第 15 章 配置接口级别网络 sysctl

流程

1. 使用以下内容创建网络附加定义，如 tuning-example.yaml ：

   apiVersion: "k8s.cni.cncf.io/v1"
   kind: NetworkAttachmentDefinition
   metadata:
     name: <name> 1
     namespace: default 2
   spec:
     config: '{
       "cniVersion": "0.4.0", 3
       "name": "<name>", 4
       "plugins": [{
          "type": "<main_CNI_plugin>" 5
         },
         {
          "type": "tuning", 6
          "sysctl": {
               "net.ipv4.conf.IFNAME.accept_redirects": "1" 7
           }
         }
        ]
   }

   1

   指定要创建的额外网络附加的名称。名称在指定的命名空间中必须是唯一的。

   2

   指定与对象关联的命名空间。

   3

   指定 CNI 规格版本。

   4

   指定配置的名称。建议您将配置名称与网络附加定义的 name 值匹配。

   5

   指定要配置的主 CNI 插件的名称。

   6

   指定 CNI meta 插件的名称。

   7

   指定要设置的 sysctl。

   显示 yaml 文件示例：

   apiVersion: "k8s.cni.cncf.io/v1"
   kind: NetworkAttachmentDefinition
   metadata:
     name: tuningnad
     namespace: default
   spec:
     config: '{
       "cniVersion": "0.4.0",
       "name": "tuningnad",
       "plugins": [{
         "type": "bridge"
         },
         {
         "type": "tuning",
         "sysctl": {
            "net.ipv4.conf.IFNAME.accept_redirects": "1"
           }
       }
     ]
   }'

2. 运行以下命令来应用 yaml:

   $ oc apply -f tuning-example.yaml

   输出示例

   networkattachmentdefinition.k8.cni.cncf.io/tuningnad created

3. 使用类似以下示例的网络附加定义，创建示例 pod.yaml ：

   apiVersion: v1
   kind: Pod
   metadata:
     name: tunepod
     namespace: default
     annotations:
       k8s.v1.cni.cncf.io/networks: tuningnad 1
   spec:
     containers:
     - name: podexample
       image: centos
       command: ["/bin/bash", "-c", "sleep INF"]
       securityContext:
         runAsUser: 2000 2
         runAsGroup: 3000 3
         allowPrivilegeEscalation: false 4
         capabilities: 5
           drop: ["ALL"]
     securityContext:
       runAsNonRoot: true 6
       seccompProfile: 7
         type: RuntimeDefault

   1

   指定配置的 NetworkAttachmentDefinition 的名称。

   2

   runAsUser 控制使用哪个用户 ID 运行容器。

   3

   runAsGroup 控制容器使用哪个主要组 ID。

   4

   allowPrivilegeEscalation 决定 pod 是否请求允许特权升级。如果未指定，则默认为 true。这个布尔值直接控制在容器进程中是否设置了 no_new_privs 标志。

   5

   capabilities 允许特权操作，而不提供完整的 root 访问权限。此策略可确保从 pod 中丢弃了所有功能。

   6

   runAsNonRoot: true 要求容器使用 0 以外的任何 UID 运行。

   7

   RuntimeDefault 为 pod 或容器工作负载启用默认的 seccomp 配置集。

4. 运行以下命令来应用 yaml:

   $ oc apply -f examplepod.yaml

5. 运行以下命令验证 pod 是否已创建：

   $ oc get pod

   输出示例

   NAME      READY   STATUS    RESTARTS   AGE
   tunepod   1/1     Running   0          47s

6. 运行以下命令登录到 pod：

   $ oc rsh tunepod

7. 验证配置的 sysctl 标记的值。例如，通过运行以下命令查找 net.ipv4.conf.net1.accept_redirects 的值：

   sh-4.4# sysctl net.ipv4.conf.net1.accept_redirects

   预期输出

   net.ipv4.conf.net1.accept_redirects = 1