IP Masquerade Agent 用户指南

    你必须拥有一个 Kubernetes 的集群，同时你的 Kubernetes 集群必须带有 kubectl 命令行工具。 建议在至少有两个节点的集群上运行本教程，且这些节点不作为控制平面主机。 如果你还没有集群，你可以通过 构建一个你自己的集群，或者你可以使用下面任意一个 Kubernetes 工具构建：

    要获知版本信息，请输入 kubectl version.

    ip-masq-agent 配置 iptables 规则以隐藏位于集群节点 IP 地址后面的 Pod 的 IP 地址。 这通常在将流量发送到集群的 Pod 范围之外的目的地时使用。

    • NAT (网络地址转译) 是一种通过修改 IP 地址头中的源和/或目标地址信息将一个 IP 地址重新映射 到另一个 IP 地址的方法。通常由执行 IP 路由的设备执行。

    • 伪装 NAT 的一种形式，通常用于执行多对一地址转换，其中多个源 IP 地址被隐藏在 单个地址后面，该地址通常是执行 IP 路由的设备。在 Kubernetes 中， 这是节点的 IP 地址。

    • CIDR (无类别域间路由) 基于可变长度子网掩码，允许指定任意长度的前缀。 CIDR 引入了一种新的 IP 地址表示方法，现在通常称为CIDR表示法， 其中地址或路由前缀后添加一个后缀，用来表示前缀的位数，例如 192.168.2.0/24。

    • 本地链路 本地链路是仅对网段或主机所连接的广播域内的通信有效的网络地址。 IPv4 的本地链路地址在 CIDR 表示法的地址块 169.254.0.0/16 中定义。

    代理配置文件必须使用 YAML 或 JSON 语法编写，并且可能包含三个可选值：

    • masqLinkLocal：布尔值 (true/false)，表示是否为本地链路前缀 169.254.0.0/16 的流量提供伪装。 默认为 false。

    • resyncInterval：代理从磁盘重新加载配置的重试时间间隔。 例如 ‘30s’，其中 ‘s’ 是秒，’ms’ 是毫秒。

    10.0.0.0/8、172.16.0.0/12 和 192.168.0.0/16 范围内的流量不会被伪装。 任何其他流量（假设是互联网）将被伪装。 Pod 访问本地目的地的例子，可以是其节点的 IP 地址、另一节点的地址或集群的 IP 地址范围内的一个 IP 地址。 默认情况下，任何其他流量都将伪装。以下条目展示了 ip-masq-agent 的默认使用的规则：

    1. RETURN     all  --  anywhere             169.254.0.0/16       /* ip-masq-agent: cluster-local traffic should not be subject to MASQUERADE */ ADDRTYPE match dst-type !LOCAL
    2. RETURN     all  --  anywhere             10.0.0.0/8           /* ip-masq-agent: cluster-local traffic should not be subject to MASQUERADE */ ADDRTYPE match dst-type !LOCAL
    3. RETURN     all  --  anywhere             172.16.0.0/12        /* ip-masq-agent: cluster-local traffic should not be subject to MASQUERADE */ ADDRTYPE match dst-type !LOCAL
    4. RETURN     all  --  anywhere             192.168.0.0/16       /* ip-masq-agent: cluster-local traffic should not be subject to MASQUERADE */ ADDRTYPE match dst-type !LOCAL

    默认情况下，在 GCE/Google Kubernetes Engine 中，如果启用了网络策略， 或者你使用的集群 CIDR 不在 10.0.0.0/8 范围内， 则 ip-masq-agent 将在你的集群中运行。 如果你在其他环境中运行，可以将 ip-masq-agent 添加到你的集群中。

    1. kubectl apply -f https://raw.githubusercontent.com/kubernetes-sigs/ip-masq-agent/master/ip-masq-agent.yaml

    你必须同时将适当的节点标签应用于集群中希望代理运行的任何节点。

    更多信息可以通过 ip-masq-agent 文档 找到。

    在大多数情况下，默认的规则集应该足够；但是，如果你的集群不是这种情况，则可以创建并应用 ConfigMap 来自定义受影响的 IP 范围。 例如，要允许 ip-masq-agent 仅作用于 10.0.0.0/8，你可以在一个名为 “config” 的文件中创建以下 。

    说明：

    重要的是，该文件之所以被称为 config，因为默认情况下，该文件将被用作 ip-masq-agent 查找的主键：

    1. nonMasqueradeCIDRs:
    2.   - 10.0.0.0/8

    运行以下命令将 ConfigMap 添加到你的集群：

    1. kubectl create configmap ip-masq-agent --from-file=config --namespace=kube-system

    这将更新位于 /etc/config/ip-masq-agent 的一个文件，该文件以 为周期定期检查并应用于集群节点。 重新同步间隔到期后，你应该看到你的更改在 iptables 规则中体现：

    1. Chain IP-MASQ-AGENT (1 references)
    2. target     prot opt source               destination
    3. RETURN     all  --  anywhere             169.254.0.0/16       /* ip-masq-agent: cluster-local traffic should not be subject to MASQUERADE */ ADDRTYPE match dst-type !LOCAL
    4. RETURN     all  --  anywhere             10.0.0.0/8           /* ip-masq-agent: cluster-local
    5. MASQUERADE  all  --  anywhere             anywhere             /* ip-masq-agent: outbound traffic should be subject to MASQUERADE (this match must come after cluster-local CIDR matches) */ ADDRTYPE match dst-type !LOCAL
    1. nonMasqueradeCIDRs:
    2.   - 10.0.0.0/8
    3. resyncInterval: 60s