CCE集群的网络地址段规划实践_云容器引擎 CCE_最佳实践_网络

约束与限制

通过搭建VPN方式访问CCE集群，需要注意VPN网络和集群所在的VPC网段、容器使用网段不能冲突。

集群各网段基本概念

VPC网段

虚拟私有云（Virtual Private Cloud，简称VPC）是您在华为云上申请的为云服务器、云容器、云数据库等资源构建隔离的、用户自主配置和管理的虚拟网络环境。您可以自由配置VPC内的IP地址段、子网、安全组等子服务，也可以申请弹性带宽和弹性公网IP搭建业务系统。具体请参见什么是虚拟私有云。

子网网段

子网是用来管理弹性云服务器网络平面的一个网络，可以提供IP地址管理、DNS服务，子网内的弹性云服务器IP地址都属于该子网。

图1 VPC网段结构

默认情况下，同一个VPC的所有子网内的弹性云服务器均可以进行通信，不同VPC的弹性云服务器不能进行通信。

不同VPC的弹性云服务器可通过创建对等连接通信，具体参见对等连接。

容器网段（Pod网段）

Pod是Kubernetes内的概念，每个Pod具有一个IP地址。

在CCE上创建集群时，可以指定Pod的地址段（即容器网段），容器网段不能和子网网段重叠。例如子网网段用的是 192.168.0.0/16，集群的容器网段就不能使用192.168.0.0/18，192.168.1.0/18等，因为这些地址都涵盖在 192.168.0.0/16 里了。

服务网段

Service也是Kubernetes内的概念，每个Service都有自己的地址，在CCE上创建集群时，可以指定service的地址段（即服务网段）。同样，服务网段也不能和子网网段重合，而且服务网段也不能和容器网段重叠。服务网段只在集群内使用，不能在集群外使用。

容器网段、服务网段、子网网段和VPC网段关系请参见图2。

如何选择地址段

单VPC+单集群场景

这是最简单的情形。VPC网段在创建VPC的时候就已经确定，创建CCE集群时，选择和当前VPC不一样的网段即可。

图2 单VPC单集群场景网段

单VPC+多集群场景

一个VPC下创建多个CCE集群。

在“VPC网络”模式下，Pod的报文需要通过VPC路由转发，CCE会自动在VPC路由上配置到每个容器网段的路由表。

需要注意如下几点：

• VPC地址还是创建VPC时确定的，当创建集群时，为每个集群选择一个不重叠的地址段，不仅不能和VPC地址重叠，也不和其他容器网段重叠。
• 所有集群的容器网段不能重叠，但服务网段可以重叠。在此情况下CCE集群部分互通，一个集群的Pod可以直接访问另外一个集群的Pod，但不能访问另外一个集群的Service。
• 组网规模受限于VPC路由表能力，具体请参见使用限制。

图3 VPC网络-多集群场景

在“容器隧道网络”模式下，容器网络是承载于VPC网络之上的Overlay网络平面，具有付出少量隧道封装性能损耗，获得了通用性强、互通性强、高级特性支持全面（例如Network Policy网络隔离）的优势，可以满足大多数应用需求。

图4 容器隧道网络-多集群场景

需要注意如下几点：

• VPC地址还是创建VPC的时候确定的，创建集群的时候，为每个集群选择一个不重叠的地址段，不仅不能和VPC地址重叠，也不和其他容器网段重叠。
• 所有集群的容器网段可以重叠，服务网段也可以重叠。
• 跨集群的容器之间访问，建议通过ELB实现。

VPC互联场景

两个VPC网络互联的情况下，可以通过路由表配置哪些报文要发送到对端VPC里。

在“VPC网络”模式下，创建对等连接后，您需要在两端VPC内添加对等连接路由信息，才能使两个VPC互通。

图5 VPC网络-VPC互联场景

跨VPC的集群容器之间互联需要建立VPC对等连接，请详见对等连接。

需要注意如下几点：

• VPC地址还是创建VPC的时候确定的，创建集群的时候，为每个集群选择一个不重叠的地址段，不仅不能和VPC地址重叠，也不和其他容器网段重叠。
• 所有集群的容器网段不能重叠，但服务网段可以重叠。
• 对等连接的路由表中需要添加对端容器网段的地址。示例操作如下：
  图6 在本端路由中添加对端容器网段的地址
  

  具体请参见创建同一帐户下的对等连接。

同样，在“容器隧道网络”模式下，创建对等连接后，您需要在两端VPC内添加对等连接路由信息，才能使两个VPC互通。

图7 容器隧道网络-VPC互联场景

需要注意如下几点：

• VPC地址还是创建VPC的时候确定的，创建集群的时候，为每个集群选择一个不重叠的地址段，不仅不能和VPC地址重叠，也不和其他容器网段重叠。
• 所有集群的容器网段不能重叠，但服务网段可以重叠。
• 对等连接的路由表中需要添加对端集群节点子网网段的地址。示例操作如下：
  图8 在本端路由中添加对端集群节点子网网段的地址
  

  具体请参见创建同一帐户下的对等连接。

VPC网络到IDC的场景

和VPC互联场景类似，同样存在VPC里部分地址段路由到IDC，CCE集群的Pod地址就不能和这部分地址重叠。IDC里如果需要访问集群里的Pod地址，同样需要在IDC端配置到专线VBR的路由表。