Container 網路虛擬化 K8S 微分段 NSX 虛機 VM 容器

大型K8S環境管理 容器間實作微分段

2018-06-05
接續前面的文章,對於在利用Kubernetes(K8S)的大型生產環境內,NSX-T如何提供網路接取及維運除錯的功能的展示,這裡將要與大家討論在Kubernetes環境內如何利用NSX-T做到Container間的微分段。
前篇文章透過圖1的示意圖,顯示在NSX-T整合K8S時Pod/Node/NSX-T/底層之Hypervisor間的關聯,以及各個Pod如何透過邏輯網路的方式在不用NAT的狀況下相互連通。


▲ 圖1 NSX-T整合K8S。

大家應該有發現,每個Pod除了將邏輯網路介面直接連往底層Hypervisor內的邏輯交換器外,Pod與邏輯交換器的接口前,也都受到分散式防火牆(Distributed Firewall)的防護。也就是說,在這個架構下,一樣能夠實作微分段,每一個Pod都是一個獨立可進行防護的單元。

以前的文章在進行NSX for vSphere內的微分段介紹時,曾與大家談論過,微分段機制的兩個重點:

1. 無論是同一網段或不同網段,能夠以最小虛機為單位,以集中管理的方式,做到虛機與虛機間的防護。

2. 能夠建立安全群組,以列出條件的方式,將安全群組與要管理的目標進行對應,做到部門、業務、專案間的虛機阻隔,進一步達到安全自動化。

上面的敘述,將虛機置換為K8S內的Pod,一樣可以成立。能夠做到微服務與微服務間,甚至微服務內、Pod與Pod間的最細緻安全防護。而且同樣地,可以利用群組的機制進行防火牆政策的設定。

但問題來了,以前在NSX for vSphere管理介面內建立安全群組時,可以用一個虛機的VM名稱、主機名稱、作業系統,或是在vCenter內是屬於哪個叢集、哪個Port Group、哪個Resource Pool來做分類,但Pod不是虛機啊?

其實,在生產環境內,最常用來做微分段分類條件的是安全標籤,在K8S的整合內,同樣有這個機制。當應用Team要部署微服務時,可以直接利用Label的方式進行Pod的註記。


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!