Kubernetes 网络是其核心功能之一，负责集群内 Pod 之间的通信、Pod 与服务的通信以及集群与外部网络的交互，与传统网络不同，Kubernetes 网络模型遵循一系列设计原则，其中最关键的是“每个 Pod 都拥有独立的 IP 地址”和“所有 Pod 都可以在不使用 NAT 的情况下集群内任何其他 Pod 的 IP 进行通信”，这一设计简化了应用架构，避免了传统多层网络中复杂的地址转换和路由配置。
Kubernetes 网络的实现主要涉及几个关键组件：CNI（容器网络接口）、kube-proxy 和 Service，CNI 是一个标准化的接口，允许不同的网络插件为容器配置网络，常见的 CNI 插件包括 Flannel、Calico、Weave Net 等，它们各自采用不同的技术实现跨节点 Pod 通信，Flannel 通过创建一个覆盖网络（Overlay Network）将每个节点的子网统一到一个大的虚拟网络中，而 Calico 则支持 BGP 路由模式，直接利用底层网络的路由能力，性能更高且支持网络策略。
Service 是 Kubernetes 中抽象的一组 Pod 的访问入口，它为这组 Pod 提供了稳定的虚拟 IP（ClusterIP）和 DNS 名称，kube-proxy 则是负责实现 Service 功能的核心组件，它通过不同的模式将 Service 的 ClusterIP 转发到后端 Pod 的实际 IP 地址，kube-proxy 主要有三种模式：userspace 模式（已废弃）、iptables 模式和 IPVS 模式，iptables 模式通过 Linux 内核的 Netfilter 框架实现流量转发，性能较好，但在大规模集群下规则较多可能影响性能；IPVS 模式则基于内核的虚拟服务器实现，使用哈希表进行负载均衡，性能更优，适合大规模集群。
除了集群内部通信,Kubernetes 还需要处理外部访问，这通常通过 Ingress 资源实现，Ingress 是一个 API 对象，管理集群外部访问集群内服务的 HTTP/HTTPS 路由规则，Ingress Controller（如 Nginx Ingress Controller、Traefik）是负责监听 Ingress 资源并实际转发流量的组件，它可以根据域名、路径等规则将请求分发到不同的后端 Service。
网络策略（NetworkPolicy）是 Kubernetes 提供的一种网络安全机制，用于定义 Pod 之间的网络访问规则，默认情况下，所有 Pod 之间都是可以相互通信的，而通过 NetworkPolicy，可以实现基于标签选择器的精细化访问控制，例如限制某个 Namespace 下的 Pod 只能访问特定端口的 Service，NetworkPolicy 的实现依赖于 CNI 插件的支持，如 Calico 和 OVN-Kubernetes 等。
以下是一些常见的 Kubernetes 网络场景及其实现方式：
| 场景 | 实现方式 | 关键组件 |
|---|---|---|
| Pod 通信 | CNI 插件（如 Flannel、Calico） | CNI、容器运行时 |
| Service 发现与负载均衡 | kube-proxy（iptables/IPVS） | Service、kube-proxy |
| 外部访问 | Ingress + Ingress Controller | Ingress、Ingress Controller |
| 网络安全 | NetworkPolicy | NetworkPolicy、支持的 CNI 插件 |
在实际部署中,Kubernetes 网络可能会遇到一些问题，如 Pod 间无法通信、Service 无法访问、网络延迟高等，这些问题通常与 CNI 插件的配置、kube-proxy 的模式选择、网络策略的设置或底层网络环境有关，排查网络问题时，可以使用 kubectl describe pod、kubectl logs 等命令查看 Pod 状态，使用 ping、curl、netcat 等工具测试网络连通性，以及使用 ip route、iptables、nsenter 等命令深入检查节点网络配置。
相关问答 FAQs：
问题 1：Kubernetes 中 Pod 的 IP 地址是如何分配的？
解答：Pod 的 IP 地址由 CNI 插件在 Pod 创建时动态分配，CNI 插件会根据预定义的 IP 地址范围（如 Flannel 的 --subnet 参数或 Calico 的 IP 池配置）为每个节点分配一个子网，然后在该子网内为每个 Pod 分配一个唯一的 IP 地址，这个 IP 地址是 Pod 的主要网络标识，在 Pod 的整个生命周期内保持不变，除非 Pod 被删除后重新创建。
问题 2：如何实现 Kubernetes 集群外部访问内部 Service？
解答：实现外部访问内部 Service 的常见方式有三种：1）NodePort：在每个节点上开放一个相同的端口，将流量转发到 Service 的后端 Pod；2）LoadBalancer：通过云服务商提供的负载均衡器（如 AWS ELB、阿里云 SLB）对外暴露 Service，分配一个外部 IP 地址；3）Ingress：通过 Ingress Controller 管理基于 HTTP/HTTPS 的路由规则，支持域名和路径转发，适合暴露多个 Service，且配置更灵活，Ingress 是最推荐的方式，因为它更高效且功能更强大。
