网络

流程

1. 创建策略规则：

   1. 创建一个 <policy-name>.yaml 文件，其中 <policy-name> 描述策略规则。

   2. 在刚才创建的文件中，定义一个策略对象，如下例所示：

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: <policy-name> 1
      spec:
        podSelector:
        ingress: []

      1

      为策略对象指定一个名称。

2. 运行以下命令来创建策略对象：

   $ oc create -f <policy-name>.yaml -n <project>

   在以下示例中，在名为 project1 的项目中创建一个新的 NetworkPolicy 对象：

   $ oc create -f default-deny.yaml -n project1

   输出示例

   networkpolicy "default-deny" created

流程

1. 可选：列出当前 NetworkPolicy 对象。

   1. 如果要列出特定命名空间中的策略对象，请输入以下命令。将 <namespace> 替换为一个项目的命名空间。

      $ oc get networkpolicy -n <namespace>

   2. 如果要列出整个集群的策略对象，请输入以下命令：

      $ oc get networkpolicy --all-namespaces

2. 编辑 NetworkPolicy 对象。

   1. 如果您在文件中保存了网络策略定义，请编辑该文件并进行必要的更改，然后输入以下命令。将 <policy-file> 替换为包含对象定义的文件名称。

      $ oc apply -f <policy-file>.yaml

   2. 如果需要直接更新 NetworkPolicy 对象，可以输入以下命令。将 <policy-name> 替换为 NetworkPolicy 对象的名称，将 <namespace> 替换为对象存在的项目的名称。

      $ oc edit <policy-name> -n <namespace>

3. 确认 NetworkPolicy 对象已更新。将 <namespace> 替换为对象存在的项目的名称。

   $ oc get networkpolicy -n <namespace> -o yaml

流程

1. 以具有 cluster-admin 特权的用户身份登录。

2. 生成默认项目模板：

   $ oc adm create-bootstrap-project-template -o yaml > template.yaml

3. 使用文本编辑器，通过添加对象或修改现有对象来修改生成的 template.yaml 文件。

4. 项目模板必须创建在 openshift-config 命名空间中。加载修改后的模板：

   $ oc create -f template.yaml -n openshift-config

5. 使用 Web 控制台或 CLI 编辑项目配置资源。

   • 使用 Web 控制台：

     1. 导航至 Administration → Cluster Settings 页面。
     2. 点击 Global Configuration，查看所有配置资源。
     3. 找到 Project 的条目，并点击 Edit YAML。

   • 使用 CLI：

     1. 编辑 project.config.openshift.io/cluster 资源：

        $ oc edit project.config.openshift.io/cluster

6. 更新 spec 部分，使其包含 projectRequestTemplate 和 name 参数，再设置您上传的项目模板的名称。默认名称为 project-request。

   带有自定义项目模板的项目配置资源

   apiVersion: config.openshift.io/v1
   kind: Project
   metadata:
     ...
   spec:
     projectRequestTemplate:
       name: <template_name>

7. 保存更改后，创建一个新项目来验证是否成功应用了您的更改。

流程

1. 运行以下命令来编辑新项目的默认模板：

   $ oc edit template <project_template> -n openshift-config

   将 <project_template> 替换为您为集群配置的缺省模板的名称。默认模板名称为 project-request。

2. 在模板中，将每个 NetworkPolicy 对象作为一个元素添加到 objects 参数中。objects 参数可以是一个或多个对象的集合。

   在以下示例中，objects 参数集合包括几个 NetworkPolicy 对象：

   objects:
   - apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: allow-from-same-namespace
     spec:
       podSelector:
       ingress:
       - from:
         - podSelector: {}
   - apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: allow-from-openshift-ingress
     spec:
       ingress:
       - from:
         - namespaceSelector:
             matchLabels:
               network.openshift.io/policy-group: ingress
       podSelector: {}
       policyTypes:
       - Ingress
   ...

3. 可选：通过运行以下命令创建一个新项目，来确认您的网络策略对象已被成功创建：

   1. 创建一个新项目

      $ oc new-project <project> 1

      1

      将 <project> 替换为您要创建的项目的名称。

   2. 确认新项目模板中的网络策略对象存在于新项目中：

      $ oc get networkpolicy
      NAME                           POD-SELECTOR   AGE
      allow-from-openshift-ingress   <none>         7s
      allow-from-same-namespace      <none>         7s

流程

1. 创建以下 NetworkPolicy 对象：

   1. 名为 allow-from-openshift-ingress 的策略：

      $ cat << EOF| oc create -f -
      apiVersion: networking.k8s.io/v1
      kind: NetworkPolicy
      metadata:
        name: allow-from-openshift-ingress
      spec:
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                network.openshift.io/policy-group: ingress
        podSelector: {}
        policyTypes:
        - Ingress
      EOF

   2. 名为 allow-from-openshift-monitoring 的策略：

      $ cat << EOF| oc create -f -
      apiVersion: networking.k8s.io/v1
      kind: NetworkPolicy
      metadata:
        name: allow-from-openshift-monitoring
      spec:
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                network.openshift.io/policy-group: monitoring
        podSelector: {}
        policyTypes:
        - Ingress
      EOF

   3. 名为 allow-same-namespace 的策略：

      $ cat << EOF| oc create -f -
      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: allow-same-namespace
      spec:
        podSelector:
        ingress:
        - from:
          - podSelector: {}
      EOF

2. 如果 default Ingress Controller 配置设置了 spec.endpointPublishingStrategy: HostNetwork 值，您需要为 default OpenShift Container Platform 命名空间添加一个标记来允许 Ingress Controller 和项目间的网络流量：

   1. 确定您的 default Ingress Controller 是否使用了 HostNetwork 端点发布策略：

      $ oc get --namespace openshift-ingress-operator ingresscontrollers/default \
        --output jsonpath='{.status.endpointPublishingStrategy.type}'

   2. 如果上个命令报告了端点发布策略为 HostNetwork，在 default 命名空间中设置一个标记：

      $ oc label namespace default 'network.openshift.io/policy-group=ingress'

3. 运行以下命令确认当前项目中存在 NetworkPolicy 对象：

   $ oc get networkpolicy <policy-name> -o yaml

   在以下示例中会显示 allow-from-openshift-ingress NetworkPolicy 对象：

   $ oc get -n project1 networkpolicy allow-from-openshift-ingress -o yaml

   输出示例

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: allow-from-openshift-ingress
     namespace: project1
   spec:
     ingress:
     - from:
       - namespaceSelector:
           matchLabels:
             network.openshift.io/policy-group: ingress
     podSelector: {}
     policyTypes:
     - Ingress

流程

1. 为 Pod 对象添加注解。只能使用以下注解格式之一：

   1. 要在没有自定义的情况下附加额外网络，请使用以下格式添加注解。将 <network> 替换为要与 pod 关联的额外网络的名称：

      metadata:
        annotations:
          k8s.v1.cni.cncf.io/networks: <network>[,<network>,...] 1

      1

      要指定多个额外网络，请使用逗号分隔各个网络。逗号之间不可包括空格。如果您多次指定同一额外网络，则该 pod 会将多个网络接口附加到该网络。

   2. 要通过自定义来附加额外网络，请添加具有以下格式的注解：

      metadata:
        annotations:
          k8s.v1.cni.cncf.io/networks: |-
            [
              {
                "name": "<network>", 1
                "namespace": "<namespace>", 2
                "default-route": ["<default-route>"] 3
              }
            ]

      1

      指定 NetworkAttachmentDefinition 对象定义的额外网络的名称。

      2

      指定定义 NetworkAttachmentDefinition 对象的命名空间。

      3

      可选：为默认路由指定覆盖，如 192.168.17.1。

2. 运行以下命令来创建 pod。将 <name> 替换为 pod 的名称。

   $ oc create -f <name>.yaml

3. 可选： 要确认 Pod CR 中是否存在注解，请输入以下命令将 <name> 替换为 pod 的名称。

   $ oc get pod <name> -o yaml

   在以下示例中，example-pod pod 附加到 net1 额外网络：

   $ oc get pod example-pod -o yaml
   apiVersion: v1
   kind: Pod
   metadata:
     annotations:
       k8s.v1.cni.cncf.io/networks: macvlan-bridge
       k8s.v1.cni.cncf.io/networks-status: |- 1
         [{
             "name": "openshift-sdn",
             "interface": "eth0",
             "ips": [
                 "10.128.2.14"
             ],
             "default": true,
             "dns": {}
         },{
             "name": "macvlan-bridge",
             "interface": "net1",
             "ips": [
                 "20.2.2.100"
             ],
             "mac": "22:2f:60:a5:f8:00",
             "dns": {}
         }]
     name: example-pod
     namespace: default
   spec:
     ...
   status:
     ...

   1

   k8s.v1.cni.cncf.io/networks-status 参数是对象的 JSON 数组。每个对象描述附加到 pod 的额外网络的状态。注解值保存为纯文本值。

1. 运行以下命令来编辑 CNO CR：

   $ oc edit networks.operator.openshift.io cluster

2. 通过为要创建的额外网络添加配置来修改您要创建的 CR，如以下示例 CR 中所示。

   以下 YAML 配置 bridge CNI 插件：

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: 1
     - name: test-network-1
       namespace: test-1
       type: Raw
       rawCNIConfig: '{
         "cniVersion": "0.3.1",
         "name": "test-network-1",
         "type": "bridge",
         "ipam": {
           "type": "static",
           "addresses": [
             {
               "address": "191.168.1.23/24"
             }
           ]
         }
       }'

   1

   指定额外网络附加定义的配置。

3. 保存您的更改，再退出文本编辑器以提交更改。

4. 可选：通过运行以下命令确认 CNO 创建了 NetworkAttachmentDefinition 对象。CNO 创建 CR 之前可能会有延迟。

   $ oc get network-attachment-definitions -n <namespace>

   输出示例

   NAME                 AGE
   test-network-1       14m

1. 运行以下命令来编辑 CNO CR：

   $ oc edit networks.operator.openshift.io cluster

2. 通过为要创建的额外网络添加配置来修改您要创建的 CR，如以下示例 CR 中所示。

   以下 YAML 配置 macvlan CNI 插件：

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: 1
     - name: test-network-1
       namespace: test-1
       type: SimpleMacvlan
       simpleMacvlanConfig:
         ipamConfig:
           type: static
           staticIPAMConfig:
             addresses:
             - address: 10.1.1.7/24

   1

   指定额外网络附加定义的配置。

3. 保存您的更改，再退出文本编辑器以提交更改。

4. 可选：通过运行以下命令确认 CNO 创建了 NetworkAttachmentDefinition 对象。CNO 创建 CR 之前可能会有延迟。

   $ oc get network-attachment-definitions -n <namespace>

   输出示例

   NAME                 AGE
   test-network-1       14m

1. 运行以下命令来编辑 CNO CR：

   $ oc edit networks.operator.openshift.io cluster

2. 通过为要创建的额外网络添加配置来修改您要创建的 CR，如以下示例 CR 中所示。

   以下 YAML 配置 ipvlan CNI 插件：

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: 1
     - name: test-network-1
       namespace: test-1
       type: Raw
       rawCNIConfig: '{
         "cniVersion": "0.3.1",
         "name": "test-network-1",
         "type": "ipvlan",
         "master": "eth1",
         "mode": "l2",
         "ipam": {
           "type": "static",
           "addresses": [
             {
               "address": "191.168.1.23/24"
             }
           ]
         }
       }'

   1

   指定额外网络附加定义的配置。

3. 保存您的更改，再退出文本编辑器以提交更改。

4. 可选：通过运行以下命令确认 CNO 创建了 NetworkAttachmentDefinition 对象。CNO 创建 CR 之前可能会有延迟。

   $ oc get network-attachment-definitions -n <namespace>

   输出示例

   NAME                 AGE
   test-network-1       14m

1. 运行以下命令来编辑 CNO CR：

   $ oc edit networks.operator.openshift.io cluster

2. 通过为要创建的额外网络添加配置来修改您要创建的 CR，如以下示例 CR 中所示。

   以下 YAML 配置 host-device CNI 插件：

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: 1
     - name: test-network-1
       namespace: test-1
       type: Raw
       rawCNIConfig: '{
         "cniVersion": "0.3.1",
         "name": "test-network-1",
         "type": "host-device",
         "device": "eth1"
       }'

   1

   指定额外网络附加定义的配置。

3. 保存您的更改，再退出文本编辑器以提交更改。

4. 可选：通过运行以下命令确认 CNO 创建了 NetworkAttachmentDefinition 对象。CNO 创建 CR 之前可能会有延迟。

   $ oc get network-attachment-definitions -n <namespace>

   输出示例

   NAME                 AGE
   test-network-1       14m

1. 运行以下命令，在默认文本编辑器中编辑 Cluster Network Operator (CNO) CR：

   $ oc edit networks.operator.openshift.io cluster

2. 在 additionalNetworks 集合中，用您的更改更新额外网络。
3. 保存您的更改，再退出文本编辑器以提交更改。

4. 可选：运行以下命令确认 CNO 更新了 NetworkAttachmentDefinition 对象。将 <network-name> 替换为要显示的额外网络名称。CNO 根据您的更改更新 NetworkAttachmentDefinition 对象前可能会有延迟。

   $ oc get network-attachment-definitions <network-name> -o yaml

   例如，以下控制台输出显示名为 net1 的 NetworkAttachmentDefinition 对象：

   $ oc get network-attachment-definitions net1 -o go-template='{{printf "%s\n" .spec.config}}'
   { "cniVersion": "0.3.1", "type": "macvlan",
   "master": "ens5",
   "mode": "bridge",
   "ipam":       {"type":"static","routes":[{"dst":"0.0.0.0/0","gw":"10.128.2.1"}],"addresses":[{"address":"10.128.2.100/23","gateway":"10.128.2.1"}],"dns":{"nameservers":["172.30.0.10"],"domain":"us-west-2.compute.internal","search":["us-west-2.compute.internal"]}} }

1. 运行以下命令，在默认文本编辑器中编辑 Cluster Network Operator (CNO)：

   $ oc edit networks.operator.openshift.io cluster

2. 从您要删除的网络附加定义的 additionalNetworks 集合中删除配置，以此修改 CR。

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     additionalNetworks: [] 1

   1

   如果要删除 additionalNetworks 集合中唯一额外网络附加定义的配置映射，您必须指定一个空集合。

3. 保存您的更改，再退出文本编辑器以提交更改。

4. 可选：通过运行以下命令确认删除了额外网络 CR：

   $ oc get network-attachment-definition --all-namespaces

流程

1. 创建以下 PtpConfig CR，然后在 <name>-ptp-config.yaml 文件中保存 YAML。使用配置的实际名称替换 <name>。

   apiVersion: ptp.openshift.io/v1
   kind: PtpConfig
   metadata:
     name: <name> 1
     namespace: openshift-ptp 2
   spec:
     profile: 3
     - name: "profile1" 4
       interface: "ens787f1" 5
       ptp4lOpts: "-s -2" 6
       phc2sysOpts: "-a -r" 7
     recommend: 8
     - profile: "profile1" 9
       priority: 10 10
       match: 11
       - nodeLabel: "node-role.kubernetes.io/worker" 12
         nodeName: "dev-worker-0" 13

   1

   为 PtpConfig CR 指定名称。

   2

   指定安装 PTP Operator 的命名空间。

   3

   指定包括一个或多个 profile 的数组。

   4

   指定用于唯一标识配置集（profile）对象的配置集对象名称。

   5

   指定 ptp4l 服务要使用的网络接口名称，如 ens787f1。

   6

   为 ptp4l 服务指定系统配置选项，如 -s -2。这不应该包含接口名称 -i <interface> 和服务配置文件 -f /etc/ptp4l.conf ，因为这些文件会被自动附加。

   7

   为 phc2sys 服务指定系统配置选项，如 -a -r。

   8

   指定包括一个或多个 recommend 对象的数组，该数组定义了如何将配置集应用到节点的规则。

   9

   指定 profile 部分中定义的 profile 对象名称。

   10

   使用 0 到 99 之间的一个整数值指定 priority。大数值的优先级较低，因此优先级 99 低于优先级 10。如果根据 match 项中定义的规则，节点可以与多个配置集相匹配，具有最高优先级的配置集将被应用到那个节点。

   11

   使用 nodeLabel 或 nodeName 指定 match 规则。

   12

   使用节点对象中的 node.Labels 的 key 指定 nodeLabel。

   13

   使用节点对象的 node.Name 指定 nodeName 。

2. 运行以下命令来创建 CR：

   $ oc create -f <filename> 1

   1

   将 <filename> 替换为您在上一步中创建的文件的名称。

3. 可选：检查 PtpConfig 配置集是否应用到与 nodeLabel 或 nodeName 匹配的节点。

   $ oc get pods -n openshift-ptp -o wide

   输出示例

   NAME                            READY   STATUS    RESTARTS   AGE   IP               NODE           NOMINATED NODE   READINESS GATES
   linuxptp-daemon-4xkbb           1/1     Running   0          43m   192.168.111.15   dev-worker-0   <none>           <none>
   linuxptp-daemon-tdspf           1/1     Running   0          43m   192.168.111.11   dev-master-0   <none>           <none>
   ptp-operator-657bbb64c8-2f8sj   1/1     Running   0          43m   10.128.0.116     dev-master-0   <none>           <none>
   
   $ oc logs linuxptp-daemon-4xkbb -n openshift-ptp
   I1115 09:41:17.117596 4143292 daemon.go:107] in applyNodePTPProfile
   I1115 09:41:17.117604 4143292 daemon.go:109] updating NodePTPProfile to:
   I1115 09:41:17.117607 4143292 daemon.go:110] ------------------------------------
   I1115 09:41:17.117612 4143292 daemon.go:102] Profile Name: profile1 1
   I1115 09:41:17.117616 4143292 daemon.go:102] Interface: ens787f1    2
   I1115 09:41:17.117620 4143292 daemon.go:102] Ptp4lOpts: -s -2       3
   I1115 09:41:17.117623 4143292 daemon.go:102] Phc2sysOpts: -a -r     4
   I1115 09:41:17.117626 4143292 daemon.go:116] ------------------------------------
   I1115 09:41:18.117934 4143292 daemon.go:186] Starting phc2sys...
   I1115 09:41:18.117985 4143292 daemon.go:187] phc2sys cmd: &{Path:/usr/sbin/phc2sys Args:[/usr/sbin/phc2sys -a -r] Env:[] Dir: Stdin:<nil> Stdout:<nil> Stderr:<nil> ExtraFiles:[] SysProcAttr:<nil> Process:<nil> ProcessState:<nil> ctx:<nil> lookPathErr:<nil> finished:false childFiles:[] closeAfterStart:[] closeAfterWait:[] goroutine:[] errch:<nil> waitDone:<nil>}
   I1115 09:41:19.118175 4143292 daemon.go:186] Starting ptp4l...
   I1115 09:41:19.118209 4143292 daemon.go:187] ptp4l cmd: &{Path:/usr/sbin/ptp4l Args:[/usr/sbin/ptp4l -m -f /etc/ptp4l.conf -i ens787f1 -s -2] Env:[] Dir: Stdin:<nil> Stdout:<nil> Stderr:<nil> ExtraFiles:[] SysProcAttr:<nil> Process:<nil> ProcessState:<nil> ctx:<nil> lookPathErr:<nil> finished:false childFiles:[] closeAfterStart:[] closeAfterWait:[] goroutine:[] errch:<nil> waitDone:<nil>}
   ptp4l[102189.864]: selected /dev/ptp5 as PTP clock
   ptp4l[102189.886]: port 1: INITIALIZING to LISTENING on INIT_COMPLETE
   ptp4l[102189.886]: port 0: INITIALIZING to LISTENING on INIT_COMPLETE

   1

   Profile Name 是应用到 dev-worker-0 节点的名称。

   2

   Interface 是在 profile1 的 interface 项中指定的 PTP 设备。在这个接口中运行的 ptp4l 服务。

   3

   ptp4lOpts 是 profile1 中的 ptp4lOpts 项指定的 ptp4l sysconfig 选项。

   4

   Phc2sysOpts 是profile1 中的 Phc2sysOpts 项指定的 phc2sys sysconfig 选项。

流程

1. 创建一个 SriovNetworkNodePolicy 对象，然后在 <name>-sriov-node-network.yaml 文件中保存 YAML。使用配置的实际名称替换 <name>。

2. 创建 SriovNetworkNodePolicy CR:

   $ oc create -f <name>-sriov-node-network.yaml

   其中 <name> 指定这个配置的名称。

   在应用配置更新后，sriov-network-operator 命名空间中的所有 Pod 都会变为 Running 状态。

3. 要验证是否已配置了 SR-IOV 网络设备，请输入以下命令。将 <node_name> 替换为带有您刚才配置的 SR-IOV 网络设备的节点名称。

   $ oc get sriovnetworknodestates -n openshift-sriov-network-operator <node_name> -o jsonpath='{.status.syncStatus}'

流程

1. 创建一个 SriovNetwork 对象，然后在 <name>.yaml 文件中保存 YAML，其中 <name> 是这个额外网络的名称。对象规格可能类似以下示例：

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovNetwork
   metadata:
     name: attach1
     namespace: openshift-sriov-network-operator
   spec:
     resourceName: net1
     networkNamespace: project2
     ipam: |-
     {
       "type": "host-local",
       "subnet": "10.56.217.0/24",
       "rangeStart": "10.56.217.171",
       "rangeEnd": "10.56.217.181",
       "gateway": "10.56.217.1"
     }

2. 运行以下命令来创建对象：

   $ oc create -f <name>.yaml

   这里的 <name> 指定额外网络的名称。

3. 可选： 要确认与您在上一步中创建的 SriovNetwork 对象关联的 NetworkAttachmentDefinition 对象是否存在，请输入以下命令。将 <namespace> 替换为您在 SriovNetwork 对象中指定的 networkNamespace。

   $ oc get net-attach-def -n <namespace>

流程

1. 为 Pod 对象添加注解。只能使用以下注解格式之一：

   1. 要在没有自定义的情况下附加额外网络，请使用以下格式添加注解。将 <network> 替换为要与 pod 关联的额外网络的名称：

      metadata:
        annotations:
          k8s.v1.cni.cncf.io/networks: <network>[,<network>,...] 1

      1

      要指定多个额外网络，请使用逗号分隔各个网络。逗号之间不可包括空格。如果您多次指定同一额外网络，则该 pod 会将多个网络接口附加到该网络。

   2. 要通过自定义来附加额外网络，请添加具有以下格式的注解：

      metadata:
        annotations:
          k8s.v1.cni.cncf.io/networks: |-
            [
              {
                "name": "<network>", 1
                "namespace": "<namespace>", 2
                "default-route": ["<default-route>"] 3
              }
            ]

      1

      指定 NetworkAttachmentDefinition 对象定义的额外网络的名称。

      2

      指定定义 NetworkAttachmentDefinition 对象的命名空间。

      3

      可选：为默认路由指定覆盖，如 192.168.17.1。

2. 运行以下命令来创建 pod。将 <name> 替换为 pod 的名称。

   $ oc create -f <name>.yaml

3. 可选： 要确认 Pod CR 中是否存在注解，请输入以下命令将 <name> 替换为 pod 的名称。

   $ oc get pod <name> -o yaml

   在以下示例中，example-pod pod 附加到 net1 额外网络：

   $ oc get pod example-pod -o yaml
   apiVersion: v1
   kind: Pod
   metadata:
     annotations:
       k8s.v1.cni.cncf.io/networks: macvlan-bridge
       k8s.v1.cni.cncf.io/networks-status: |- 1
         [{
             "name": "openshift-sdn",
             "interface": "eth0",
             "ips": [
                 "10.128.2.14"
             ],
             "default": true,
             "dns": {}
         },{
             "name": "macvlan-bridge",
             "interface": "net1",
             "ips": [
                 "20.2.2.100"
             ],
             "mac": "22:2f:60:a5:f8:00",
             "dns": {}
         }]
     name: example-pod
     namespace: default
   spec:
     ...
   status:
     ...

   1

   k8s.v1.cni.cncf.io/networks-status 参数是对象的 JSON 数组。每个对象描述附加到 pod 的额外网络的状态。注解值保存为纯文本值。

流程

1. 创建以下 SR-IOV pod 规格，然后在 <name>-sriov-pod.yaml 文件中保存 YAML。将 <name> 替换为这个 pod 的名称。

   以下示例显示了 SR-IOV pod 规格：

   apiVersion: v1
   kind: Pod
   metadata:
     name: sample-pod
     annotations:
       k8s.v1.cni.cncf.io/networks: <name> 1
   spec:
     containers:
     - name: sample-container
       image: <image> 2
       command: ["sleep", "infinity"]
       resources:
         limits:
           memory: "1Gi" 3
           cpu: "2" 4
         requests:
           memory: "1Gi"
           cpu: "2"

   1

   将 <name> 替换为 SR-IOV 网络附加定义 CR 的名称。

   2

   将 <image> 替换为 sample-pod 镜像的名称。

   3

   要创建带有保证 QoS 的 SR-IOV pod，将 memory limits 设置为与 memory requests 相同的值。

   4

   要创建带有保证 QoS 的 SR-IOV pod，将 cpu limits 设置为与 cpu requests 相同。

2. 运行以下命令来创建 SR-IOV pod 示例：

   $ oc create -f <filename> 1

   1

   将 <filename> 替换为您在上一步中创建的文件的名称。

3. 确认 sample-pod 配置为带有保证 QoS。

   $ oc describe pod sample-pod

4. 确认 sample-pod 被分配了独有的 CPU。

   $ oc exec sample-pod -- cat /sys/fs/cgroup/cpuset/cpuset.cpus

5. 确认为 sample-pod 分配的 SR-IOV 设备和 CPU 位于相同的 NUMA 节点上。

   $ oc exec sample-pod -- cat /sys/fs/cgroup/cpuset/cpuset.cpus

流程

1. 创建一个 SriovNetworkNodePolicy 对象：

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovNetworkNodePolicy
   metadata:
     name: policy-example
     namespace: openshift-sriov-network-operator
   spec:
     resourceName: example
     nodeSelector:
       feature.node.kubernetes.io/network-sriov.capable: "true"
     numVfs: 4
     nicSelector:
       vendor: "8086"
       pfNames: ['ens803f0']
       rootDevices: ['0000:86:00.0']

2. 创建一个 SriovNetwork 对象：

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovNetwork
   metadata:
     name: net-example
     namespace: openshift-sriov-network-operator
   spec:
     networkNamespace: default
     ipam: | 1
       {
         "type": "host-local", 2
         "subnet": "10.56.217.0/24",
         "rangeStart": "10.56.217.171",
         "rangeEnd": "10.56.217.181",
         "routes": [
           {"dst": "224.0.0.0/5"},
           {"dst": "232.0.0.0/5"}
         ],
         "gateway": "10.56.217.1"
       }
     resourceName: example

   1 2

   如果选择将 DHCP 配置为 IPAM，请确保通过 DHCP 服务器提供了以下默认路由： 224.0.0.0/5 和 232.0.0.0/5。这会覆盖由默认网络供应商设置的静态多播路由。

3. 创建带有多播应用程序的 pod:

   apiVersion: v1
   kind: Pod
   metadata:
     name: testpmd
     namespace: default
     annotations:
       k8s.v1.cni.cncf.io/networks: nic1
   spec:
     containers:
     - name: example
       image: rhel7:latest
       securityContext:
         capabilities:
           add: ["NET_ADMIN"] 1
       command: [ "sleep", "infinity"]

   1

   只有在应用程序需要为 SR-IOV 接口分配多播 IP 地址时，才需要 NET_ADMIN 功能。否则，可以省略它。

流程

1. 创建以下 SriovNetworkNodePolicy 对象，然后在 intel-dpdk-node-policy.yaml 文件中保存 YAML。

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovNetworkNodePolicy
   metadata:
     name: intel-dpdk-node-policy
     namespace: openshift-sriov-network-operator
   spec:
     resourceName: intelnics
     nodeSelector:
       feature.node.kubernetes.io/network-sriov.capable: "true"
     priority: <priority>
     numVfs: <num>
     nicSelector:
       vendor: "8086"
       deviceID: "158b"
       pfNames: ["<pf_name>", ...]
       rootDevices: ["<pci_bus_id>", "..."]
     deviceType: vfio-pci 1

   1

   将虚拟功能（VF）的驱动器类型指定为 vfio-pci。

   注意

   请参阅 Configuring SR-IOV network devices 一节以了解 SriovNetworkNodePolicy 中的每个选项的信息。

   当应用由 SriovNetworkNodePolicy 对象中指定的配置时，SR-IOV Operator 可能会排空节点，并在某些情况下会重启节点。它可能需要几分钟时间来应用配置更改。确保集群中有足够的可用节点，用以预先处理被驱除的工作负载。

   应用配置更新后，openshift-sriov-network-operator 命名空间中的所有 pod 将变为 Running 状态。

2. 运行以下命令来创建 SriovNetworkNodePolicy 对象：

   $ oc create -f intel-dpdk-node-policy.yaml

3. 创建以下 SriovNetwork 对象，然后在 intel-dpdk-network.yaml 文件中保存 YAML。

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovNetwork
   metadata:
     name: intel-dpdk-network
     namespace: openshift-sriov-network-operator
   spec:
     networkNamespace: <target_namespace>
     ipam: "{}" 1
     vlan: <vlan>
     resourceName: intelnics

   1

   为 ipam CNI 插件指定一个空对象 "{}" 。DPDK 在用户空间模式下工作，不需要 IP 地址。

   注意

   请参阅 Configuring SR-IOV additional network 部分以了解 SriovNetwork 中的每个选项的信息。

4. 运行以下命令来创建 SriovNetworkNodePolicy 对象：

   $ oc create -f intel-dpdk-network.yaml

5. 创建以下 Pod spec，然后在 intel-dpdk-pod.yaml 文件中保存 YAML。

   apiVersion: v1
   kind: Pod
   metadata:
     name: dpdk-app
     namespace: <target_namespace> 1
     annotations:
       k8s.v1.cni.cncf.io/networks: intel-dpdk-network
   spec:
     containers:
     - name: testpmd
       image: <DPDK_image> 2
       securityContext:
        capabilities:
           add: ["IPC_LOCK"] 3
       volumeMounts:
       - mountPath: /dev/hugepages 4
         name: hugepage
       resources:
         limits:
           openshift.io/intelnics: "1" 5
           memory: "1Gi"
           cpu: "4" 6
           hugepages-1Gi: "4Gi" 7
         requests:
           openshift.io/intelnics: "1"
           memory: "1Gi"
           cpu: "4"
           hugepages-1Gi: "4Gi"
       command: ["sleep", "infinity"]
     volumes:
     - name: hugepage
       emptyDir:
         medium: HugePages

   1

   指定 target_namespace，它与 SriovNetwork 对象 intel-dpdk-network 创建于的命令空间相同。如果要在其他命名空间中创建 pod，在 Pod spec 和 SriovNetowrk 对象中更改 target_namespace。

   2

   指定包含应用程序和应用程序使用的 DPDK 库的 DPDK 镜像。

   3

   指定应用程序在容器内分配巨页内存所需的 IPC_LOCK 功能。

   4

   在 /dev/hugepages 下将巨页卷挂载到 DPDK pod。巨页卷由 emptyDir 卷类型支持，medium 为Hugepages。

   5

   可选：指定分配给 DPDK pod 的 DPDK 设备数。如果未明确指定，则此资源请求和限制将被 SR-IOV 网络资源注入程序自动添加。SR-IOV 网络资源注入程序是由 SR-IOV Operator 管理的准入控制器组件。它默认是启用的，可以通过把默认的 SriovOperatorConfig CR 中的 enableInjector 选项设置为 false 来禁用它。

   6

   指定 CPU 数量。DPDK pod 通常需要从 kubelet 分配专用 CPU。这可以通过将 CPU Manager 策略设置为 static，并创建带有有保障的 QoS 的 pod 来实现。

   7

   指定巨页大小 hugepages-1Gi 或 hugepages-2Mi 以及分配给 DPDK pod 的巨页数量。单独配置 2Mi 和 1Gi 巨页。配置 1Gi 巨页需要在节点中添加内核参数。例如：添加内核参数 default_hugepagesz=1GB，hugepagesz=1G 和 hugepages=16 将在系统引导时分配 16*1Gi 巨页。

6. 运行以下命令来创建 DPDK pod:

   $ oc create -f intel-dpdk-pod.yaml

流程

1. 创建以下 SriovNetworkNodePolicy 对象，然后在 mlx-dpdk-node-policy.yaml 文件中保存 YAML。

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovNetworkNodePolicy
   metadata:
     name: mlx-dpdk-node-policy
     namespace: openshift-sriov-network-operator
   spec:
     resourceName: mlxnics
     nodeSelector:
       feature.node.kubernetes.io/network-sriov.capable: "true"
     priority: <priority>
     numVfs: <num>
     nicSelector:
       vendor: "15b3"
       deviceID: "1015" 1
       pfNames: ["<pf_name>", ...]
       rootDevices: ["<pci_bus_id>", "..."]
     deviceType: netdevice 2
     isRdma: true 3

   1

   指定 SR-IOV 网络设备的设备十六进制代码。Mellanox 卡允许的值是 1015，1017。

   2

   指定到 netdevice 的虚拟功能（VF）的驱动器类型。Mellanox SR-IOV VF 可以在 DPDK 模式下工作，而无需使用 vfio-pci 设备类型。VF 设备作为容器内的内核网络接口出现。

   3

   启用 RDMA 模式。Mellanox 卡需要在 DPDK 模式下工作。

   注意

   请参阅 Configuring SR-IOV network devices 一节以了解 SriovNetworkNodePolicy 中的每个选项的信息。

   当应用由 SriovNetworkNodePolicy 对象中指定的配置时，SR-IOV Operator 可能会排空节点，并在某些情况下会重启节点。它可能需要几分钟时间来应用配置更改。确保集群中有足够的可用节点，用以预先处理被驱除的工作负载。

   应用配置更新后，openshift-sriov-network-operator 命名空间中的所有 pod 将变为 Running 状态。

2. 运行以下命令来创建 SriovNetworkNodePolicy 对象：

   $ oc create -f mlx-dpdk-node-policy.yaml

3. 创建以下 SriovNetwork 对象，然后在 mlx-dpdk-network.yaml 文件中保存 YAML。

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovNetwork
   metadata:
     name: mlx-dpdk-network
     namespace: openshift-sriov-network-operator
   spec:
     networkNamespace: <target_namespace>
     ipam: |- 1
       ...
     vlan: <vlan>
     resourceName: mlxnics

   1

   为 ipam CNI 插件指定一个配置对象做为一个 YAML 块 scalar。该插件管理网络附加定义的 IP 地址分配。

   注意

   请参阅 Configuring SR-IOV additional network 部分以了解 SriovNetwork 中的每个选项的信息。

4. 运行以下命令来创建 SriovNetworkNodePolicy 对象：

   $ oc create -f mlx-dpdk-network.yaml

5. 创建以下 Pod spec，然后在 mlx-dpdk-pod.yaml 文件中保存 YAML。

   apiVersion: v1
   kind: Pod
   metadata:
     name: dpdk-app
     namespace: <target_namespace> 1
     annotations:
       k8s.v1.cni.cncf.io/networks: mlx-dpdk-network
   spec:
     containers:
     - name: testpmd
       image: <DPDK_image> 2
       securityContext:
        capabilities:
           add: ["IPC_LOCK","NET_RAW"] 3
       volumeMounts:
       - mountPath: /dev/hugepages 4
         name: hugepage
       resources:
         limits:
           openshift.io/mlxnics: "1" 5
           memory: "1Gi"
           cpu: "4" 6
           hugepages-1Gi: "4Gi" 7
         requests:
           openshift.io/mlxnics: "1"
           memory: "1Gi"
           cpu: "4"
           hugepages-1Gi: "4Gi"
       command: ["sleep", "infinity"]
     volumes:
     - name: hugepage
       emptyDir:
         medium: HugePages

   1

   指定 target_namespace，它与 SriovNetwork 对象 mlx-dpdk-network 创建于的命令空间相同。如果要在其他命名空间中创建 pod，在 Pod spec 和 SriovNetowrk 对象中更改 target_namespace。

   2

   指定包含应用程序和应用程序使用的 DPDK 库的 DPDK 镜像。

   3

   指定应用程序在容器内分配巨页内存所需的 IPC_LOCK 功能，以及用于应用程序访问网络接口的 NET_RAW。

   4

   在 /dev/hugepages 下将巨页卷挂载到 DPDK pod。巨页卷由 emptyDir 卷类型支持，medium 为Hugepages。

   5

   可选：指定分配给 DPDK pod 的 DPDK 设备数。如果未明确指定，则此资源请求和限制将被 SR-IOV 网络资源注入程序自动添加。SR-IOV 网络资源注入程序是由 SR-IOV Operator 管理的准入控制器组件。它默认是启用的，可以通过把默认的 SriovOperatorConfig CR 中的 enableInjector 选项设置为 false 来禁用它。

   6

   指定 CPU 数量。DPDK pod 通常需要从 kubelet 分配专用 CPU。这可以通过将 CPU Manager 策略设置为 static，并创建带有有保障的 QoS 的 pod 来实现。

   7

   指定巨页大小 hugepages-1Gi 或 hugepages-2Mi 以及分配给 DPDK pod 的巨页数量。单独配置 2Mi 和 1Gi 巨页。配置 1Gi 巨页需要在节点中添加内核参数。

6. 运行以下命令来创建 DPDK pod:

   $ oc create -f mlx-dpdk-pod.yaml

流程

1. 创建以下 SriovNetworkNodePolicy 对象，然后在 mlx-rdma-node-policy.yaml 文件中保存 YAML。

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovNetworkNodePolicy
   metadata:
     name: mlx-rdma-node-policy
     namespace: openshift-sriov-network-operator
   spec:
     resourceName: mlxnics
     nodeSelector:
       feature.node.kubernetes.io/network-sriov.capable: "true"
     priority: <priority>
     numVfs: <num>
     nicSelector:
       vendor: "15b3"
       deviceID: "1015" 1
       pfNames: ["<pf_name>", ...]
       rootDevices: ["<pci_bus_id>", "..."]
     deviceType: netdevice 2
     isRdma: true 3

   1

   指定 SR-IOV 网络设备的设备十六进制代码。Mellanox 卡允许的值是 1015，1017。

   2

   指定到 netdevice 的虚拟功能（VF）的驱动器类型。

   3

   启用 RDMA 模式。

   注意

   请参阅 Configuring SR-IOV network devices 一节以了解 SriovNetworkNodePolicy 中的每个选项的信息。

   当应用由 SriovNetworkNodePolicy 对象中指定的配置时，SR-IOV Operator 可能会排空节点，并在某些情况下会重启节点。它可能需要几分钟时间来应用配置更改。确保集群中有足够的可用节点，用以预先处理被驱除的工作负载。

   应用配置更新后，openshift-sriov-network-operator 命名空间中的所有 pod 将变为 Running 状态。

2. 运行以下命令来创建 SriovNetworkNodePolicy 对象：

   $ oc create -f mlx-rdma-node-policy.yaml

3. 创建以下 SriovNetwork 对象，然后在 mlx-rdma-network.yaml 文件中保存 YAML。

   apiVersion: sriovnetwork.openshift.io/v1
   kind: SriovNetwork
   metadata:
     name: mlx-rdma-network
     namespace: openshift-sriov-network-operator
   spec:
     networkNamespace: <target_namespace>
     ipam: |- 1
       ...
     vlan: <vlan>
     resourceName: mlxnics

   1

   为 ipam CNI 插件指定一个配置对象做为一个 YAML 块 scalar。该插件管理网络附加定义的 IP 地址分配。

   注意

   请参阅 Configuring SR-IOV additional network 部分以了解 SriovNetwork 中的每个选项的信息。

4. 运行以下命令来创建 SriovNetworkNodePolicy 对象：

   $ oc create -f mlx-rdma-network.yaml

5. 创建以下 Pod spec，然后在 mlx-rdma-pod.yaml 文件中保存 YAML。

   apiVersion: v1
   kind: Pod
   metadata:
     name: rdma-app
     namespace: <target_namespace> 1
     annotations:
       k8s.v1.cni.cncf.io/networks: mlx-rdma-network
   spec:
     containers:
     - name: testpmd
       image: <RDMA_image> 2
       securityContext:
        capabilities:
           add: ["IPC_LOCK"] 3
       volumeMounts:
       - mountPath: /dev/hugepages 4
         name: hugepage
       resources:
         limits:
           memory: "1Gi"
           cpu: "4" 5
           hugepages-1Gi: "4Gi" 6
         requests:
           memory: "1Gi"
           cpu: "4"
           hugepages-1Gi: "4Gi"
       command: ["sleep", "infinity"]
     volumes:
     - name: hugepage
       emptyDir:
         medium: HugePages

   1

   指定 target_namespace，它与 SriovNetwork 对象 mlx-rdma-network 创建于的命令空间相同。如果要在其他命名空间中创建 pod，在 Pod spec 和 SriovNetowrk 对象中更改 target_namespace。

   2

   指定包含应用程序和应用程序使用的 RDMA 库的 RDMA 镜像。

   3

   指定应用程序在容器内分配巨页内存所需的 IPC_LOCK 功能。

   4

   在 /dev/hugepages 下将巨页卷挂载到 RDMA pod。巨页卷由 emptyDir 卷类型支持，medium 为Hugepages。

   5

   指定 CPU 数量。RDMA pod 通常需要从 kubelet 分配专用 CPU。这可以通过将 CPU Manager 策略设置为 static，并创建带有有保障的 QoS 的 pod 来实现。

   6

   指定巨页大小 hugepages-1Gi 或 hugepages-2Mi 以及分配给 RDMA pod 的巨页数量。单独配置 2Mi 和 1Gi 巨页。配置 1Gi 巨页需要在节点中添加内核参数。

6. 运行以下命令来创建 RDMA pod:

   $ oc create -f mlx-rdma-pod.yaml

1. 当前仅在 OpenShift Container Platform 4.4 中作为技术预览功能提供。
2. 在 OpenShift SDN 中，出口防火墙也称为出口网络策略。这和网络策略出口不同。
3. 不支持出口规则和一些 ipBlock 规则。

流程

1. 使用以下 JSON，用出口 IP 地址更新 NetNamespace 资源：

    $ oc patch netnamespace <project_name> --type=merge -p \ 1
     '{
       "egressIPs": [
         "<ip_address>" 2
       ]
     }'

   1

   指定项目的名称。

   2

   指定单个出口 IP 地址。不支持使用多 IP 地址。

   例如，将 project1 分配给 IP 地址 192.168.1.100，将 project2 分配给 IP 地址 192.168.1.101：

   $ oc patch netnamespace project1 --type=merge -p \
     '{"egressIPs": ["192.168.1.100"]}'
   $ oc patch netnamespace project2 --type=merge -p \
     '{"egressIPs": ["192.168.1.101"]}'

2. 使用以下 JSON 设置每一主机的 egressCIDRs 参数，以指明哪些节点可以托管出口 IP 地址：

   $ oc patch hostsubnet <node_name> --type=merge -p \ 1
     '{
       "egressCIDRs": [
         "<ip_address_range_1>", "<ip_address_range_2>" 2
       ]
     }'

   1

   指定节点名称。

   2

   以 CIDR 格式指定一个或多个 IP 地址范围。

   例如，将 node1 和 node2 设置为托管范围为 192.168.1.0 到 192.168.1.255 的出口 IP 地址：

   $ oc patch hostsubnet node1 --type=merge -p \
     '{"egressCIDRs": ["192.168.1.0/24"]}'
   $ oc patch hostsubnet node2 --type=merge -p \
     '{"egressCIDRs": ["192.168.1.0/24"]}'

   OpenShift Container Platform 会自动以均衡的方式将特定的出口 IP 地址分配给可用的节点。在本例中，它会将出口 IP 地址 192.168.1.100 分配给 node1，并将出口 IP 地址 192.168.1.101 分配给 node2，或反之。

流程

1. 通过使用所需 IP 地址指定以下 JSON 对象来更新 NetNamespace 对象：

   $ oc patch netnamespace <project> --type=merge -p \ 1
     '{
       "egressIPs": [ 2
         "<ip_address>"
         ]
     }'

   1

   指定项目的名称。

   2

   指定一个或多个出口 IP 地址。egressIPs 参数是一个数组。

   例如，将 project1 项目分配给 IP 地址 192.168.1.100：

   $ oc patch netnamespace project1 --type=merge \
     -p '{"egressIPs": ["192.168.1.100"]}'

   您可以将 egressIPs 设置为位于不同节点上的两个或多个 IP 地址，以提供高可用性。如果设置了多个出口 IP 地址，Pod 会将列表中的第一个 IP 用于出口，但如果托管该 IP 地址的节点失败，Pod 会在短暂的延迟后切换到使用列表中的下一个 IP。

2. 手动将出口 IP 分配给节点主机。在节点主机上的 HostSubnet 对象中设置 egressIPs 参数。使用以下 JSON，尽可能纳入您要分配给该节点主机的所有 IP：

   $ oc patch hostsubnet <node_name> --type=merge -p \ 1
     '{
       "egressIPs": [ 2
         "<ip_address_1>",
         "<ip_address_N>"
         ]
     }'

   1

   指定节点的名称。

   2

   指定一个或多个出口 IP 地址。egressIPs 字段是一个数组。

   例如，指定 node1 应具有出口 IP 192.168.1.100、192.168.1.101 和 192.168.1.102：

   $ oc patch hostsubnet node1 --type=merge -p \
     '{"egressIPs": ["192.168.1.100", "192.168.1.101", "192.168.1.102"]}'

   在上例中，project1 的所有出口流量都会被路由到托管指定出口 IP 地址的节点，然后（使用 NAT）连接到那个 IP 地址。

流程

1. 创建策略规则：

   1. 创建一个 <policy-name>.yaml 文件，其中 <policy-name> 描述出口策略规则。
   2. 在您创建的文件中，定义出口策略对象。

2. 运行以下命令来创建策略对象：

   $ oc create -f <policy-name>.yaml -n <project>

   在以下示例中，在名为 project1 的项目中创建一个新的 EgressNetworkPolicy 对象：

   $ oc create -f default-rules.yaml -n project1

   输出示例

   egressnetworkpolicy.network.openshift.io/default-rules created

3. 可选：保存 <policy-name>.yaml ，以便在以后进行修改。

1. 查找项目的 EgressNetworkPolicy 对象的名称。将 <project> 替换为项目的名称。

   $ oc get -n <project> egressnetworkpolicy

2. 可选，如果您在创建出口网络防火墙时没有保存 EgressNetworkPolicy 对象的副本，请输入以下命令来创建副本。

   $ oc get -n <project> \ 1
     egressnetworkpolicy <name> \ 2
     -o yaml > <filename>.yaml 3

   1

   将 <project> 替换为项目的名称

   2

   将 <name> 替换为 Pod 的名称。

   3

   将 <filename> 替换为要保存 YAML 的文件名称。

3. 输入以下命令替换 EgressNetworkPolicy 对象。将 <filename> 替换为包含更新的 EgressNetworkPolicy 对象的文件名称。

   $ oc replace -f <filename>.yaml

1. 查找项目的 EgressNetworkPolicy 对象的名称。将 <project> 替换为项目的名称。

   $ oc get -n <project> egressnetworkpolicy

2. 输入以下命令删除 EgressNetworkPolicy 对象。将 <project> 替换为项目名称，<name> 替换为对象名称。

   $ oc delete -n <project> egressnetworkpolicy <name>

流程

1. 创建出口路由器 pod。

2. 为确保其他 pod 可以查找出口路由器 pod 的 IP 地址，请创建一个服务指向出口路由器 pod，如下例所示：

   apiVersion: v1
   kind: Service
   metadata:
     name: egress-1
   spec:
     ports:
     - name: http
       port: 80
     - name: https
       port: 443
     type: ClusterIP
     selector:
       name: egress-1

   您的 pod 现在可以连接到此服务。使用保留的出口 IP 地址将其连接重新指向外部服务器的对应端口。

流程

1. 创建出口路由器 pod。

2. 为确保其他 pod 可以查找出口路由器 pod 的 IP 地址，请创建一个服务指向出口路由器 pod，如下例所示：

   apiVersion: v1
   kind: Service
   metadata:
     name: egress-1
   spec:
     ports:
     - name: http-proxy
       port: 8080 1
     type: ClusterIP
     selector:
       name: egress-1

   1

   确定 http 端口被设置为 8080。

3. 要将客户端 pod（不是出口代理 Pod）配置为使用 HTTP 代理，设置 http_proxy 或 https_proxy 变量：

   apiVersion: v1
   kind: Pod
   metadata:
     name: app-1
     labels:
       name: app-1
   spec:
     containers:
       env:
       - name: http_proxy
         value: http://egress-1:8080/ 1
       - name: https_proxy
         value: http://egress-1:8080/
       ...

   1

   上一步中创建的服务。

   注意

   不需要在所有设置中使用 http _proxy 和 https_proxy 环境变量。如果以上内容没有创建可以正常工作设置，请查阅 pod 中运行的工具或软件的文档。

流程

1. 创建出口路由器 pod。

2. 为出口路由器 pod 创建服务：

   1. 创建名为 egress-router-service.yaml 的文件，其包含以下 YAML。将 spec.ports 设置为您之前为 EGRESS_DNS_PROXY_DESTINATION 环境变量定义的端口列表。

      apiVersion: v1
      kind: Service
      metadata:
        name: egress-dns-svc
      spec:
        ports:
          ...
        type: ClusterIP
        selector:
          name: egress-dns-proxy

      例如：

      apiVersion: v1
      kind: Service
      metadata:
        name: egress-dns-svc
      spec:
        ports:
        - name: con1
          protocol: TCP
          port: 80
          targetPort: 80
        - name: con2
          protocol: TCP
          port: 100
          targetPort: 100
        type: ClusterIP
        selector:
          name: egress-dns-proxy

   2. 要创建服务，请输入以下命令：

      $ oc create -f egress-router-service.yaml

      Pod 现在可以连接至此服务。使用保留的出口 IP 地址将其代理到外部服务器的对应端口。

流程

1. 创建包含出口路由器 pod 映射数据的文件，如下例所示：

   # Egress routes for Project "Test", version 3
   
   80   tcp 203.0.113.25
   
   8080 tcp 203.0.113.26 80
   8443 tcp 203.0.113.26 443
   
   # Fallback
   203.0.113.27

   您可以在这个文件中放入空白行和评论。

2. 从文件创建 ConfigMap 对象：

   $ oc delete configmap egress-routes --ignore-not-found

   $ oc create configmap egress-routes \
     --from-file=destination=my-egress-destination.txt

   在以前的版本中，egress-routes 值是要创建的 ConfigMap 对象的名称，my-egress-destination.txt 是数据从中读取的文件的名称。

3. 创建出口路由器 pod 定义，并为环境片段中的 EGRESS_DESTINATION 字段指定 configMapKeyRef 小节：

   ...
   env:
   - name: EGRESS_DESTINATION
     valueFrom:
       configMapKeyRef:
         name: egress-routes
         key: destination
   ...

1. 将您的当前项目更改为启用多播的项目。使用项目名替换 <project>。

   $ oc project <project>

2. 创建 pod 以作为多播接收器：

   $ cat <<EOF| oc create -f -
   apiVersion: v1
   kind: Pod
   metadata:
     name: mlistener
     labels:
       app: multicast-verify
   spec:
     containers:
       - name: mlistener
         image: registry.access.redhat.com/ubi8
         command: ["/bin/sh", "-c"]
         args:
           ["dnf -y install socat hostname && sleep inf"]
         ports:
           - containerPort: 30102
             name: mlistener
             protocol: UDP
   EOF

3. 创建 pod 以作为多播发送器：

   $ cat <<EOF| oc create -f -
   apiVersion: v1
   kind: Pod
   metadata:
     name: msender
     labels:
       app: multicast-verify
   spec:
     containers:
       - name: msender
         image: registry.access.redhat.com/ubi8
         command: ["/bin/sh", "-c"]
         args:
           ["dnf -y install socat && sleep inf"]
   EOF

4. 启动多播监听程序。

   1. 获得 Pod 的 IP 地址：

      $ POD_IP=$(oc get pods mlistener -o jsonpath='{.status.podIP}')

   2. 要启动多播监听程序，在新的终端窗口或标签页里输入以下命令：

      $ oc exec mlistener -i -t -- \
          socat UDP4-RECVFROM:30102,ip-add-membership=224.1.0.1:$POD_IP,fork EXEC:hostname

5. 启动多播传输。

   1. 获取 pod 网络 IP 地址范围：

      $ CIDR=$(oc get Network.config.openshift.io cluster \
          -o jsonpath='{.status.clusterNetwork[0].cidr}')

   2. 要发送多播信息，请输入以下命令：

      $ oc exec msender -i -t -- \
          /bin/bash -c "echo | socat STDIO UDP4-DATAGRAM:224.1.0.1:30102,range=$CIDR,ip-multicast-ttl=64"

      如果多播正在工作，则上一个命令会返回以下输出：

      mlistener

流程

1. 使用以下命令，将项目接合到现有项目网络中：

   $ oc adm pod-network join-projects --to=<project1> <project2> <project3>

   另外，除了指定具体的项目名称，也可以使用 --selector=<project_selector> 选项来基于关联标签指定项目。

2. 可选：运行以下命令来查看您接合在一起的 Pod 网络：

   $ oc get netnamespaces

   在 NETID 列中，同一 Pod 网络中的项目具有相同的网络 ID。

流程

1. 运行以下命令来编辑 Network.operator.openshift.io 自定义资源（CR）：

   $ oc edit network.operator.openshift.io cluster

2. 利用您对 kube-proxy 配置的更改修改 CR 中的 kubeProxyConfig 参数，如以下示例 CR 中所示：

   apiVersion: operator.openshift.io/v1
   kind: Network
   metadata:
     name: cluster
   spec:
     kubeProxyConfig:
       iptablesSyncPeriod: 30s
       proxyArguments:
         iptables-min-sync-period: ["30s"]

3. 保存文件并退出文本编辑器。

   保存文件并退出编辑器时，oc 命令会验证其语法。如果您的修改含有语法错误，编辑器会打开该文件并显示错误消息。

4. 运行以下命令来确认配置更新：

   $ oc get networks.operator.openshift.io -o yaml

   输出示例

   apiVersion: v1
   items:
   - apiVersion: operator.openshift.io/v1
     kind: Network
     metadata:
       name: cluster
     spec:
       clusterNetwork:
       - cidr: 10.128.0.0/14
         hostPrefix: 23
       defaultNetwork:
         type: OpenShiftSDN
       kubeProxyConfig:
         iptablesSyncPeriod: 30s
         proxyArguments:
           iptables-min-sync-period:
           - 30s
       serviceNetwork:
       - 172.30.0.0/16
     status: {}
   kind: List

5. 可选：运行以下命令，确认 Cluster Network Operator 已接受配置更改：

   $ oc get clusteroperator network

   输出示例

   NAME      VERSION     AVAILABLE   PROGRESSING   DEGRADED   SINCE
   network   4.1.0-0.9   True        False         False      1m

   成功应用配置更新后，AVAILABLE 字段为 True。

1. 当前仅在 OpenShift Container Platform 4.4 中作为技术预览功能提供。
2. 在 OpenShift SDN 中，出口防火墙也称为出口网络策略。这和网络策略出口不同。
3. 不支持出口规则和一些 ipBlock 规则。