件
[root@calico-node1 ~]# mkdir -p /etc/calico
[root@calico-node1 ~]# vim /etc/caloco/calicoctl.cfg
[root@calico-node1 ~]# cat /etc/calico/calicoctl.cfg
apiVersion: v1
kind: calicoApiConfig
metadata:
spec:
datastoreType: "etcdv2"
etcdEndpoints: http://172.30.200.36:2379,http://172.30.200.37:2379,http://172.30.200.38:2379

四.设置docker连接etcd

1. 设置docker连接etcd

# 修改docker服务的启动参数,即”ExecStart=/usr/bin/dockerd”;
# -H(option): 指定api端口;
# --cluster-store:连接etcd,docker支持跨主机的多节点网络时,需要设置此参数,否则网络元数据无法协同
[root@calico-node1 ~]# vim /usr/lib/systemd/system/docker.service
ExecStart=/usr/bin/dockerd -H unix:///var/run/docker.sock -H 0.0.0.0:2375 --cluster-store etcd://172.30.200.36:2379,172.30.200.37:2379,172.30.200.38:2379 [root@calico-node1 ~]# systemctl daemon-reload && systemctl restart docker

五.启动calico服务

Calico服务以container的方式运行,container内包含bird路由管理、Felix协议等,并采用host网络与外部通信。

所有workload节点启用Calico服务,做为calico节点(通过etcd)互相通信。

1. 下载镜像

# calico服务默认镜像”quay.io/calico/node:v2.6.10”;
# 如拉取镜像有困难,可通过docker.io下载
[root@calico-node1 ~]# docker pull calico/node:v2.6.10 # 下载busybox镜像用作验证
[root@calico-node1 ~]# docker pull busybox

2. calico服务

或直接运行:calicoctl node run --node-image=calico/node:v2.6.10

1)system service文件

# EnvironmentFile:ExecStart中大量引用的环境变量,在/etc/calico/calico.env文件中设置;
# ExecStartPre操作:如果环境中存在calico-node服务,删除;
# ExecStart操作:”--net”设置网络参数;“--privileged”以特权模式运行;‘“--nam”设置容器名;“calico/node:v2.6.10”指定镜像,这里默认是“quay.io/calico/node:v2.6.10”;
# ExecStop操作:停止容器;
# -v /var/run/docker.sock:/var/run/docker.sock:此映射关系在官方文档中未给出;
# 会导致在创建容器时报错“docker: Error response from daemon: failed to create endpoint test1 on network net1: NetworkDriver.CreateEndpoint: Network 44322b3b9b8c5eface703e1dbeb7e3755f47ede1761a72ea4cb7cec6d31ad2e5 inspection error: Cannot connect to the Docker daemon at unix:///var/run/docker.sock. Is the docker daemon running?.”;
# 即在calico类型的网络上不能创建容器,因为无法调用docker服务的sock,需要指明calico服务调用docker sock的路径,请见:https://github.com/projectcalico/calico/issues/1303
[root@calico-node1 ~]# vim /usr/lib/systemd/system/calico.service
[Unit]
Description=calico-node
After=docker.service
Requires=docker.service [Service]
EnvironmentFile=/etc/calico/calico.env
ExecStartPre=-/usr/bin/docker rm -f calico-node
ExecStart=/usr/bin/docker run --net=host --privileged \
--name=calico-node \
-e NODENAME=${CALICO_NODENAME} \
-e IP=${CALICO_IP} \
-e IP6=${CALICO_IP6} \
-e CALICO_NETWORKING_BACKEND=${CALICO_NETWORKING_BACKEND} \
-e AS=${CALICO_AS} \
-e NO_DEFAULT_POOLS=${CALICO_NO_DEFAULT_POOLS} \
-e CALICO_LIBNETWORK_ENABLED=${CALICO_LIBNETWORK_ENABLED} \
-e ETCD_ENDPOINTS=${ETCD_ENDPOINTS} \
-e ETCD_CA_CERT_FILE=${ETCD_CA_CERT_FILE} \
-e ETCD_CERT_FILE=${ETCD_CERT_FILE} \
-e ETCD_KEY_FILE=${ETCD_KEY_FILE} \
-v /var/log/calico:/var/log/calico \
-v /run/docker/plugins:/run/docker/plugins \
-v /var/run/docker.sock:/var/run/docker.sock \
-v /lib/modules:/lib/modules \
-v /var/run/calico:/var/run/calico \
calico/node:v2.6.10 ExecStop=-/usr/bin/docker stop calico-node Restart=on-failure
StartLimitBurst=3
StartLimitInterval=60s [Install]
WantedBy=multi-user.target

2)calico.env变量文件

[root@calico-node1 ~]# vim /etc/calico/calico.env
ETCD_ENDPOINTS=http://172.30.200.36:2379,http://172.30.200.37:2379,http://172.30.200.38:2379
# 启用ssl/tls时,认证相关文件位置
ETCD_CA_FILE=""
ETCD_CERT_FILE=""
ETCD_KEY_FILE=""
# 留空时默认采用主机hostname作为辨识,所以留空时请确保主机名唯一
CALICO_NODENAME=""
CALICO_NO_DEFAULT_POOLS=""
# 设置路由下一跳,留空时从主机当前端口中自动选择,有参数”autodetect”强制每次启动时间自动检测
CALICO_IP="172.30.200.36"
CALICO_IP6=""
# as number,默认从全局默认设置继承
CALICO_AS=""
# 启用libnetwork drive
CALICO_LIBNETWORK_ENABLED=true
# 路由协议,可选”bird”,“gobgp”,“none”,默认即”bird”, “gobgp”无ipip模式
CALICO_NETWORKING_BACKEND=bird

3)启动calico服务

[root@calico-node1 ~]# systemctl daemon-reload
[root@calico-node1 ~]# systemctl enable calico
[root@calico-node1 ~]# systemctl restart calico [root@calico-node1 ~]# systemctl status calico

[root@calico-node1 ~]# docker ps

4)查看节点状态

# 任意节点可查看;
# 显示邻居节点地址,节点之间是”node-to-node mesh”状态(区别于bgp rr)
[root@calico-node1 ~]# calicoctl node status

六.定义ipPool(option)

1. 查看当前ipPool

# 运行calico服务后,默认含1个192.168.0.0/16的ipv4地址池,1个64位的ipv6的地址池,后续网络分配即地址池获取;
# NAT:容器获得的地址是否可nat出host;
# IPIP:ipip是在宿主机网络不完全支持bgp时,一种妥协的overlay机制,在宿主机创建1个”tunl0”虚拟端口;设置为false时,路由即纯bgp模式,理论上ipip模式的网络传输性能低于纯bgp模式;设置为true时,又分ipip always模式(纯ipip模式)与ipip cross-subnet模式(ipip-bgp混合模式),后者指“同子网内路由采用bgp,跨子网路由采用ipip”
[root@calico-node1 ~]# calicoctl get ipPool -o wide

2. 自定义ipPool

1)定义ipPool

# 在任意节点上定义都可以,ipPool属于全局;
# calicov2与v3对资源的定义逻辑基本相同,但命令参数区别较大
[root@calico-node1 ~]# calicoctl get ipPool -o yaml >> new-pool-1.yaml
[root@calico-node1 ~]# vim new-pool-1.yaml
apiVersion: v1
kind: ipPool
metadata:
# ipPool,每个host节点上的subnet从ipPool中获取/26位网段
cidr: 10.254.0.0/24
spec:
ipip:
# 默认即true
enabled: true
# mode:always与cross-subnet
mode: cross-subnet
# 默认为false,设置为true,允许容器nat出host
nat-outgoing: true
# 默认即false,即启用此ipPool
disabled: false # 下发ipPool资源
[root@calico-node1 ~]# calicoctl create -f new-pool-1.yaml

2)删除默认ipPool(option)

[root@calico-node1 ~]# calicoctl delete ipPool 192.168.0.0/16
[root@calico-node1 ~]# calicoctl get ipPool -o wide

3. 验证

# 资源下发后,各节点从ipPool获得1个/26位的subnet网段;
# 同时注意前往其余节点的下一跳网口是“tunl0”,这里因为ipip设置为enable: true;
# 如果不启用ipip模式,则不会新增”tunl0”网口,下一跳网口应是“eth0”
[root@calico-node1 ~]# ip route show

# 查看网卡,新增网口从命名”tunl0”可看出与隧道有关;
# 同时隧道口获取的是分配到节点的subnet内的32位地址
[root@calico-node1 ~]# ip address show

七.验证连通性

1. 创建network

# 创建网络“net1”;
# --driver calico:指定使用calico的libnetwork driver;
# --ipam-driver calico-ipam:指定使用calico的IPAM driver管理IP
[root@calico-node1 ~]# docker network create --driver calico --ipam-driver calico-ipam net1 # 新建网络”net1”的驱动是calico,属于全局类型网络,即在其余节点可见;
# 可通过”docker network inspect net1”查看细节
[root@calico-node1 ~]# docker network ls

2. 创建容器

1)创建容器

# 创建容器,容器使用calico类型的”net1”网络
[root@calico-node1 ~]# docker run -tid --name=test1 --net=net1 busybox
[root@calico-node1 ~]# docker ps

2)容器网络

# 容器的ip地址从ipPool分配到host节点的subnet中获取,且为/32主机地址;
# 网关为“169.254.1.1”(后面给出原因)
[root@calico-node1 ~]# docker inspect test1

3. 网络变化

1)host节点网卡

# 新增10号网卡”calic255b5bfca1”,对接9号网卡,可以确定创建的容器即使用9号网卡
[root@calico-node1 ~]# ip address show

2)host节点routing table

# 新增1条主机路由,主机地址即容器地址,下一跳即网卡”calic255b5bfca1”
[root@calico-node1 ~]# ip route show

3)容器网卡

# 容器网卡cali0即9号网卡,对接host节点10号网卡;
# 也再次印证容器获取的是/32位主机地址;
# 注意容器网卡的mac地址”ee:ee:ee:ee:ee:ee”, 这是1个固定的特殊地址(所有calico生成的容器mac地址均一样),因为calico只关心三层的ip地址,而不关心二层mac地址
[root@calico-node1 ~]# docker exec test1 ip address show

4)容器routing table

# 容器网关“169.254.1.1”是1个预留本地ip地址,通过cali0端口发送到网关;
# calico为简化网络配置,将容器的网关设置为1个固定的本地保留地址,容器内路由规则都是一样的,不需要动态更新;
# 确定下一跳后,容器会查询下一跳”169.254.1.1”的mac地址
[root@calico-node1 ~]# docker exec test1 ip route show

# 通过”ip neigh show”可查询arp表(需要触发),这里查询到”169.254.1.1”的mac地址是”d6:3d:3a:ca:39:a1”,仔细观察会发现此mac地址即host节点网卡”calic255b5bfca1”的mac地址
[root@calico-node1 ~]# docker exec test1 ip neigh show

# 通过在host节点”calic255b5bfca1”网卡上抓二层包发现,容器的”cali0”网卡(mac地址”ee:ee:ee:ee:ee:ee”)发出的request包,host节点的”calic255b5bfca1”网卡直接以本地mac地址”d6:3d:3a:ca:39:a1”回复;
# 如果清除容器的arp表,可以更清晰的看到容器的arp请求报文被host节点对应的网卡响应
[root@calico-node1 ~]# tcpdump -i calic255b5bfca1 -e -nn

# 如上,host节点对应容器的网卡并没有配置ip地址,无论容器发出的arp的请求地址是什么,其直接以自己的mac地址响应即”arp proxy”;
# 容器的后续报文目的IP不变,但mac地址变成了宿主机上对应interface的地址,即所有的报文都会发给宿主机,然后宿主机根据ip地址进行转发,此feature是calico默认开启的,可通过如下方式确认:
[root@calico-node1 ~]# cat /proc/sys/net/ipv4/conf/calic255b5bfca1/proxy_arp

4. 容器连通性

# 在calico-node2节点创建容器
[root@calico-node2 ~]# docker run -tid --name=test2 --net=net1 busybox # 如预期,容器之间可通信
[root@calico-node2 ~]# docker exec test2 ping 10.254.0.5

# 在calico-node1节点的”tunl0”端口抓包,确定容器之间通过tunl0端口通信
[root@calico-node1 ~]# tcpdump -i tunl0 icmp -n

八.补充

针对flannel与calico网络方案做简单的对比,如下:

Flannel

Calico

overlay方案

1. udp

2. vxlan

ipip,宿主机网络不能完全支持bgp时,可采用ipip模式

host-gw方案

host-gw,要求宿主机在相同subnet

bgp

网络策略

不支持

支持

ipam

不支持去中心化ipam

不支持去中心化ipam

性能

理论值:

1. host-gw模式的性能优于overlay模式,甚至接近于宿主机直接通信;

2. flannel host-gw模式与calico bgp模式相当;

3. flannel overlay模式与calico ipip模式相当或略差,ipip包头较vxlan小;

4. flannel udp 模式相对最差,udp封装方式在linux用户态,vxlan与ipip封装在linux内核态完成(ipip安全性不如vxlan)。

Calico网络方案的更多相关文章

  1. 理解Docker(6):若干企业生产环境中的容器网络方案

    本系列文章将介绍 Docker的相关知识: (1)Docker 安装及基本用法 (2)Docker 镜像 (3)Docker 容器的隔离性 - 使用 Linux namespace 隔离容器的运行环境 ...

  2. kubeadm单集群部署k8s1.15.1&calico网络

    说明 本次实验在Windows下的VMware进行 系统配置及初始化配置在所有的主机执行 容器镜像全部替换为国内可拉取的 pod网络采用calico 实验环境 主机名 IP地址 角色 OS CPU/M ...

  3. Kubernetes网络方案 Flannel和calico

    摘抄某博客 1.   Flannel Flannel是为kubernetes设计的一个非常简洁的多节点三层网络方案,解决不同host上的容器互联问题,原理是为每个host分配一个subnet,容器从此 ...

  4. k8s的两种网络方案与多种工作模式[flannel与calico]

    k8s的两种网络方案与多种工作模式 1. Flannel: flannel有三种工作模式: 1. vxlan(隧道方案) 2. host-gw(路由方案) 2. udp(在用户态实现的数据封装解封装, ...

  5. 容器中跨主机的网络方案-Calico

    容器中的网络是建立docker集群的重要内容. 本文将介绍如何用Calico实现容器的多节点互通. Calico的组件结构如下: Calico通过etcd同步Bridge的信息,各个Docker no ...

  6. 如何部署 Calico 网络?- 每天5分钟玩转 Docker 容器技术(67)

    Calico 是一个纯三层的虚拟网络方案,Calico 为每个容器分配一个 IP,每个 host 都是 router,把不同 host 的容器连接起来.与 VxLAN 不同的是,Calico 不对数据 ...

  7. Docker 跨主机网络方案分析

    PS:文章首发公众号,欢迎大家关注我的公众号:aCloudDeveloper,专注技术分享,努力打造干货分享平台,二维码在文末可以扫,谢谢大家. 上篇文章介绍了容器网络的单主机网络,本文将进一步介绍多 ...

  8. k8s 各种网络方案 - 每天5分钟玩转 Docker 容器技术(170)

    网络模型有了,如何实现呢? 为了保证网络方案的标准化.扩展性和灵活性,Kubernetes 采用了 Container Networking Interface(CNI)规范. CNI 是由 Core ...

  9. k8s网络之Calico网络

    k8s网络主题系列: 一.k8s网络之设计与实现 二.k8s网络之Flannel网络 三.k8s网络之Calico网络 简介 Calico 是一种容器之间互通的网络方案.在虚拟化平台中,比如 Open ...

随机推荐

  1. 整合Yolov3到游戏引擎

    这篇其实是前文 CUDA版Grabcut的实现 的后续,和上文一样,先放视频. (博客园好像不支持视频,gif文件太大,视频链接) 在上文用CUDA实现opencv下的grabcut后,当时问题主要是 ...

  2. 2018 - 2019 CTU Open Contest E. Locker Room 【后缀数组】

    任意门:http://codeforces.com/gym/101954/problem/E E. Locker Room time limit per test 2.0 s memory limit ...

  3. programming-languages学习笔记--第9部分

    programming-languages学习笔记–第9部分 */--> pre.src {background-color: #292b2e; color: #b2b2b2;} pre.src ...

  4. github与git基本操作(一)

    一.git上传本地项目到github 前提:github创建一个空仓库(得到“https://自己的仓库url地址”)1.第一步:就是要进入这个目录下,cmd2.第二步:输入git init3.第三步 ...

  5. 利用grep命令查找字符串分析log文件的一次实践

    需求场景: 我需要分析一个服务器访问日志,分析百度蜘蛛这个月对求索网页面的抓取情况. 分析问题: 我的一个access.log文件大小有35M,不可能直接通过打开查看.我需要过滤掉一些没有的信息,只保 ...

  6. 构建Vue开发环境

    1.开发环境的准备工作 IDE 可以选择WebStom或者VisualStudio Code Node.js的安装 node + npm 调试环境 Google Chrome + Vue.js 2.什 ...

  7. 【题解】洛谷P1169 [ZJOI2007] 棋盘制作(坐标DP+悬线法)

    次元传送门:洛谷P1169 思路 浙江省选果然不一般 用到一个从来没有听过的算法 悬线法: 所谓悬线法 就是用一条线(长度任意)在矩阵中判断这条线能到达的最左边和最右边及这条线的长度 即可得到这个矩阵 ...

  8. mysql/mariadb学习过程中出现的问题与解决

    mysql> insert into student values(,,'CS'); ERROR (): Duplicate entry ' for key 'PRIMARY'(duplecat ...

  9. jquery html 鼠标悬浮出现列表切换

    效果截图 HTML结构为: <div class="activityBox"> <ul class="activityTab"> < ...

  10. 安卓isEmpty()的注意事项,主要判断NULL

    项目中服务器返回的字符串有可能为NULL或者没有内容,习惯性直接用String.isEmpty() 运行中发现字符串为NULL的时候就会出错,之前有查百度看到过正确的用法,但一直没在意, 就直接加多一 ...