如何訪問pod

時間 2019-12-11

標籤如何訪問 pod 简体版

原文原文鏈接

1、經過 Service 訪問 Pod：

咱們不該該指望 Kubernetes Pod 是健壯的，而是要假設 Pod 中的容器極可能由於各類緣由發生故障而死掉。 Deployment 等 controller 會經過動態建立和銷燬 Pod

來保證應用總體的健壯性。換句話說，Pod 是脆弱的，但應用是健壯的。

每一個 Pod 都有本身的 IP 地址。當 controller 用新 Pod 替代發生故障的 Pod 時，新 Pod 會分配到新的 IP 地址。這樣就產生了一個問題：

若是一組 Pod 對外提供服務（好比 HTTP），它們的 IP 頗有可能發生變化，那麼客戶端如何找到並訪問這個服務呢？

Kubernetes 給出的 解決方案是 Service。

建立 Service

Kubernetes Service 從邏輯上表明瞭一組 Pod，具體是哪些 Pod 則是由 label 來挑選。 Service 有本身 IP，並且這個 IP 是不變的。客戶端只須要訪問 Service 的 IP， Kubernetes 則負責創建和維護 Service 與 Pod 的映射關係。不管後端 Pod 如何變化，對客戶端不會有任何影響，由於 Service 沒有變。

來看個例子，建立下面的這個 Deployment：

　　kubectl run httpd-app --image=reg.yunwei.edu/learn/httpd:latest replicaset=3

[root@cicd yml]# kubectl get pod -o wide
NAME                                READY     STATUS             RESTARTS   AGE       IP              NODE
httpd-deployment-67b8d86468-9bz57   1/1       Running            1          21h       172.20.104.9    192.168.253.11
httpd-deployment-67b8d86468-skw2n   1/1       Running            0          21h       172.20.135.28   192.168.253.10
httpd-deployment-67b8d86468-zmr75   1/1       Running            1          21h       172.20.104.7    192.168.253.11

咱們啓動了兩個 Pod，運行 httpd 鏡像， label 是 run: http，Service 將會用這個 label 來挑選 Pod。

Pod 分配了各自的 IP，這些 IP 只能被 Kubernetes Cluster 中的容器和節點訪問，而不能被客戶端訪問。

[root@node1 network-scripts]# curl  172.20.104.9:80
<html><body><h1>It works!</h1></body></html>

接下來建立 Service，其配置文件以下：

① v1 是 Service 的 apiVersion。

② 指明 當前資源的類型爲 Service。

③ Service 的名字爲 httpd-svc。

④ selector 指明挑選那些 label 爲 run: httpd 的 Pod 做爲 Service 的後端。

⑤ 將 Service 的 8080 端口映射到 Pod 的 80 端口，使用 TCP 協議。

執行 kubectl apply 建立 Service httpd-svc。

[root@cicd yml]# kubectl apply -f httpd-svc.yml 
service "httpd-svc" configured
[root@cicd yml]# kubectl get svc
NAME         TYPE        CLUSTER-IP      EXTERNAL-IP   PORT(S)    AGE
httpd-svc    ClusterIP   10.68.236.154   <none>        8080/TCP   21h
kubernetes   ClusterIP   10.68.0.1       <none>        443/TCP    22h

httpd-svc 分配到一個 CLUSTER-IP 10.68.236.154（service ip）。 能夠經過該 IP 訪問後端的 httpd Pod。

根據前面的端口映射，這裏要使用 8080 端口。另外，除了咱們建立的 httpd-svc，還有一個 Service kubernetes，Cluster 內部經過這個 Service 訪問 kubernetes API Server。

也能夠經過 kubectl describe 能夠查看 httpd-svc 與 Pod 的對應關係。

kubectl describe service httpd-svc

kubectl get pod -o wide

[root@cicd yml]# kubectl get pod -o wide
NAME                                READY     STATUS    RESTARTS   AGE       IP              NODE
httpd-deployment-67b8d86468-9bz57   1/1       Running   1          21h       172.20.104.9    192.168.253.11
httpd-deployment-67b8d86468-skw2n   1/1       Running   0          21h       172.20.135.28   192.168.253.10
httpd-deployment-67b8d86468-zmr75   1/1       Running   1          21h       172.20.104.7    192.168.253.11

能夠看到svc服務端點將三個pod的ip地址都包含在內了，所以才能夠經過訪問service的ip九能訪問到集羣的後端節點。html

咱們在其餘節點上嘗試訪問service：node

[root@node1 network-scripts]# curl 10.68.236.154:8080
<html><body><h1>It works!</h1></body></html>

Endpoints 羅列了兩個 Pod 的 IP 和端口。咱們知道 Pod 的 IP 是在容器中配置的，那麼 Service 的 Cluster IP 又是配置在哪裏的呢？ CLUSTER-IP 又是如何映射到 Pod IP 的呢？

答案是 iptables

2、Service IP 原理：

Service Cluster IP 是一個虛擬 IP，是由 Kubernetes 節點上的 iptables 規則管理的。

-A KUBE-SERVICES -d 10.68.236.154/32 -p tcp -m comment --comment "default/httpd-svc: cluster IP" -m tcp --dport 8080 -j KUBE-SVC-RL3JAE4GN7VOGDGP

這條規則的含義是：

若是 Cluster 內的 Pod要訪問 httpd-svc， 跳轉到規則 KUBE-SVC-RL3JAE4GN7VOGDGP

KUBE-SVC-RL3JAE4GN7VOGDGP 規則以下：

[root@node2 /]# iptables-save   | grep KUBE-SVC-RL3JAE4GN7VOGDGP-A KUBE-SVC-RL3JAE4GN7VOGDGP -m comment --comment "default/httpd-svc:" -m statistic --mode random --probability 0.33332999982 -j KUBE-SEP-INLCIAMUGTXA7N36
-A KUBE-SVC-RL3JAE4GN7VOGDGP -m comment --comment "default/httpd-svc:" -m statistic --mode random --probability 0.50000000000 -j KUBE-SEP-R64ZBQQHUU433KVL
-A KUBE-SVC-RL3JAE4GN7VOGDGP -m comment --comment "default/httpd-svc:" -j KUBE-SEP-PV62YIJXJGRFPHFZ

1/2的機率跳轉到規則 KUBE-SEP-PV62YIJXJGRFPHFZ
1/2 的機率（剩下 2/3 的一半）跳轉到規則 KUBE-SEP-R64ZBQQHUU433KVL

上面兩個跳轉的規則以下：

[root@node2 /]# iptables-save   | grep  KUBE-SEP-PV62YIJXJGRFPHFZ
:KUBE-SEP-PV62YIJXJGRFPHFZ - [0:0]
-A KUBE-SEP-PV62YIJXJGRFPHFZ -s 172.20.135.28/32 -m comment --comment "default/httpd-svc:" -j KUBE-MARK-MASQ
-A KUBE-SEP-PV62YIJXJGRFPHFZ -p tcp -m comment --comment "default/httpd-svc:" -m tcp -j DNAT --to-destination 172.20.135.28:80
-A KUBE-SVC-RL3JAE4GN7VOGDGP -m comment --comment "default/httpd-svc:" -j KUBE-SEP-PV62YIJXJGRFPHFZ

即將請求分別轉發到後端的兩個 Pod。經過上面的分析，咱們獲得以下結論：

iptables 將訪問 Service 的流量轉發到後端 Pod，並且 使用相似輪詢的負載均衡策略。

另外須要補充一點：Cluster 的 每個節點都配置了相同的 iptables 規則，這樣就確保了整個 Cluster 都可以經過 Service 的 Cluster IP 訪問 Service。

iptables規則至關於路標，給咱們指引但不會直接給出目的地。

2、DNS 訪問 Service

在 Cluster 中，除了能夠經過 Cluster IP 訪問 Service，Kubernetes 還提供了更爲方便的 DNS 訪問。

DNS組件

kubeadm 部署時會默認安裝 kube-dns 組件。

coredns 是一個 DNS 服務器。每當有新的 Service 被建立，coredns 會添加該 Service 的 DNS 記錄。Cluster 中的 Pod 能夠經過 <SERVICE_NAME>.<NAMESPACE_NAME> 訪問 Service。

好比能夠用 httpd-svc.default 訪問 Service httpd-svc。

kubectl run busybox --rm -ti --image= reg.yunwei.edu/learn/busybox:latest /bin/sh

wget httpd-svc:8080

3、外網訪問 Service：

外網如何訪問 Service？

除了 Cluster 內部能夠訪問 Service，不少狀況咱們也但願應用的 Service 可以暴露給 Cluster 外部。 Kubernetes 提供了多種類型的 Service，默認是 ClusterIP。

ClusterIP

Service 經過 Cluster 內部的 IP 對外提供服務，只有 Cluster 內的節點和 Pod 可訪問，這是默認的 Service 類型，前面實驗中的 Service 都是 ClusterIP。

NodePort

Service 經過 Cluster 節點的靜態端口對外提供服務。Cluster 外部能夠經過 <NodeIP>:<NodePort> 訪問 Service。

LoadBalancer

Service 利用 cloud provider 特有的 load balancer 對外提供服務，cloud provider 負責將 load balancer 的流量導向 Service。目前支持的 cloud provider 有 GCP、AWS、Azur 等。

下面咱們來實踐 NodePort，Service httpd-svc 的配置文件修改以下：

添加 type: NodePort，從新建立 httpd-svc。查看service狀態

　　kubectl apply -f httpd-svc.yml

[root@cicd yml]# kubectl get svc
NAME         TYPE        CLUSTER-IP      EXTERNAL-IP   PORT(S)          AGE
httpd-svc    NodePort    10.68.236.154   <none>        8080:26055/TCP   22h
kubernetes   ClusterIP   10.68.0.1       <none>        443/TCP          23h

　　Kubernetes 依然會爲 httpd-svc 分配一個 ClusterIP，不一樣的是：

EXTERNAL-IP 爲 none，表示可經過 Cluster 每一個節點自身的 IP 訪問 Service。
PORT(S) 爲 8080:26055。8080 是 ClusterIP 監聽的端口， 26055 則是節點上監聽的端口。Kubernetes 會從 30000-32767 中分配一個可用的端口， 每一個節點都會監聽此端口並將請求轉發給 Service。

下面測試 NodePort 是否正常工做。

經過兩個節點 IP + 26055端口都可以訪問 httpd-svc。

NodePort 默認是的隨機選擇，不過咱們能夠用 nodePort 指定某個特定端口。

如今配置文件中就有三個 Port 了：

nodePort 是節點上監聽的端口。（意思是在其餘節點上訪問 三個node節點ip：nodepoint）

[root@cicd yml]# curl 192.168.253.14:26055
<html><body><h1>It works!</h1></body></html>

port 是 ClusterIP 上監聽的端口。

[root@node1 network-scripts]# curl 10.68.236.154:8080　　　　　　#8080爲service的ip的端口
<html><body><h1>It works!</h1></body></html>

targetPort 是 Pod 監聽的端口。

[root@node2 /]# curl 172.20.104.9:80　　　　　　　　#pod端口也就是運行在node節點上的pod羣 <html><body><h1>It works!</h1></body></html>