检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
使用注解为Pod绑定安全组 使用场景 云原生网络2.0网络模式下,Pod使用的是VPC的弹性网卡/辅助弹性网卡,可以通过配置Pod的annotation为Pod配置安全组。 支持两种方式的安全组配置: Pod的网卡使用annotation配置的安全组,对应annotation配置:yangtse
0/25,则可支持122个节点。若创建200个节点集群,则实际只能添加122个节点(包括控制节点)。 图1 查看“可用IP数” 相关文档 集群网络地址段规划实践 父主题: 网络规划
述文档进行排查。 网络策略(仅适用于容器隧道网络) 如果您在容器隧道网络类型的集群中配置了网络策略,并且Pod所在的命名空间也设置了网络策略,则该网络策略可能会限制Pod中访问的目标地址。 如果该网络策略限制Pod中的访问,则需要修改网络策略,具体可参考配置网络策略限制Pod访问的对象。
{podNamespace}:替换为实际Pod所在的namespace名称。 删除故障容器的Pod之后系统自动为容器重建Pod,从而修复容器网卡。 父主题: 网络异常问题排查
出口网络带宽保障 出口网络带宽保障通过设置网络优先级实现,具有如下优点: 平衡在线业务与离线业务对出口网络带宽的使用,保证在线业务有足够的网络带宽,在线业务触发阈值时,压缩离线业务带宽使用。 在线业务所占用的网络资源较少时,离线业务可使用更多带宽;在线业务所占用的网络资源较多时,
3-r0及以上版本的集群支持删除容器子网。 登录CCE控制台,单击CCE Turbo集群名称,进入集群。 在“配置中心”页面,切换至“网络配置”页签。 在“容器网络配置”中,单击default-network(默认容器子网)后的“更新”。 在“容器子网(Pod CIDR)”中取消选择需要删除的容器子网,单击“确定”。
容器网络带宽限制的配置建议 应用场景 同一个节点上的容器会共用主机网络带宽,对容器的网络带宽进行限制,可以有效避免容器之间相互干扰,提升容器间的网络稳定性。 约束与限制 Pod带宽限制功能规格如下: 功能规格 容器隧道网络模型 VPC网络模型 云原生网络2.0模型 云原生网络2.0模型+DataPlane
节点网络配置 节点关联自定义安全组 节点池自定义安全组配置。 参数名 取值范围 默认值 是否允许修改 作用范围 customSecurityGroups UUID列表,最大支持配置5个。 禁止重复 NULL 允许 CCE Turbo 配置自定义安全组后,原集群默认节点安全组将不会被配置至新创建节点。
从Pod访问集群外部网络 从Pod访问公网 从Pod访问同一VPC网络的云服务 从Pod访问不同VPC网络的云服务 父主题: 网络
为Pod配置固定EIP 使用场景 在云原生网络2.0下,支持为StatefulSet工作负载或直接创建的Pod分配固定的公网IP(EIP)。 约束限制 仅以下指定版本的CCE Turbo集群支持用户配置Pod固定EIP: v1.19集群:v1.19.16-r20及以上版本 v1.21集群:v1
0/16的私有局域网,是为用户在云上构建的一个私有网络,是弹性云服务器、负载均衡、中间件等工作的基本网络环境。根据实际业务需要可以设置不同规模的网络,一般可为10.0.0.0/8~24,172.16.0.0/12~24,192.168.0.0/16~24,其中最大的网络10.0.0.0/8的A类地址网络。 子网是虚拟
如何解决VPC网段与容器网络冲突的问题? 在集群创建页面,若“容器网段”配置与“VPC网段”冲突,界面会提示“该网段与VPC网段有冲突,请重新选择”,重新调整“容器网段”即可。 图1 网段冲突提示 父主题: 网络异常问题排查
一般在容器镜像中已指定。 服务端口:代表负载均衡上注册的对外端口,请填写1-65535之间的整数值。外部用户使用“ELB的VIP:服务端口”访问工作负载。 DNAT网关 NAT网关提供网络地址转换服务,使多个云服务器可以共享弹性公网IP。 您需要提前创建公网NAT网关实例。 容
的负载,服务访问没有因路由跳转导致的性能损失,且可以获取到客户端源IP。 选择器:添加标签,Service根据标签选择Pod,填写后单击“添加”。也可以引用已有工作负载的标签,单击“引用负载标签”,在弹出的窗口中选择负载,然后单击“确定”。 DNAT网关:选择创建NAT网关和弹性
Ingress控制器,需将nginx替换为自定义的控制器名称,用于识别Ingress对接的控制器实例。 独享型ELB规格必须支持网络型(TCP/UDP),且网络类型必须支持私网(有私有IP地址)。 运行Nginx Ingress控制器实例的节点以及该节点上运行的容器,无法访问Nginx
登录CCE控制台,进入集群,单击左侧导航栏的“节点管理”。 切换至“节点”页签,选择CoreDNS需要独占的节点,单击“标签与污点管理”。 添加以下标签: 标签键:node-role.kubernetes.io/coredns 标签值:true 添加以下污点: 污点键:node-role.kubernetes.io/coredns
用户可根据安全需求,登录CCE控制台,单击服务列表中的“网络 > 虚拟私有云 VPC”,在网络控制台单击“访问控制 > 安全组”,找到集群对应的安全组规则进行修改和加固。 如集群在创建时需要指定节点安全组,请参考集群自动创建的默认安全组规则放通指定端口,以保证集群中的正常网络通信。 不同网络模型的默认安全组规则如下:
从Pod访问公网 从Pod访问公网的实现方式 从Pod中访问公网地址的实现方式会因集群网络模式的不同而不同,具体请参见表1。 表1 从Pod访问公网的实现方式 实现方式 容器隧道网络 VPC网络 云原生2.0网络 给容器所在节点绑定公网IP 支持 支持 不支持 给Pod绑定弹性公网IP 不支持
CCE容器网络扩展指标 插件介绍 CCE容器网络扩展指标插件(dolphin)是一款容器网络流量监控管理插件,支持CCE Turbo集群非主机网络容器的流量统计,以及节点内容器联通性健康检查。 字段说明 表1 参数描述 参数 是否必选 参数类型 描述 basic 否 object
DNS解析是Kubernetes集群中最高频的网络行为之一,针对Kubernetes中的DNS解析的特点,您可以通过以下的方式优化域名解析请求。 客户端使用连接池 当一个容器应用需要频繁请求另一服务时,推荐使用连接池配置,连接池可以缓存上游服务的链接信息,避免每次访问都经过DNS解析和TCP重新建链的开销。