第 18 章 多网络
18.1. 了解多网络
默认情况下，OVN-Kubernetes 充当 OpenShift Container Platform 集群的 Container Network Interface (CNI)。使用 OVN-Kubernetes 作为集群的默认 CNI，OpenShift Container Platform 管理员或用户可以利用 用户定义的网络(UDN) 或 NetworkAttachmentDefinition (NAD) 创建一个或多个处理集群所有普通网络流量的默认网络。用户定义的网络和网络附加定义可用作以下网络类型：
- 主网络: Act 作为 pod 的主要网络。默认情况下，所有流量都通过主网络，除非将 pod 路由配置为通过其他网络发送流量。
- 二级网络 ：对 pod 使用额外的非默认网络。二级网络提供专用于特定流量类型或目的的独立接口。只有明确配置为使用二级网络的 pod 流量才会通过其接口路由。
但是，在集群安装过程中，OpenShift Container Platform 管理员可以使用 Multus CNI 插件配置替代的默认二级 pod 网络。使用 Multus 时，可以一起使用多个 CNI 插件，如 ipvlan、macvlan 或 Network Attachment Definitions，以用作 pod 的二级网络。
只有 OVN-Kubernetes 用作 CNI 时，用户定义的网络才可用。它们不支持与其他 CNI 一起使用。
您可以基于可用的 CNI 插件定义额外网络，并将一个或多个这些网络附加到 pod。您可以根据需要为集群定义多个额外网络。这可让您灵活地配置提供交换或路由等网络功能的 pod。
如需支持的 CNI 插件的完整列表，请参阅 "在 OpenShift Container Platform 中添加网络 "。
有关用户定义的网络的详情，请参考 关于用户定义的网络(UDN)。
有关网络附加定义的详情，请参考使用 NetworkAttachmentDefinition 创建主网络。
18.1.1. 额外网络使用场景
您可以在需要网络隔离的情况下使用额外网络，包括分离数据平面与控制平面。隔离网络流量对以下性能和安全性原因很有用：
性能
流量管理 ：您可以在两个不同的平面上发送流量，以管理每个平面上流量的多少。
安全性
网络隔离 ：您可以将敏感流量发送到专为安全考虑管理的网络平面，并可分隔不能在租户或客户之间共享的私有数据。
集群中的所有 pod 仍然使用集群范围的默认网络，以维持整个集群中的连通性。每个 pod 都有一个 eth0 接口，附加到集群范围的 pod 网络。您可以使用 oc exec -it <pod_name> -- ip a 命令来查看 pod 的接口。如果您添加使用 Multus CNI 的额外网络接口，则名称为 net1、net2、…、netN。
要将额外网络接口附加到 pod，您必须创建配置来定义接口的附加方式。您可以使用 UserDefinedNetwork 自定义资源(CR)或 NetworkAttachmentDefinition CR 指定每个接口。各个 CR 中的 CNI 配置定义如何创建该接口。
有关创建 UserDefinedNetwork CR 的更多信息，请参阅关于用户定义的网络。
有关创建 NetworkAttachmentDefinition CR 的更多信息，请参阅使用 NetworkAttach mentDefinition 创建主网络。
18.1.2. OpenShift Container Platform 中的额外网络
OpenShift Container Platform 提供以下 CNI 插件，以便在集群中创建额外网络：
- bridge ：配置基于网桥的额外网络，以允许同一主机上的 pod 相互通信，并与主机通信。
- host-device：配置 host-device 额外网络，以允许 pod 访问主机系统上的物理以太网网络设备。
- ipvlan ：配置基于 ipvlan 的额外网络，以允许主机上的 Pod 与其他主机和那些主机上的 pod 通信，这类似于基于 macvlan 的额外网络。与基于 macvlan 的额外网络不同，每个 pod 共享与父级物理网络接口相同的 MAC 地址。
- VLAN ：配置基于 VLAN 的额外网络，以允许基于 VLAN 的网络隔离和 pod 的连接。
- macvlan：配置基于 macvlan 的额外网络，以允许主机上的 Pod 通过使用物理网络接口与其他主机和那些主机上的 Pod 通信。附加到基于 macvlan 的额外网络的每个 pod 都会获得一个唯一的 MAC 地址。
- TAP ：配置基于 TAP 的额外网络，以在容器命名空间内创建 tap 设备。TAP 设备使用户空间程序能够发送和接收网络数据包。
- SR-IOV ：配置基于 SR-IOV 的额外网络，以允许 pod 附加到主机系统上支持 SR-IOV 的硬件的虚拟功能(VF)接口。
