深入了解calico.yaml配置文件

一、calico.yaml配置文件解读

Calico使用calico.yaml文件定义全局的配置设置。该文件通常存储在etcd中或者在部署时使用Kubernetes创建的secret中。在calico.yaml文件中，有许多配置选项，下面将会对其中几个重要的选项进行解读。

1. Calico网络IP地址池配置

在calico.yaml文件中，可以为Calico网络配置IP地址池。这个IP地址池用来配置IPAM Block地址，为容器分配IP地址。IP地址池的配置格式如下所示：

  ipPools:
  - cidr: 10.192.0.0/16
    blockSize: 26
    ipip:
      enabled: true
    nat-outgoing: true
    masquerade: true
    disabled: false

上述的CIDR和blockSize选项定义了IP地址池，其中的10.192.0.0/16表示一个使用/16前缀的IP地址块。还可以通过设置IP地址池的其他可选参数来自定义IP地址分配的方式。

2. etcd配置

Calico是建立在etcd之上的，etcd是一个高可用性，高性能的键值存储。calico.yaml文件中也可以使用etcd配置选项来指定etcd集群位置。

etcdEndpoints: "http://127.0.0.1:2379"

上述配置中，指定了etcd的IP地址和端口号。

3. BGP配置

在Calico中，BGP是一种网络通信协议，可以用来描述扁平的网络拓扑。Calico支持通过BGP协议实现容器网络互联和网络安全。在calico.yaml文件中，可以通过BGP配置选项指定BGP配置的相关参数：

bgp:
  ipv4Address: 172.16.1.1/24
  asNumber: 64512

上述配置中，通过指定ipv4Address选项来配置BGP协议使用的IPv4地址，而asNumber选项用来设置AS号。

二、Calico网络环境搭建步骤

本节将会简要介绍如何在Kubernetes集群中部署Calico网络环境，下面将会对其步骤进行详细阐述。

1. 安装kubectl和Calicoctl命令行工具

要使用Calico在Kubernetes集群中运行，需要先安装kubectl和Calicoctl命令行工具。可以通过以下命令在Linux平台上进行安装：

curl -LO https://storage.googleapis.com/kubernetes-release/release/$(curl -s https://storage.googleapis.com/kubernetes-release/release/stable.txt)/bin/linux/amd64/kubectl
chmod +x ./kubectl
sudo mv ./kubectl /usr/local/bin/kubectl

curl -L https://github.com/projectcalico/calicoctl/releases/download/v3.9.3/calicoctl -o calicoctl
chmod +x calicoctl
sudo mv calicoctl /usr/local/bin/

2. 安装etcd集群

Calico需要使用etcd作为其存储后端。在使用Calico之前，需要先安装etcd集群。以下是安装etcd集群的步骤。

wget https://github.com/coreos/etcd/releases/download/v3.3.12/etcd-v3.3.12-linux-amd64.tar.gz
tar xzf etcd-v3.3.12-linux-amd64.tar.gz
cd etcd-v3.3.12-linux-amd64/
ETCD_NAME=$(hostname -s)
sudo mv etcd /usr/local/bin/
sudo mkdir -p /etc/etcd /var/lib/etcd
sudo cp ca.pem kubernetes-key.pem kubernetes.pem /etc/etcd/
 
INTERNAL_IP=$(ip addr show eth1 | grep "inet " | awk '{print $2}' | cut -d/ -f1)
 
cat <


   
3. 部署Calico网络环境


   
在完成etcd集群的安装之后，接下来就可以通过kubectl部署Calico网络环境了。使用以下命令即可完成Calico网络环境的部署。


   
kubectl apply -f https://docs.projectcalico.org/v3.14/manifests/calico.yaml



   
上述命令会创建一个名为calico-system的命名空间，并部署Calico所需要的所有资源对象。在完成部署之后，可以通过kubectl get命令来查看Pod的启动状态。


   
三、Calico节点配置


   
节点配置是指在每个节点上部署和配置Calico的组件。以下是节点配置所需的步骤。


   
1. 安装Calico并启动它


   
首先需要安装Calico并启动它。在节点上使用以下命令来安装Calico：


   
wget -O calico.yaml https://docs.projectcalico.org/v3.14/manifests/calico.yaml
sudo calicoctl apply -f calico.yaml



   
2. 节点BG操作器配置


   
在每个节点上，需要运行BGP操作器以与其他节点通信。可以通过以下命令来配置节点的BG操作器：


   
calicoctl node run -v 10



   
3. 配置CalicoNode


   
在节点上还需要配置CalicoNode。可以通过以下命令来配置CalicoNode：


   
calicoctl node configure --ip= --ip6=
     

     
    


   
上述命令中的NODE_IP和NODE_IPV6分别表示节点的IPv4地址和IPv6地址。


   
四、Calico网络安全配置


   
Calico网络安全配置包括许多不同的方面，例如网络ACLs、IP集和规则等。以下是Calico网络安全配置的一些实例。


   
1. NetworkPolicy


   
通过使用NetworkPolicy，可以定义Calico中的网络ACL。以下是一个简单的NetworkPolicy的配置示例：


   
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all
spec:
  podSelector: {}
  ingress: []
  egress: []
  policyTypes:
  - Ingress
  - Egress



   
上述配置中，定义了一个名为deny-all的NetworkPolicy，它禁止了任何入站和出站的流量。


   
2. IP集和规则


   
Calico中的IP集和规则可以用于定义源和目标的网络连接。以下是IP集和规则的一个示例配置：


   
kind: ipPool
metadata:
  name: myIPPool
spec:
  cidr: 192.168.1.5/30
  ipipMode: CrossSubnet
  blockSize: 29
  ipip:
  enabled: true
  mode: Always
  natOutgoing: true
  
kind: GlobalNetworkPolicy
metadata:
  name: police
spec:
  order: 500
  selector: all()
  types:
  - Ingress
  ingress:
  - action: Allow
    source:
      nets:
      - 192.168.1.16/28
      selector: k8sapp == 'nginx'



   
上述配置中，定义了一个名为myIPPool的IP Pool，以及一个名为police的GlobalNetworkPolicy。其中，IP Pool 用来分配IP地址，而 GlobalNetworkPolicy 则定义了一个名为policy的规则，它允许从IP集合为192.168.1.16/28中的任何源地址流入到k8sapp标记为nginx的Pod。


   
结论


   
本文从calico.yaml文件的解释、Calico网络环境的搭建步骤、节点配置和网络安全配置等多个方面对Calico进行了详细阐述，希望对读者们了解Calico和使用Calico提供一些有用的参考。