深入了解calico.yaml配置文件

Calico是一個網路和網路安全解決方案，它旨在使容器，虛擬機和裸機主機之間的網路連接和網路安全變得更加簡單。Calico可以輕鬆地為Kubernetes、Docker等容器平台提供高性能的網路和安全功能。在Calico中，calico.yaml配置文件是非常重要的一個部分。本文將會從多個方面對calico.yaml進行詳細闡述。

一、calico.yaml配置文件解讀

Calico使用calico.yaml文件定義全局的配置設置。該文件通常存儲在etcd中或者在部署時使用Kubernetes創建的secret中。在calico.yaml文件中，有許多配置選項，下面將會對其中幾個重要的選項進行解讀。

1. Calico網路IP地址池配置

在calico.yaml文件中，可以為Calico網路配置IP地址池。這個IP地址池用來配置IPAM Block地址，為容器分配IP地址。IP地址池的配置格式如下所示：

  ipPools:
  - cidr: 10.192.0.0/16
    blockSize: 26
    ipip:
      enabled: true
    nat-outgoing: true
    masquerade: true
    disabled: false

上述的CIDR和blockSize選項定義了IP地址池，其中的10.192.0.0/16表示一個使用/16前綴的IP地址塊。還可以通過設置IP地址池的其他可選參數來自定義IP地址分配的方式。

2. etcd配置

Calico是建立在etcd之上的，etcd是一個高可用性，高性能的鍵值存儲。calico.yaml文件中也可以使用etcd配置選項來指定etcd集群位置。

etcdEndpoints: "http://127.0.0.1:2379"

上述配置中，指定了etcd的IP地址和埠號。

3. BGP配置

在Calico中，BGP是一種網路通信協議，可以用來描述扁平的網路拓撲。Calico支持通過BGP協議實現容器網路互聯和網路安全。在calico.yaml文件中，可以通過BGP配置選項指定BGP配置的相關參數：

bgp:
  ipv4Address: 172.16.1.1/24
  asNumber: 64512

上述配置中，通過指定ipv4Address選項來配置BGP協議使用的IPv4地址，而asNumber選項用來設置AS號。

二、Calico網路環境搭建步驟

本節將會簡要介紹如何在Kubernetes集群中部署Calico網路環境，下面將會對其步驟進行詳細闡述。

1. 安裝kubectl和Calicoctl命令行工具

要使用Calico在Kubernetes集群中運行，需要先安裝kubectl和Calicoctl命令行工具。可以通過以下命令在Linux平台上進行安裝：

curl -LO https://storage.googleapis.com/kubernetes-release/release/$(curl -s https://storage.googleapis.com/kubernetes-release/release/stable.txt)/bin/linux/amd64/kubectl
chmod +x ./kubectl
sudo mv ./kubectl /usr/local/bin/kubectl

curl -L https://github.com/projectcalico/calicoctl/releases/download/v3.9.3/calicoctl -o calicoctl
chmod +x calicoctl
sudo mv calicoctl /usr/local/bin/

2. 安裝etcd集群

Calico需要使用etcd作為其存儲後端。在使用Calico之前，需要先安裝etcd集群。以下是安裝etcd集群的步驟。

wget https://github.com/coreos/etcd/releases/download/v3.3.12/etcd-v3.3.12-linux-amd64.tar.gz
tar xzf etcd-v3.3.12-linux-amd64.tar.gz
cd etcd-v3.3.12-linux-amd64/
ETCD_NAME=$(hostname -s)
sudo mv etcd /usr/local/bin/
sudo mkdir -p /etc/etcd /var/lib/etcd
sudo cp ca.pem kubernetes-key.pem kubernetes.pem /etc/etcd/
 
INTERNAL_IP=$(ip addr show eth1 | grep "inet " | awk '{print $2}' | cut -d/ -f1)
 
cat <<EOF | sudo tee /etc/systemd/system/etcd.service
[Unit]
Description=etcd
Documentation=https://github.com/coreos/etcd
After=network.target
 
[Service]
User=root
Type=notify
EnvironmentFile=-/etc/default/etcd
ExecStart=/usr/local/bin/etcd \\
  --name ${ETCD_NAME} \\
  --cert-file=/etc/etcd/kubernetes.pem \\
  --key-file=/etc/etcd/kubernetes-key.pem \\
  --peer-cert-file=/etc/etcd/kubernetes.pem \\
  --peer-key-file=/etc/etcd/kubernetes-key.pem \\
  --trusted-ca-file=/etc/etcd/ca.pem \\
  --peer-trusted-ca-file=/etc/etcd/ca.pem \\
  --peer-client-cert-auth \\
  --client-cert-auth \\
  --initial-advertise-peer-urls https://${INTERNAL_IP}:2380 \\
  --listen-peer-urls https://${INTERNAL_IP}:2380 \\
  --listen-client-urls https://${INTERNAL_IP}:2379,https://127.0.0.1:2379 \\
  --advertise-client-urls https://${INTERNAL_IP}:2379 \\
  --initial-cluster-token etcd-cluster-0 \\
  --initial-cluster kmaster=https://192.168.1.200:2380,kworker1=https://192.168.1.201:2380,kworker2=https://192.168.1.202:2380 \\
  --initial-cluster-state new
Restart=on-failure
RestartSec=5
LimitNOFILE=65536
 
[Install]
WantedBy=multi-user.target
EOF
 
sudo systemctl daemon-reload
sudo systemctl enable etcd
sudo systemctl start etcd

3. 部署Calico網路環境

在完成etcd集群的安裝之後，接下來就可以通過kubectl部署Calico網路環境了。使用以下命令即可完成Calico網路環境的部署。

kubectl apply -f https://docs.projectcalico.org/v3.14/manifests/calico.yaml

上述命令會創建一個名為calico-system的命名空間，並部署Calico所需要的所有資源對象。在完成部署之後，可以通過kubectl get命令來查看Pod的啟動狀態。

三、Calico節點配置

節點配置是指在每個節點上部署和配置Calico的組件。以下是節點配置所需的步驟。

1. 安裝Calico並啟動它

首先需要安裝Calico並啟動它。在節點上使用以下命令來安裝Calico：

wget -O calico.yaml https://docs.projectcalico.org/v3.14/manifests/calico.yaml
sudo calicoctl apply -f calico.yaml

2. 節點BG操作器配置

在每個節點上，需要運行BGP操作器以與其他節點通信。可以通過以下命令來配置節點的BG操作器：

calicoctl node run -v 10

3. 配置CalicoNode

在節點上還需要配置CalicoNode。可以通過以下命令來配置CalicoNode：

calicoctl node configure --ip= --ip6=

上述命令中的NODE_IP和NODE_IPV6分別表示節點的IPv4地址和IPv6地址。

四、Calico網路安全配置

Calico網路安全配置包括許多不同的方面，例如網路ACLs、IP集和規則等。以下是Calico網路安全配置的一些實例。

1. NetworkPolicy

通過使用NetworkPolicy，可以定義Calico中的網路ACL。以下是一個簡單的NetworkPolicy的配置示例：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all
spec:
  podSelector: {}
  ingress: []
  egress: []
  policyTypes:
  - Ingress
  - Egress

上述配置中，定義了一個名為deny-all的NetworkPolicy，它禁止了任何入站和出站的流量。

2. IP集和規則

Calico中的IP集和規則可以用於定義源和目標的網路連接。以下是IP集和規則的一個示例配置：

kind: ipPool
metadata:
  name: myIPPool
spec:
  cidr: 192.168.1.5/30
  ipipMode: CrossSubnet
  blockSize: 29
  ipip:
  enabled: true
  mode: Always
  natOutgoing: true
  
kind: GlobalNetworkPolicy
metadata:
  name: police
spec:
  order: 500
  selector: all()
  types:
  - Ingress
  ingress:
  - action: Allow
    source:
      nets:
      - 192.168.1.16/28
      selector: k8sapp == 'nginx'

上述配置中，定義了一個名為myIPPool的IP Pool，以及一個名為police的GlobalNetworkPolicy。其中，IP Pool 用來分配IP地址，而 GlobalNetworkPolicy 則定義了一個名為policy的規則，它允許從IP集合為192.168.1.16/28中的任何源地址流入到k8sapp標記為nginx的Pod。

結論

本文從calico.yaml文件的解釋、Calico網路環境的搭建步驟、節點配置和網路安全配置等多個方面對Calico進行了詳細闡述，希望對讀者們了解Calico和使用Calico提供一些有用的參考。

原創文章，作者：KFAP，如若轉載，請註明出處：https://www.506064.com/zh-tw/n/148022.html