Kubernetes之OVS CNI之Antrea的实践

VSole2021-11-07 15:06:38

ubuntu18.04,

切换到阿里云的源,

sudo mv /etc/apt/sources.list /etc/apt/sources.list.bak,

sudo vim /etc/apt/sources.list,

deb http://mirrors.aliyun.com/ubuntu/ bionic main restricted universe multiverse

deb-src http://mirrors.aliyun.com/ubuntu/ bionic main restricted universe multiverse

deb http://mirrors.aliyun.com/ubuntu/ bionic-security main restricted universe multiverse

deb-src http://mirrors.aliyun.com/ubuntu/ bionic-security main restricted universe multiverse

deb http://mirrors.aliyun.com/ubuntu/ bionic-updates main restricted universe multiverse

deb-src http://mirrors.aliyun.com/ubuntu/ bionic-updates main restricted universe multiverse

deb http://mirrors.aliyun.com/ubuntu/ bionic-backports main restricted universe multiverse

deb-src http://mirrors.aliyun.com/ubuntu/ bionic-backports main restricted universe multiverse

deb http://mirrors.aliyun.com/ubuntu/ bionic-proposed main restricted universe multiverse

deb-src http://mirrors.aliyun.com/ubuntu/ bionic-proposed main restricted universe multiverse

sudo apt update,sudo apt dist-upgrade,

安装OVS,

sudo apt install openvswitch-switch openvswitch-common,

安装Docker,

sudo apt install docker.io,

sudo systemctl enable docker,

sudo gpasswd -a ubuntu docker,

newgrp docker,

安装Kubernetes,

curl https://mirrors.aliyun.com/kubernetes/apt/doc/apt-key.gpg | apt-key add -,

sudo vim /etc/apt/sources.list.d/kubernetes.list,

deb https://mirrors.aliyun.com/kubernetes/apt/ kubernetes-xenial main

sudo apt update,

sudo apt install kubelet=1.19.16-00 kubeadm=1.19.16-00 kubectl=1.19.16-00,

sudo swapoff -a,

sudo kubeadm init --pod-network-cidr=10.244.0.0/16 --image-repository registry.aliyuncs.com/google_containers --kubernetes-version=v1.19.16,

mkdir -p $HOME/.kube,

sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config,

sudo chown $(id -u):$(id -g) $HOME/.kube/config,

kubectl taint nodes --all node-role.kubernetes.io/master-,

安装Antrea,

docker pull docker.mirrors.ustc.edu.cn/antrea/antrea-ubuntu:latest,

wget https://raw.githubusercontent.com/antrea-io/antrea/main/build/yamls/antrea.yml,

kubectl apply -f antrea.yml,完成,就这么简单。

kubernetesovs
本作品采用《CC 协议》,转载必须注明作者和本文链接
sudo mv /etc/apt/sources.list /etc/apt/sources.list.bak, sudo vim /etc/apt/sources.list, deb http://mirrors.aliyun.com/ubuntu/ bionic main restricted universe multiverse deb-src http://mirrors.aliy
Kubernetes通常被称为“K8s”,是一种非常流行的开源容器编排系统,可以自动部署、扩展和管理容器化工作负载。
本文将引入一个思路:“在 Kubernetes 集群发生网络异常时如何排查”。文章将引入 Kubernetes 集群中网络排查的思路,包含网络异常模型,常用工具,并且提出一些案例以供学习。其可能原因为Pod 的 DNS 配置不正确DNS 服务异常pod 与 DNS 服务通讯异常大数据包丢包:主要现象为基础网络和端口均可以连通,小数据包收发无异常,大数据包丢包。
尽管Kubernetes的默认设置为开发人员赋予了较大的灵活性和敏捷性,但是却没有考虑安全防护层面的需求。为了保护Kubernetes上应用数据的安全,企业必须确保对集群配置的合理性和安全性,以获得更充分的安全防护能力。企业在Kubernetes应用中,不能忽视保护集群网络中的应用系统,并对重要业务系统及数据实现隔离防护。
保留的这部分资源主要提供给系统进程使用。cpuManager 当前的限制:最大 numa node 数不能大于 8,防止状态爆炸。策略只支持静态分配 cpuset,未来会支持在容器生命周期内动态调整 cpuset。下文有介绍相应的提案。支持这种场景需要对 CPU 进行分组分配。
跨节点Pod通信则是三层虚拟网络设备Tun,也就是flannel0。同理目的主机就会有UDP解包及转发至Pod服务。还有VXLAN模式支持DirectRouting配置,DirectRouting=true是支持在相同子网情况下数据包直接通过路由转发,与HOST-GW模式相同。但是HOST-GW模式只支持宿主机之间二层连接,要求集群中所以节点必须处于同一个网络中
序从 2021 年 10 月开始,NGINX 的 Kubernetes Ingress Controller开始受到安全研究人员的关注。曾披露了CVE-2021-25742漏洞:攻击者可以通过定制化的Snippets特性创建或修改集群中的Ingress实例,从而获取集群中所有的Secret实例信息。
Kubernetes 是一个开源容器编排系统,用于自动化软件部署、扩展和管理。Shadowserver 基金会开始扫描可访问的 Kubernetes API 实例,这些实例以 200 OK HTTP 响应对探测器进行响应。
满足安全与合规要求已成为部署和管理Kubernetes的头号挑战。缺乏对Kubernetes最佳实践的了解以及由此产生的错误配置会给云原生应用安全带来巨大的威胁。
Kubernetes部署应用
2022-05-11 13:36:57
STATEMENT声明由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,雷神众测及文章作者不为此承担任何责任。雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章,必须保证此文章的完整性,包括版权声明等全部内容。未经雷神众测允许,不得任意修改或者增减此文章内容,不得以任何方式将其用于商业目的。
VSole
网络安全专家