一 Kubernetes網(wǎng)絡(luò)模型概述1.1 Kubernetes網(wǎng)絡(luò)模型Kubernetes網(wǎng)絡(luò)模型設(shè)計的一個基礎(chǔ)原則是：每個Pod都擁有一個獨立的IP地址，并假定所有Pod都在一個可以直接連通的、扁平的網(wǎng)絡(luò)空間中。所以不管它們是否運行在同一個Node（宿主機）中，都要求它們可以直接通過對方的IP進行訪問。設(shè)計這個原則的原因是，用戶不需要額外考慮如何建立Pod之間的連接，也不需要考慮如何將容器端口映射到主機端口等問題。
實際上，在Kubernetes的集群里，IP是以Pod為單位進行分配的。一個Pod內(nèi)部的所有容器共享一個網(wǎng)絡(luò)堆棧（相當(dāng)于一個網(wǎng)絡(luò)命名空間，它們的IP地址、網(wǎng)絡(luò)設(shè)備、配置等都是共享的）。按照這個網(wǎng)絡(luò)原則抽象出來的為每個Pod都設(shè)置一個IP地址的模型也被稱作IP-per-Pod模型。
由于Kubernetes的網(wǎng)絡(luò)模型假設(shè)Pod之間訪問時使用的是對方Pod的實際地址，所以一個Pod內(nèi)部的應(yīng)用程序看到的自己的IP地址和端口與集群內(nèi)其他Pod看到的一樣。它們都是Pod實際分配的IP地址。將IP地址和端口在Pod內(nèi)部和外部都保持一致，也就不需要使用NAT來進行地址轉(zhuǎn)換了。
Kubernetes的網(wǎng)絡(luò)之所以這么設(shè)計，主要原因就是可以兼容過去的應(yīng)用。當(dāng)然，我們使用Linux命令“ipaddrshow”也能看到這些地址，和程序看到的沒有什么區(qū)別。所以這種IP-per-Pod的方案很好地利用了現(xiàn)有的各種域名解析和發(fā)現(xiàn)機制。
為每個Pod都設(shè)置一個IP地址的模型還有另外一層含義，那就是同一個Pod內(nèi)的不同容器會共享同一個網(wǎng)絡(luò)命名空間，也就是同一個Linux網(wǎng)絡(luò)協(xié)議棧。這就意味著同一個Pod內(nèi)的容器可以通過localhost來連接對方的端口。這種關(guān)系和同一個VM內(nèi)的進程之間的關(guān)系是一樣的，看起來Pod內(nèi)容器之間的隔離性減小了，而且Pod內(nèi)不同容器之間的端口是共享的，就沒有所謂的私有端口的概念了。如果應(yīng)用必須要使用一些特定的端口范圍，那么也可以為這些應(yīng)用單獨創(chuàng)建一些Pod。反之，對那些沒有特殊需要的應(yīng)用，由于Pod內(nèi)的容器是共享部分資源的，所以可以通過共享資源互相通信，這顯然更加容易和高效。針對這些應(yīng)用，雖然損失了可接受范圍內(nèi)的部分隔離性，卻也是值得的。
IP-per-Pod模式和Docker原生的通過動態(tài)端口映射方式實現(xiàn)的多節(jié)點訪問模式有如下差別：
總的來說，IP-per-Pod模型是一個簡單的兼容性較好的模型。從該模型的網(wǎng)絡(luò)的端口分配、域名解析、服務(wù)發(fā)現(xiàn)、負載均衡、應(yīng)用配置和遷移等角度來看，Pod都能夠被看作一臺獨立的虛擬機或物理機。
按照這個網(wǎng)絡(luò)抽象原則，Kubernetes對網(wǎng)絡(luò)有如下要求。
這些基本要求意味著并不是只要兩臺機器都運行Docker，Kubernetes就可以工作了。具體的集群網(wǎng)絡(luò)實現(xiàn)必須滿足上述基本要求，原生的Docker網(wǎng)絡(luò)目前還不能很好地支持這些要求。
實際上，這些對網(wǎng)絡(luò)模型的要求并沒有降低整個網(wǎng)絡(luò)系統(tǒng)的復(fù)雜度。如果程序原來在VM上運行，而那些VM擁有獨立IP，并且它們之間可以直接透明地通信，那么Kubernetes的網(wǎng)絡(luò)模型就和VM使用的網(wǎng)絡(luò)模型一樣。所以使用這種模型可以很容易地將已有的應(yīng)用程序從VM或者物理機遷移到容器上。
當(dāng)然，谷歌設(shè)計Kubernetes的一個主要運行基礎(chǔ)就是其公有云GCE，GCE默認支持這些網(wǎng)絡(luò)要求。另外，常見的其他公有云服務(wù)商如亞馬遜等，其公有云環(huán)境也支持這些網(wǎng)絡(luò)要求。
由于部署私有云的場景也非常普遍，所以在私有云中運行Kubernetes+Docker集群之前，需要自己搭建出符合Kubernetes要求的網(wǎng)絡(luò)環(huán)境。有很多開源組件可以幫助我們打通Docker容器和容器之間的網(wǎng)絡(luò)，實現(xiàn)滿足Kubernetes要求的網(wǎng)絡(luò)模型。當(dāng)然，每種方案都有適合的場景，需要根據(jù)自己的實際需要進行選擇。
提示：Kubernetes的網(wǎng)絡(luò)依賴于Docker，Docker的網(wǎng)絡(luò)又離不開Linux操作系統(tǒng)內(nèi)核特性的支持。
二 Docker網(wǎng)絡(luò)基礎(chǔ)Docker本身的技術(shù)依賴于近年來Linux內(nèi)核虛擬化技術(shù)的發(fā)展，所以Docker對Linux內(nèi)核的特性有很強的依賴。Docker通常使用到的與Linux網(wǎng)絡(luò)有關(guān)的主要技術(shù)有：網(wǎng)絡(luò)命名空間（Network Namespace）、Veth設(shè)備對、網(wǎng)橋、ipatables和路由。
2.1 網(wǎng)絡(luò)命名空間為了支持網(wǎng)絡(luò)協(xié)議棧的多個實例，Linux在網(wǎng)絡(luò)棧中引入了網(wǎng)絡(luò)命名空間，這些獨立的協(xié)議棧被隔離到不同的命名空間中。
處于不同命名空間中的網(wǎng)絡(luò)棧是完全隔離的，彼此之間無法通信。通過對網(wǎng)絡(luò)資源的隔離，就能在一個宿主機上虛擬多個不同的網(wǎng)絡(luò)環(huán)境。Docker正是利用了網(wǎng)絡(luò)的命名空間特性，實現(xiàn)了不同容器之間的網(wǎng)絡(luò)隔離。在Linux的網(wǎng)絡(luò)命名空間中可以有自己獨立的路由表及獨立的iptables設(shè)置來提供包轉(zhuǎn)發(fā)、NAT及IP包過濾等功能。
為了隔離出獨立的協(xié)議棧，需要納入命名空間的元素有進程、套接字、網(wǎng)絡(luò)設(shè)備等。進程創(chuàng)建的套接字必須屬于某個命名空間，套接字的操作也必須在命名空間中進行。同樣，網(wǎng)絡(luò)設(shè)備也必須屬于某個命名空間。因為網(wǎng)絡(luò)設(shè)備屬于公共資源，所以可以通過修改屬性實現(xiàn)在命名空間之間移動。
Linux的網(wǎng)絡(luò)協(xié)議棧相對復(fù)雜，為了支持獨立的協(xié)議棧，相關(guān)的這些全局變量都必須被修改為協(xié)議棧私有。最好的辦法就是讓這些全局變量成為一個Net Namespace變量的成員，然后為協(xié)議棧的函數(shù)調(diào)用加入一個Namespace參數(shù)。這就是Linux實現(xiàn)網(wǎng)絡(luò)命名空間的核心。
同時，為了保證對已經(jīng)開發(fā)的應(yīng)用程序及內(nèi)核代碼的兼容性，內(nèi)核代碼隱式地使用了命名空間中的變量。程序如果沒有對命名空間有特殊需求，就不需要編寫額外的代碼，網(wǎng)絡(luò)命名空間對應(yīng)用程序而言是透明的。
在建立了新的網(wǎng)絡(luò)命名空間，并將某個進程關(guān)聯(lián)到這個網(wǎng)絡(luò)命名空間后，就出現(xiàn)了類似于下圖所示的內(nèi)核數(shù)據(jù)結(jié)構(gòu)，所有網(wǎng)站棧變量都被放入了網(wǎng)絡(luò)命名空間的數(shù)據(jù)結(jié)構(gòu)中。這個網(wǎng)絡(luò)命名空間是其進程組私有的，和其他進程組不沖突。
 在新生成的私有命名空間中只有回環(huán)設(shè)備（名為“l(fā)o”且是停止?fàn)顟B(tài)），其他設(shè)備默認都不存在，若需要其他設(shè)備，則要手工建立。
從網(wǎng)絡(luò)角度，每個namespace提供了一份獨立的網(wǎng)絡(luò)協(xié)議棧（網(wǎng)絡(luò)設(shè)備接口、IPV4、IPV6、IP路由、防火墻規(guī)則、sockets等）。一個設(shè)備（Linux Device）只能位于一個namespace中，不同namespace中的設(shè)備可以利用veth pair進行橋接。
 namespace可實現(xiàn)隔離的資源：
Docker容器中的各類網(wǎng)絡(luò)棧設(shè)備都是Docker Daemon在啟動時自動創(chuàng)建和配置的。
所有的網(wǎng)絡(luò)設(shè)備（物理的或虛擬接口、橋等在內(nèi)核里都叫作NetDevice）都只能屬于一個命名空間。
注意，物理設(shè)備（連接實際硬件的設(shè)備）通常只能關(guān)聯(lián)到root這個命名空間中。虛擬的網(wǎng)絡(luò)設(shè)備（虛擬的以太網(wǎng)接口或者虛擬網(wǎng)口對）則可以被創(chuàng)建并關(guān)聯(lián)到一個給定的命名空間中，而且可以在這些命名空間之間移動。
同時，由于網(wǎng)絡(luò)命名空間代表的是一個獨立的協(xié)議棧，所以它們之間是相互隔離的，彼此無法通信，在協(xié)議棧內(nèi)部都看不到對方。
若需要打破這種限制，讓處于不同命名空間的網(wǎng)絡(luò)相互通信，甚至和外部的網(wǎng)絡(luò)進行通信，則需要應(yīng)用Veth設(shè)備對。Veth設(shè)備對的一個重要作用就是打通互相看不到的協(xié)議棧之間的壁壘，類似一個通道，一端連著這個網(wǎng)絡(luò)命名空間的協(xié)議棧，一端連著另一個網(wǎng)絡(luò)命名空間的協(xié)議棧。所以如果想在兩個命名空間之間通信，就必須有一個Veth設(shè)備對。
如下命令需要使用root用戶執(zhí)行，同時需要iproute軟件包提供相關(guān)命令。
1 [root@k8smaster01 ~]# ip netns add mytestns #創(chuàng)建命名空間 2 [root@k8smaster01 ~]# ip netns exec mytestns <command> #進入命名空間bash 3 [root@k8smaster01 ~]# ip netns exec mytestns bash #進入命名空間bash 4 [root@k8smaster01 ~]# exit #退出命名空間 5 [root@k8smaster01 ~]# ip link set <device> netns mytestns #轉(zhuǎn)移設(shè)備 注意：因為一個設(shè)備只能屬于一個命名空間，所以轉(zhuǎn)移后在這個命名空間中就看不到這個設(shè)備了。在設(shè)備里面有一個重要的屬性：NETIF_F_ETNS_LOCAL，如果這個屬性為on，就不能被轉(zhuǎn)移到其他命名空間中。Veth設(shè)備屬于可以轉(zhuǎn)移的設(shè)備，而很多其他設(shè)備如lo設(shè)備、vxlan設(shè)備、ppp設(shè)備、bridge設(shè)備等都是不可以轉(zhuǎn)移的。
2.2 Veth設(shè)備對引入Veth設(shè)備對是為了在不同的網(wǎng)絡(luò)命名空間之間通信，利用它可以直接將兩個網(wǎng)絡(luò)命名空間連接起來。由于要連接兩個網(wǎng)絡(luò)命名空間，所以Veth設(shè)備都是成對出現(xiàn)的，很像一對以太網(wǎng)卡，并且中間有一根直連的網(wǎng)線。通常將其中一端稱為另一端的peer。
在Veth設(shè)備的一端發(fā)送數(shù)據(jù)時，它會將數(shù)據(jù)直接發(fā)送到另一端，并觸發(fā)另一端的接收操作。Veth設(shè)備對的示意圖如下：
1 [root@k8smaster01 ~]# ip link add veth0 type veth peer name veth1 #創(chuàng)建veth設(shè)備對 2 [root@k8smaster01 ~]# ip link show | grep veth #當(dāng)前查看veth 3 [root@k8smaster01 ~]# ip netns add ns0 4 [root@k8smaster01 ~]# ip netns add ns1 #創(chuàng)建命名空間 5 [root@k8smaster01 ~]# ip link set veth0 netns ns0 6 [root@k8smaster01 ~]# ip link set veth1 netns ns1 #veth移入命名空間 7 [root@k8smaster01 ~]# ip netns exec ns0 ip link show #進入命名空間查看veth 8 [root@k8smaster01 ~]# ip netns exec ns0 ip addr add local 192.168.10.1/24 dev veth0 9 [root@k8smaster01 ~]# ip netns exec ns1 ip addr add local 192.168.10.2/24 dev veth1 #設(shè)置對應(yīng)的IP 10 [root@k8smaster01 ~]# ip netns exec ns0 ifconfig veth0 up 11 [root@k8smaster01 ~]# ip netns exec ns1 ifconfig veth1 up #開啟設(shè)備 12 [root@k8smaster01 ~]# ip netns exec ns0 ping 192.168.10.2 #連通性測試  提示：在Docker內(nèi)部，Veth設(shè)備對也是連通容器與宿主機的主要網(wǎng)絡(luò)設(shè)備。
1 [root@k8smaster01 ~]# ip netns exec ns0 ethtool -S veth0 2 NIC statistics: 3 peer_ifindex: 9 4 [root@k8smaster01 ~]# ip netns exec ns1 ip link | grep 9 2.3 網(wǎng)橋Linux可以支持多個不同的網(wǎng)絡(luò)，它們之間能夠相互通信，可通過網(wǎng)橋?qū)⑦@些網(wǎng)絡(luò)連接起來并實現(xiàn)各網(wǎng)絡(luò)中主機的相互通信。
網(wǎng)橋是一個二層的虛擬網(wǎng)絡(luò)設(shè)備，把若干個網(wǎng)絡(luò)接口“連接”起來，以使得網(wǎng)絡(luò)接口之間的報文能夠互相轉(zhuǎn)發(fā)。網(wǎng)橋能夠解析收發(fā)的報文，讀取目標(biāo)MAC地址的信息，和自己記錄的MAC表結(jié)合，來決策報文的轉(zhuǎn)發(fā)目標(biāo)網(wǎng)絡(luò)接口。
為了實現(xiàn)轉(zhuǎn)發(fā)功能，網(wǎng)橋?qū)W習(xí)源MAC地址（二層網(wǎng)橋轉(zhuǎn)發(fā)的依據(jù)就是MAC地址）。在轉(zhuǎn)發(fā)報文時，網(wǎng)橋只需要向特定的網(wǎng)口進行轉(zhuǎn)發(fā)，來避免不必要的網(wǎng)絡(luò)交互。如果接受到未學(xué)習(xí)到的地址，就無法知道這個報文應(yīng)該向哪個網(wǎng)絡(luò)接口轉(zhuǎn)發(fā)，就將報文廣播給所有的網(wǎng)絡(luò)接口（報文來源的網(wǎng)絡(luò)接口除外）。
在實際的網(wǎng)絡(luò)中，網(wǎng)絡(luò)拓撲若出現(xiàn)改變，如設(shè)備被移動到另一個端口上，卻沒有發(fā)送任何數(shù)據(jù)，網(wǎng)橋設(shè)備就無法感知到這個變化，網(wǎng)橋還是向原來的端口轉(zhuǎn)發(fā)數(shù)據(jù)包，在這種情況下數(shù)據(jù)就會丟失。所以網(wǎng)橋還要對學(xué)習(xí)到的MAC地址表加上超時時間（默認為5min）。如果網(wǎng)橋收到了對應(yīng)端口MAC地址回發(fā)的包，則重置超時時間，否則過了超時時間后，就認為設(shè)備已經(jīng)不在那個端口上了，它就會重新廣播發(fā)送。
對于多網(wǎng)卡、多虛擬的設(shè)備，Linux的網(wǎng)橋提供了在這些設(shè)備之間互相轉(zhuǎn)發(fā)數(shù)據(jù)的二層設(shè)備。Linux內(nèi)核支持網(wǎng)口的橋接（目前只支持以太網(wǎng)接口）。但是與單純的交換機不同，交換機只是一個二層設(shè)備，對于接收到的報文，要么轉(zhuǎn)發(fā)，要么丟棄。運行著Linux內(nèi)核的機器本身就是一臺主機，有可能是網(wǎng)絡(luò)報文的目的地，其收到的報文除了轉(zhuǎn)發(fā)和丟棄，還可能被送到網(wǎng)絡(luò)協(xié)議棧的上層（網(wǎng)絡(luò)層），從而被自己（這臺主機本身的協(xié)議棧）消化，所以既可以把網(wǎng)橋看作一個二層設(shè)備，也可以把它看作一個三層設(shè)備。
Linux內(nèi)核是通過一個虛擬的網(wǎng)橋設(shè)備（Net Device）來實現(xiàn)橋接的。這個虛擬設(shè)備可以綁定若干個以太網(wǎng)接口設(shè)備，從而將它們橋接起來。如下圖所示，這種Net Device網(wǎng)橋和普通的設(shè)備不同，最明顯的一個特性是還可以有一個IP地址。
 如上圖所示，網(wǎng)橋設(shè)備br0綁定了eth0和eth1。對于網(wǎng)絡(luò)協(xié)議棧的上層來說，只看得到br0就行。因為橋接是在數(shù)據(jù)鏈路層實現(xiàn)的，上層不需要關(guān)心橋接的細節(jié)，所以協(xié)議棧上層需要發(fā)送的報文被送到br0，網(wǎng)橋設(shè)備的處理代碼判斷報文該被轉(zhuǎn)發(fā)到eth0還是eth1，或者兩者皆轉(zhuǎn)發(fā)；反之，從eth0或從eth1接收到的報文被提交給網(wǎng)橋的處理代碼，在這里會判斷報文應(yīng)該被轉(zhuǎn)發(fā)、丟棄還是被提交到協(xié)議棧上層。而有時eth0、eth1也可能會作為報文的源地址或目的地址，直接參與報文的發(fā)送與接收，從而繞過網(wǎng)橋。
Docker自動完成了對網(wǎng)橋的創(chuàng)建和維護。
新增一個網(wǎng)橋設(shè)備：
[root@k8smaster01 ~]# brctl #查看brctl模塊
 提示：可通過# yum -y install bridge-utils安裝brctl。
為網(wǎng)橋增加網(wǎng)口，在Linux中，一個網(wǎng)口其實就是一個物理網(wǎng)卡。
 1 [root@k8smaster01 ~]# ip link add tap1 type veth peer name tap1_peer 2 [root@k8smaster01 ~]# ip link add tap2 type veth peer name tap2_peer 3 [root@k8smaster01 ~]# ip link add tap3 type veth peer name tap3_peer 4 [root@k8smaster01 ~]# ip link add tap4 type veth peer name tap4_peer 5 #創(chuàng)建veth pair 6 [root@k8smaster01 ~]# ip netns add ns1 7 [root@k8smaster01 ~]# ip netns add ns2 8 [root@k8smaster01 ~]# ip netns add ns3 9 [root@k8smaster01 ~]# ip netns add ns4 10 #創(chuàng)建namespace 11 [root@k8smaster01 ~]# ip link set tap1 netns ns1 12 [root@k8smaster01 ~]# ip link set tap2 netns ns2 13 [root@k8smaster01 ~]# ip link set tap3 netns ns3 14 [root@k8smaster01 ~]# ip link set tap4 netns ns4 15 #tap和namespace關(guān)聯(lián) 16 [root@k8smaster01 ~]# brctl addbr br1 #創(chuàng)建橋 17 [root@k8smaster01 ~]# brctl addif br1 tap1_peer 18 [root@k8smaster01 ~]# brctl addif br1 tap2_peer 19 [root@k8smaster01 ~]# brctl addif br1 tap3_peer 20 [root@k8smaster01 ~]# brctl addif br1 tap4_peer 21 #把相應(yīng)的tap添加至bright中 22 [root@k8smaster01 ~]# ip netns exec ns1 ip addr add local 192.168.20.1/24 dev tap1 23 [root@k8smaster01 ~]# ip netns exec ns2 ip addr add local 192.168.20.2/24 dev tap2 24 [root@k8smaster01 ~]# ip netns exec ns3 ip addr add local 192.168.20.3/24 dev tap3 25 [root@k8smaster01 ~]# ip netns exec ns4 ip addr add local 192.168.20.4/24 dev tap4 26 #配置相應(yīng)IP地址 27 [root@k8smaster01 ~]# ip link set br1 up 28 [root@k8smaster01 ~]# ip link set tap1_peer up 29 [root@k8smaster01 ~]# ip link set tap2_peer up 30 [root@k8smaster01 ~]# ip link set tap3_peer up 31 [root@k8smaster01 ~]# ip link set tap4_peer up 32 [root@k8smaster01 ~]# ip netns exec ns1 ip link set tap1 up 33 [root@k8smaster01 ~]# ip netns exec ns2 ip link set tap2 up 34 [root@k8smaster01 ~]# ip netns exec ns3 ip link set tap3 up 35 [root@k8smaster01 ~]# ip netns exec ns4 ip link set tap4 up 36 #將bright和tap設(shè)置為up 37 [root@k8smaster01 ~]# ip netns exec ns1 ping 192.168.20.2 #互ping  提示：若物理網(wǎng)卡作為網(wǎng)橋的一個網(wǎng)口，則此物理網(wǎng)卡將在鏈路層工作（是一個純鏈路層設(shè)備），就不再需要IP地址了，可以取消物理網(wǎng)卡的IP，給網(wǎng)橋配置一個IP地址。
2.4 iptables和NetfilterLinux提供了一套機制來為用戶實現(xiàn)自定義的數(shù)據(jù)包處理過程。在Linux網(wǎng)絡(luò)協(xié)議棧中有一組回調(diào)函數(shù)掛接點，通過這些掛接點掛接的鉤子函數(shù)可以在Linux網(wǎng)絡(luò)棧處理數(shù)據(jù)包的過程中對數(shù)據(jù)包進行一些操作，例如過濾、修改、丟棄等。
整個掛接點技術(shù)叫作Netfilter和iptables。Netfilter負責(zé)在內(nèi)核中執(zhí)行各種掛接的規(guī)則，運行在內(nèi)核模式中；而iptables是在用戶模式下運行的進程，負責(zé)協(xié)助和維護內(nèi)核中Netfilter的各種規(guī)則表。二者互相配合來實現(xiàn)整個Linux網(wǎng)絡(luò)協(xié)議棧中靈活的數(shù)據(jù)包處理機制。
iptables內(nèi)置三張表：filter、nat和mangle。
iptables三張表，或三條鏈（chain），也是三種策略（policy）。這類策略，由不同規(guī)則（rule）串聯(lián)而成。
提示：更多iptables知識參考：https://wiki./index.php/Iptables_(%E7%AE%80%E4%BD%93%E4%B8%AD%E6%96%87)。
規(guī)則示例：iptables - A INPUT - i ethO -p icmp -j ACCEPT
解釋：允許所有從 ethO 端口進入且協(xié)議是 ICMP 的報文可以接受（可以進入下一個流程）。
規(guī)則的本質(zhì)是對進入的IP報文進行說明，如：符合什么樣的條件（比如本條命令的條件是“允許所有從eth0端口進入且協(xié)議是 ICPM 的報文”）、做什么樣的處理（比如本條命令的處理是“接受”，可以進入下一個流程）。
查看系統(tǒng)中已有規(guī)則的方法如下。
iptables可以定義多種策略／規(guī)則，所有規(guī)則最終會傳遞到內(nèi)核netfilter模塊，netfilter模塊會根據(jù)這些規(guī)則做相應(yīng)的處理。
netfilter的處理方式是：從報文進入本機（ linux host 或 vm）的那一刻起，到報文離開本機的那一刻止，中間這段時間（或者是發(fā)自本機的報文，從報文準(zhǔn)備發(fā)送的那一刻，到報文離開本機的那一刻止，中間這段時間），netfilter 會在ABCDE時刻點插入處理模塊，這些處理模塊根據(jù)相應(yīng)的策略／規(guī)則對報文進行處理。
對于 nat 、 filter 、 mangle 三張表也可以這么理解：僅僅是為了達到不同的目的（功能）而實現(xiàn)的三個模塊而已 。
Netfilter可以掛接的規(guī)則點有5個，如下圖所示：
 在這些時刻點中，iptables三張表（模塊）并不是所有的時刻都全部進行處理。在同一個時刻點，也可以有多個模塊進行處理，對于不同模塊誰先處理，誰后處理，可參考如下順序。
 解釋：
三張表所能對應(yīng)的時刻點如下：
2.5 路由Linux系統(tǒng)包含一個完整的路由功能。當(dāng)IP層在處理數(shù)據(jù)發(fā)送或者轉(zhuǎn)發(fā)時，會使用路由表來決定發(fā)往哪里。在通常情況下，如果主機與目的主機直接相連，那么主機可以直接發(fā)送IP報文到目的主機，這個過程比較簡單。例如，通過點對點的鏈接或網(wǎng)絡(luò)共享。如果主機與目的主機沒有直接相連，那么主機會將IP報文發(fā)送給默認的路由器，然后由路由器來決定往哪里發(fā)送IP報文。
路由功能由IP層維護的一張路由表來實現(xiàn)。當(dāng)主機收到數(shù)據(jù)報文時，它用此表來決策接下來應(yīng)該做什么操作。當(dāng)從網(wǎng)絡(luò)側(cè)接收到數(shù)據(jù)報文時，IP層首先會檢查報文的IP地址是否與主機自身的地址相同。如果數(shù)據(jù)報文中的IP地址是主機自身的地址，那么報文將被發(fā)送到傳輸層相應(yīng)的協(xié)議中。如果報文中的IP地址不是主機自身的地址，并且主機配置了路由功能，那么報文將被轉(zhuǎn)發(fā)，否則，報文將被丟棄。
路由表中的數(shù)據(jù)一般是以條目形式存在的。一個典型的路由表條目通常包含以下主要的條目項。
在通過路由表轉(zhuǎn)發(fā)時，如果任何條目的第1個字段完全匹配目的IP地址（主機）或部分匹配條目的IP地址（網(wǎng)絡(luò)），它將指示下一個路由器的IP地址。條目中的所有其他字段將提供更多的輔助信息來為路由轉(zhuǎn)發(fā)做決定。
如果沒有找到一個完全匹配的IP，就接著搜索相匹配的網(wǎng)絡(luò)ID。如果找到，那么該數(shù)據(jù)報文會被轉(zhuǎn)發(fā)到指定的路由器上?？梢钥闯觯W(wǎng)絡(luò)上的所有主機都通過這個路由表中的單個（這個）條目進行管理。
如果上述兩個條件都不匹配，那么該數(shù)據(jù)報文將被轉(zhuǎn)發(fā)到一個默認的路由器上。
如果上述步驟都失敗，默認路由器也不存在，那么該數(shù)據(jù)報文最終無法被轉(zhuǎn)發(fā)。任何無法投遞的數(shù)據(jù)報文都將產(chǎn)生一個ICMP主機不可達或ICMP網(wǎng)絡(luò)不可達的錯誤，并將此錯誤返回給生成此數(shù)據(jù)報文的應(yīng)用程序。
Linux的路由表至少包括兩個表（當(dāng)啟用策略路由時，還會有其他表）：一個是LOCAL，另一個是MAIN。
在LOCAL表中會包含所有的本地設(shè)備地址。LOCAL路由表是在配置網(wǎng)絡(luò)設(shè)備地址時自動創(chuàng)建的。LOCAL表用于供Linux協(xié)議棧識別本地地址，以及進行本地各個不同網(wǎng)絡(luò)接口之間的數(shù)據(jù)轉(zhuǎn)發(fā)。
[root@k8smaster01 ~]# ip route show table local type local #查看LOCAL表的內(nèi)容
MAIN表用于各類網(wǎng)絡(luò)IP地址的轉(zhuǎn)發(fā)。它的建立既可以使用靜態(tài)配置生成，也可以使用動態(tài)路由發(fā)現(xiàn)協(xié)議生成。動態(tài)路由發(fā)現(xiàn)協(xié)議一般使用組播功能來通過發(fā)送路由發(fā)現(xiàn)數(shù)據(jù)，動態(tài)地交換和獲取網(wǎng)絡(luò)的路由信息，并更新到路由表中。
Linux下支持路由發(fā)現(xiàn)協(xié)議的開源軟件有許多，常用的有Quagga、Zebra等。
可以使用ip route list命令查看當(dāng)前的路由表：
[root@k8smaster01 ~]# ip route list
netstat -rn是另一個查看路由表的工具：
在它顯示的信息中，如果標(biāo)志是U，則說明是可達路由；如果標(biāo)志是G，則說明這個網(wǎng)絡(luò)接口連接的是網(wǎng)關(guān)，否則說明這個接口直連主機。
|
|
|
