检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
)的Service模式下，不同类型的集群获取源IP的场景不一，部分场景下暂不支持获取源IP，参见支持获取源IP地址的场景。 CCE集群（VPC、容器隧道网络模型）：使用共享型和独享型ELB均支持获取源IP。 CCE Turbo集群（云原生网络2.0模型）：使用独享型ELB时支持获取源IP；使用共享型E
网络 集群网络地址段规划实践 集群网络模型选择及各模型区别 CCE集群实现访问跨VPC网络通信 使用VPC和云专线实现容器与IDC之间的网络通信 自建IDC与CCE集群共享域名解析 通过负载均衡配置实现会话保持 不同场景下容器内获取客户端源IP 通过配置容器内核参数增大监听队列长度
另外集群能创建多少节点，还受节点子网的可用IP数和集群规模的影响。 图3 网络模型选择（创建集群时配置） 网段规划建议 在集群网络构成中介绍集群中网络地址可分为集群网络、容器网络、服务网络三块，在规划网络地址时需要从如下方面考虑： 三个网段不能重叠，否则会导致冲突。且集群所在VP
容器网络 Kubernetes本身并不负责网络通信，但提供了容器网络接口CNI（Container Network Interface），具体的网络通信交由CNI插件来实现。开源的CNI插件非常多，像Flannel、Calico等。针对Kubernetes网络，CCE为不同网络模型
服务加入Istio后，如何获取客户端真实源IP？ 问题现象 服务启用Istio后，访问日志中无法获取到客户端源IP。 解决方案 本文以绑定ELB类型Service的nginx应用为例，详细步骤如下： ELB侧开启获取客户端IP 独享型ELB默认开启源地址透传功能，无需手动开启。
配置网络策略（NetworkPolicy）限制Pod访问的对象 网络策略（NetworkPolicy）是Kubernetes设计用来限制Pod访问的对象，相当于从应用的层面构建了一道防火墙，进一步保证了网络安全。NetworkPolicy支持的能力取决于集群的网络插件的能力。 默
如何获取TLS密钥证书？ 场景 当您的Ingress需要使用HTTPS协议时，创建Ingress时必须配置IngressTLS或kubernetes.io/tls类型的密钥。 以创建IngressTLS密钥证书为例，如图1： 图1 创建密钥 密钥数据中上传的证书文件和私钥文件必须是配套的，不然会出现无效的情况。
网络管理 网络异常问题排查 网络规划 安全加固 网络指导
能。 图1 云原生网络2.0 约束与限制 仅CCE Turbo集群支持使用云原生网络2.0。 适用场景 性能要求高，需要使用VPC其他网络能力的场景：由于云原生网络2.0直接使用的VPC网络，性能与VPC网络的性能几乎一致，所以适用于对带宽、时延要求极高的业务场景，比如：线上直播、电商优惠等。
容器网络 容器网络模型对比 云原生网络2.0模型 VPC网络模型 容器隧道网络模型 Pod网络配置 父主题： 网络
于VPC网络模型没有隧道封装的消耗，容器网络性能相对于容器隧道网络有一定优势。此外，使用VPC网络模型的集群时，由于VPC路由表中自动配置了容器网段与VPC网段之间的路由，可以支持同一VPC内的云服务器从集群外直接访问容器实例等特殊场景。 图1 VPC网络 在VPC网络模型的集群中，不同形式的网络通信路径不同：
集群网络模型选择及各模型区别 自研高性能商业版容器网络插件，支持容器隧道网络、VPC网络、云原生网络2.0网络模型： 集群创建成功后，网络模型不可更改，请谨慎选择。 容器隧道网络（Overlay）：基于底层VPC网络构建了独立的VXLAN隧道化容器网络，适用于一般场景。VXLAN
置Pod网络；Pod网络的具体配置操作交由具体的容器网络插件实现。容器网络插件负责为Pod配置网络并管理容器IP地址。 当前CCE支持如下容器网络模型。 容器隧道网络：容器隧道网络在节点网络基础上通过隧道封装构建的独立于节点网络平面的容器网络平面，CCE集群容器隧道网络使用的封装
在Pod中配置主机网络（hostNetwork） 背景信息 Kubernetes支持Pod直接使用主机（节点）的网络，当Pod配置为hostNetwork: true时，在此Pod中运行的应用程序可以直接看到Pod所在主机的网络接口。 配置说明 Pod使用主机网络只需要在配置中添加hostNetwork:
易造成业务抖动。您可以通过对Pod配置带宽限制来解决这个问题。 功能规格 Pod带宽限制功能规格如下： 功能规格 容器隧道网络模型 VPC网络模型 云原生网络2.0模型 支持的集群版本 所有集群版本均支持 v1.19.10以上集群版本 v1.19.10以上集群版本 Egress带宽限制
Kubernetes网络 容器网络 Service Ingress 就绪探针（Readiness Probe） NetworkPolicy
overlay_l2：容器隧道网络，通过OVS（OpenVSwitch）为容器构建的overlay_l2网络。 vpc-router：VPC网络，使用ipvlan和自定义VPC路由为容器构建的Underlay的l2网络。 配置建议： 优选CCE Turbo 容器网络网段 集群下容器使用的
网络规划 集群与虚拟私有云、子网的关系是怎样的？ 如何查看虚拟私有云VPC的网段？ 如何设置CCE集群中的VPC网段和子网网段？ 如何设置CCE集群中的容器网段？ 什么是云原生网络2.0网络模式，适用于什么场景？ 什么是弹性网卡？ 集群安全组规则配置 创建CCE Turbo集群时如何设置IPv6服务网段
容器网络模型对比 容器网络为集群内Pod分配IP地址并提供网络服务，CCE支持如下几种网络模型，您可在创建集群时进行选择。 云原生网络2.0 VPC网络 容器隧道网络 网络模型对比 表1主要介绍CCE所支持的网络模型，您可根据实际业务需求进行选择。 集群创建成功后，网络模型不可更改，请谨慎选择。
为负载均衡类型的Service配置获取客户端IP 使用共享型ELB创建负载均衡类型的服务时，您可以通过配置annotation配置ELB的监听器获取客户端IP的能力。 使用独享型ELB时默认开启获取客户端IP，无需配置。 配置获取客户端IP后，如果您在YAML中删除对应的annotation，ELB侧的配置将会保留。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
