17.2. 主网络

1. 增强了用于安全性的网络隔离

   • 租户隔离 ：命名空间可以有自己的隔离主网络，类似于在 Red Hat OpenStack Platform (RHOSP) 中隔离租户的方式。这通过降低跨租户流量的风险来提高安全性。

2. 网络灵活性

   • Layer 2 和 layer 3 的支持：集群管理员可以将主网络配置为 Layer 2 或 layer 3 网络类型。

3. 简化网络管理

   • 降低网络配置复杂性：使用用户定义的网络，可以通过对不同网络中的工作负载进行分组来实现隔离。从而消除了对复杂网络策略的需求。

4. 高级功能

   • 一致且可选择的 IP 寻址 ：用户可以在不同的命名空间和集群间指定并重复使用 IP 子网，从而提供一致的网络环境。
   • 支持多个网络：用户定义的网络功能允许管理员将多个命名空间连接到单个网络，或者为不同的命名空间组创建不同的网络。

5. 简化了从 Red Hat OpenStack Platform (RHOSP) 迁移应用程序的过程

   • 网络奇偶校验：通过提供类似网络隔离和配置选项，简化了应用程序从 OpenStack 迁移到 OpenShift Container Platform 的过程。

1. 管理员使用 k8s.ovn.org/primary-user-defined-network 标签为用户定义网络创建一个命名空间。
2. UserDefinedNetwork CR 由集群管理员或用户创建。
3. 用户在命名空间中创建 pod。

流程

1. 可选： 对于使用主网络的 UserDefinedNetwork CR，请输入以下命令创建带有 k8s.ovn.org/primary-user-defined-network 标签的命名空间：

   $ cat << EOF | oc apply -f -
   apiVersion: v1
   kind: Namespace
   metadata:
     name: <udn_namespace_name>
     labels:
       k8s.ovn.org/primary-user-defined-network: ""
   EOF

   Copy to Clipboard Toggle word wrap

2. 为 Layer2 或 Layer3 拓扑类型用户定义的网络创建请求：

   1. 创建一个 YAML 文件，如 my-layer-two-udn.yaml，为 Layer2 拓扑定义您的请求，如下例所示：

      apiVersion: k8s.ovn.org/v1
      kind: UserDefinedNetwork
      metadata:
        name: udn-1 

      1

      
        namespace: <some_custom_namespace>
      spec:
        topology: Layer2 

      2

      
        layer2: 

      3

      
          role: Primary 

      4

      
          subnets:
            - "10.0.0.0/24"
            - "2001:db8::/60" 

      5

      Copy to Clipboard Toggle word wrap

      1

      UserDefinedNetwork 资源的名称。这不应该是 default 或重复 Cluster Network Operator (CNO) 创建的任何全局命名空间。

      2

      topology 字段描述了网络配置；接受的值是 Layer2 和 Layer3。指定 Layer2 拓扑类型会创建一个逻辑交换机，它被所有节点共享。

      3

      此字段指定拓扑配置。它可以是 layer2 或 layer3。

      4

      指定 Primary 或 Secondary 角色。

      5

      对于 Layer2 拓扑类型，以下指定 subnet 字段的配置详情：

      • subnets 字段是可选的。
      • subnets 字段的类型是字符串，接受 IPv4 和 IPv6 的标准 CIDR 格式。
      • subnets 字段接受一个或多个项。如果是两个项，它们必须属于不同的系列。例如，子网值 10.100.0.0/16 和 2001:db8::/64。
      • 可以省略 Layer2 子网。如果省略，用户需要为 pod 配置 IP 地址。因此，端口安全性只能阻止 MAC 欺骗。
      • 当指定 ipamLifecycle 字段时，Layer2 subnets 字段是必须的。

   2. 创建一个 YAML 文件，如 my-layer-three-udn.yaml，为 Layer3 拓扑定义您的请求，如下例所示：

      apiVersion: k8s.ovn.org/v1
      kind: UserDefinedNetwork
      metadata:
        name: udn-2-primary 

      1

      
        namespace: <some_custom_namespace>
      spec:
        topology: Layer3 

      2

      
        layer3: 

      3

      
          role: Primary 

      4

      
          subnets: 

      5

      
            - cidr: 10.150.0.0/16
              hostSubnet: 24
            - cidr: 2001:db8::/60
              hostSubnet: 64
      # ...

      Copy to Clipboard Toggle word wrap

      1

      UserDefinedNetwork 资源的名称。这不应该是 default 或重复 Cluster Network Operator (CNO) 创建的任何全局命名空间。

      2

      topology 字段描述了网络配置；接受的值是 Layer2 和 Layer3。指定 Layer3 拓扑类型会为每个节点创建一个第 2 层段，各自具有不同的子网。第 3 层路由用于互连节点子网。

      3

      此字段指定拓扑配置。有效值为 layer2 或 layer3。

      4

      指定 Primary 或 Secondary 角色。

      5

      对于 Layer3 拓扑类型，以下指定 subnet 字段的配置详情：

      • subnets 字段是必需的。

      • subnets 字段的类型是 cidr 和 hostSubnet ：

        • CIDR 等同于集群的 clusterNetwork 配置设置。CIDR 中的 IP 地址分布到用户定义的网络中的 pod。此参数接受字符串值。
        • hostSubnet 定义每个节点子网的前缀。
        • 对于 IPv6，hostSubnet 仅支持 /64 长度。

3. 运行以下命令来应用您的请求：

   $ oc apply -f <my_layer_two_udn.yaml>

   Copy to Clipboard Toggle word wrap

   其中 <my_layer_two_udn.yaml> 是 Layer2 或 Layer3 配置文件的名称。

4. 运行以下命令验证您的请求是否成功：

   $ oc get userdefinednetworks udn-1 -n <some_custom_namespace> -o yaml

   Copy to Clipboard Toggle word wrap

   其中 some_custom_namespace 是您为用户定义的网络创建的命名空间。

   输出示例

   apiVersion: k8s.ovn.org/v1
   kind: UserDefinedNetwork
   metadata:
     creationTimestamp: "2024-08-28T17:18:47Z"
     finalizers:
     - k8s.ovn.org/user-defined-network-protection
     generation: 1
     name: udn-1
     namespace: some-custom-namespace
     resourceVersion: "53313"
     uid: f483626d-6846-48a1-b88e-6bbeb8bcde8c
   spec:
     layer2:
       role: Primary
       subnets:
       - 10.0.0.0/24
       - 2001:db8::/60
     topology: Layer2
   status:
     conditions:
     - lastTransitionTime: "2024-08-28T17:18:47Z"
       message: NetworkAttachmentDefinition has been created
       reason: NetworkAttachmentDefinitionReady
       status: "True"
       type: NetworkReady

   Copy to Clipboard Toggle word wrap

流程

1. 可选：为主网络创建命名空间：

   $ oc create namespace <namespace_name>

   Copy to Clipboard Toggle word wrap

2. 要编辑 CNO 配置，请输入以下命令：

   $ oc edit networks.operator.openshift.io cluster

   Copy to Clipboard Toggle word wrap

3. 通过为您要创建的主网络添加配置来修改您要创建的 CR，如下例所示。

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     # ...
     additionalNetworks:
     - name: tertiary-net
       namespace: namespace2
       type: Raw
       rawCNIConfig: |-
         {
           "cniVersion": "0.3.1",
           "name": "tertiary-net",
           "type": "ipvlan",
           "master": "eth1",
           "mode": "l2",
           "ipam": {
             "type": "static",
             "addresses": [
               {
                 "address": "192.168.1.23/24"
               }
             ]
           }
         }

   Copy to Clipboard Toggle word wrap
4. 保存您的更改，再退出文本编辑器以提交更改。

流程

1. 使用主网络配置创建 YAML 文件，如下例所示：

   apiVersion: k8s.cni.cncf.io/v1
   kind: NetworkAttachmentDefinition
   metadata:
     name: next-net
   spec:
     config: |-
       {
         "cniVersion": "0.3.1",
         "name": "work-network",
         "namespace": "namespace2", 

   1

   
         "type": "host-device",
         "device": "eth1",
         "ipam": {
           "type": "dhcp"
         }
       }

   Copy to Clipboard Toggle word wrap

   1

   可选：您可以指定 NAD 应用到的命名空间。如果您在要部署 NAD 的命名空间中工作，则不需要此规格。

2. 运行以下命令来创建主网络：

   $ oc apply -f <file>.yaml

   Copy to Clipboard Toggle word wrap

   其中：

   <file>

   指定包含 YAML 清单的文件名。