深入了解calico.yaml配置文件

Calico是一个网络和网络安全解决方案，它旨在使容器，虚拟机和裸机主机之间的网络连接和网络安全变得更加简单。Calico可以轻松地为Kubernetes、Docker等容器平台提供高性能的网络和安全功能。在Calico中，calico.yaml配置文件是非常重要的一个部分。本文将会从多个方面对calico.yaml进行详细阐述。

一、calico.yaml配置文件解读

Calico使用calico.yaml文件定义全局的配置设置。该文件通常存储在etcd中或者在部署时使用Kubernetes创建的secret中。在calico.yaml文件中，有许多配置选项，下面将会对其中几个重要的选项进行解读。

1. Calico网络IP地址池配置

在calico.yaml文件中，可以为Calico网络配置IP地址池。这个IP地址池用来配置IPAM Block地址，为容器分配IP地址。IP地址池的配置格式如下所示：

  ipPools:
  - cidr: 10.192.0.0/16
    blockSize: 26
    ipip:
      enabled: true
    nat-outgoing: true
    masquerade: true
    disabled: false

上述的CIDR和blockSize选项定义了IP地址池，其中的10.192.0.0/16表示一个使用/16前缀的IP地址块。还可以通过设置IP地址池的其他可选参数来自定义IP地址分配的方式。

2. etcd配置

Calico是建立在etcd之上的，etcd是一个高可用性，高性能的键值存储。calico.yaml文件中也可以使用etcd配置选项来指定etcd集群位置。

etcdEndpoints: "http://127.0.0.1:2379"

上述配置中，指定了etcd的IP地址和端口号。

3. BGP配置

在Calico中，BGP是一种网络通信协议，可以用来描述扁平的网络拓扑。Calico支持通过BGP协议实现容器网络互联和网络安全。在calico.yaml文件中，可以通过BGP配置选项指定BGP配置的相关参数：

bgp:
  ipv4Address: 172.16.1.1/24
  asNumber: 64512

上述配置中，通过指定ipv4Address选项来配置BGP协议使用的IPv4地址，而asNumber选项用来设置AS号。

二、Calico网络环境搭建步骤

本节将会简要介绍如何在Kubernetes集群中部署Calico网络环境，下面将会对其步骤进行详细阐述。

1. 安装kubectl和Calicoctl命令行工具

要使用Calico在Kubernetes集群中运行，需要先安装kubectl和Calicoctl命令行工具。可以通过以下命令在Linux平台上进行安装：

curl -LO https://storage.googleapis.com/kubernetes-release/release/$(curl -s https://storage.googleapis.com/kubernetes-release/release/stable.txt)/bin/linux/amd64/kubectl
chmod +x ./kubectl
sudo mv ./kubectl /usr/local/bin/kubectl

curl -L https://github.com/projectcalico/calicoctl/releases/download/v3.9.3/calicoctl -o calicoctl
chmod +x calicoctl
sudo mv calicoctl /usr/local/bin/

2. 安装etcd集群

Calico需要使用etcd作为其存储后端。在使用Calico之前，需要先安装etcd集群。以下是安装etcd集群的步骤。

wget https://github.com/coreos/etcd/releases/download/v3.3.12/etcd-v3.3.12-linux-amd64.tar.gz
tar xzf etcd-v3.3.12-linux-amd64.tar.gz
cd etcd-v3.3.12-linux-amd64/
ETCD_NAME=$(hostname -s)
sudo mv etcd /usr/local/bin/
sudo mkdir -p /etc/etcd /var/lib/etcd
sudo cp ca.pem kubernetes-key.pem kubernetes.pem /etc/etcd/
 
INTERNAL_IP=$(ip addr show eth1 | grep "inet " | awk '{print $2}' | cut -d/ -f1)
 
cat <<EOF | sudo tee /etc/systemd/system/etcd.service
[Unit]
Description=etcd
Documentation=https://github.com/coreos/etcd
After=network.target
 
[Service]
User=root
Type=notify
EnvironmentFile=-/etc/default/etcd
ExecStart=/usr/local/bin/etcd \\
  --name ${ETCD_NAME} \\
  --cert-file=/etc/etcd/kubernetes.pem \\
  --key-file=/etc/etcd/kubernetes-key.pem \\
  --peer-cert-file=/etc/etcd/kubernetes.pem \\
  --peer-key-file=/etc/etcd/kubernetes-key.pem \\
  --trusted-ca-file=/etc/etcd/ca.pem \\
  --peer-trusted-ca-file=/etc/etcd/ca.pem \\
  --peer-client-cert-auth \\
  --client-cert-auth \\
  --initial-advertise-peer-urls https://${INTERNAL_IP}:2380 \\
  --listen-peer-urls https://${INTERNAL_IP}:2380 \\
  --listen-client-urls https://${INTERNAL_IP}:2379,https://127.0.0.1:2379 \\
  --advertise-client-urls https://${INTERNAL_IP}:2379 \\
  --initial-cluster-token etcd-cluster-0 \\
  --initial-cluster kmaster=https://192.168.1.200:2380,kworker1=https://192.168.1.201:2380,kworker2=https://192.168.1.202:2380 \\
  --initial-cluster-state new
Restart=on-failure
RestartSec=5
LimitNOFILE=65536
 
[Install]
WantedBy=multi-user.target
EOF
 
sudo systemctl daemon-reload
sudo systemctl enable etcd
sudo systemctl start etcd

3. 部署Calico网络环境

在完成etcd集群的安装之后，接下来就可以通过kubectl部署Calico网络环境了。使用以下命令即可完成Calico网络环境的部署。

kubectl apply -f https://docs.projectcalico.org/v3.14/manifests/calico.yaml

上述命令会创建一个名为calico-system的命名空间，并部署Calico所需要的所有资源对象。在完成部署之后，可以通过kubectl get命令来查看Pod的启动状态。

三、Calico节点配置

节点配置是指在每个节点上部署和配置Calico的组件。以下是节点配置所需的步骤。

1. 安装Calico并启动它

首先需要安装Calico并启动它。在节点上使用以下命令来安装Calico：

wget -O calico.yaml https://docs.projectcalico.org/v3.14/manifests/calico.yaml
sudo calicoctl apply -f calico.yaml

2. 节点BG操作器配置

在每个节点上，需要运行BGP操作器以与其他节点通信。可以通过以下命令来配置节点的BG操作器：

calicoctl node run -v 10

3. 配置CalicoNode

在节点上还需要配置CalicoNode。可以通过以下命令来配置CalicoNode：

calicoctl node configure --ip= --ip6=

上述命令中的NODE_IP和NODE_IPV6分别表示节点的IPv4地址和IPv6地址。

四、Calico网络安全配置

Calico网络安全配置包括许多不同的方面，例如网络ACLs、IP集和规则等。以下是Calico网络安全配置的一些实例。

1. NetworkPolicy

通过使用NetworkPolicy，可以定义Calico中的网络ACL。以下是一个简单的NetworkPolicy的配置示例：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all
spec:
  podSelector: {}
  ingress: []
  egress: []
  policyTypes:
  - Ingress
  - Egress

上述配置中，定义了一个名为deny-all的NetworkPolicy，它禁止了任何入站和出站的流量。

2. IP集和规则

Calico中的IP集和规则可以用于定义源和目标的网络连接。以下是IP集和规则的一个示例配置：

kind: ipPool
metadata:
  name: myIPPool
spec:
  cidr: 192.168.1.5/30
  ipipMode: CrossSubnet
  blockSize: 29
  ipip:
  enabled: true
  mode: Always
  natOutgoing: true
  
kind: GlobalNetworkPolicy
metadata:
  name: police
spec:
  order: 500
  selector: all()
  types:
  - Ingress
  ingress:
  - action: Allow
    source:
      nets:
      - 192.168.1.16/28
      selector: k8sapp == 'nginx'

上述配置中，定义了一个名为myIPPool的IP Pool，以及一个名为police的GlobalNetworkPolicy。其中，IP Pool 用来分配IP地址，而 GlobalNetworkPolicy 则定义了一个名为policy的规则，它允许从IP集合为192.168.1.16/28中的任何源地址流入到k8sapp标记为nginx的Pod。

结论

本文从calico.yaml文件的解释、Calico网络环境的搭建步骤、节点配置和网络安全配置等多个方面对Calico进行了详细阐述，希望对读者们了解Calico和使用Calico提供一些有用的参考。

原创文章，作者：KFAP，如若转载，请注明出处：https://www.506064.com/n/148022.html