Visão geral da rede CNI do AKS (Serviço de Kubernetes do Azure)

O Kubernetes usa plug-ins da CNI (Interface de Rede de Contêiner) para gerenciar a rede em clusters do Kubernetes. Os plug-ins CNI manipulam a atribuição de endereços IP a pods, roteamento do tráfego de rede entre pods, roteamento do tráfego de serviço do Kubernetes e muito mais.

AKS (Serviço de Kubernetes do Azure) fornece várias configurações de rede CNI que você pode usar em seus clusters, dependendo dos requisitos de rede. Ao planejar a rede de pods, você escolhe uma opção de IPAM (gerenciamento de endereço IP) e uma tecnologia de roteamento e transporte para o plano de dados de rede.

Modelos de rede no AKS

Escolher uma opção IPAM para o cluster do AKS depende, em grande parte, de qual modelo de rede atende melhor às suas necessidades. Cada modelo tem suas próprias vantagens e desvantagens que você deve considerar ao planejar seu cluster do AKS.

O AKS usa dois modelos de rede principais:

• Rede de sobreposição:

  • Conserva o espaço de endereço IP para redes virtuais (VNets) usando faixas CIDR (Roteamento entre domínios sem classe) logicamente separadas para pods.
  • Fornece suporte máximo de escala de cluster.
  • Fornece gerenciamento simples de endereços IP.

• Rede simples:

  • Fornece conectividade VNet completa para pods. Os pods podem ser acessados diretamente por meio de seu endereço IP privado de redes conectadas.
  • Requer espaço de endereço IP grande e não fragmentado para VNets.

Ambos os modelos de rede dão suporte a várias opções de IPAM. As principais diferenças entre os modelos são como você atribui endereços IP de pod e como o tráfego sai do cluster.

Para Azure CNI, a opção IPAM é separada do plano de dados de rede. Você pode usar o Azure CNI alimentado pelo plano de dados Cilium com Azure sobreposição de CNI, Azure sub-rede de pod CNI ou sub-rede de nó CNI Azure. Para obter mais informações sobre o IPAM e as opções do plano de dados, consulte Planejar a rede de pods para AKS.

Redes de sobreposição

A rede de sobreposição no AKS atribui endereços IP de pod de um CIDR de pod separado que é diferente da sub-rede do nó na VNet. Essa configuração permite uma escalabilidade mais simples e geralmente melhor do que o modelo de rede simples.

Em redes de sobreposição, os pods podem se comunicar entre si diretamente. O tráfego que deixa o cluster foi submetido ao SNAT, sendo direcionado para o endereço IP do nó. O tráfego IP do pod de entrada é roteado por meio de um serviço, como um balanceador de carga. O endereço IP do pod é "escondido" atrás do endereço IP do nó. Essa abordagem reduz o número de endereços IP necessários para redes virtuais em seus clusters.

Para a rede de sobreposição, o AKS fornece Azure Sobreposição de CNI. Use essa opção IPAM para a maioria dos cenários.

Redes simples

Ao contrário de uma rede de sobreposição, um modelo de rede simples no AKS atribui endereços IP a pods de uma sub-rede no mesmo Azure rede virtual que os nós do AKS. Para o tráfego de rede privada, o endereço IP de origem que um destino vê depende da opção IPAM. Azure Sub-rede do Pod CNI preserva o endereço IP do pod entre redes virtuais conectadas. Com Azure sub-rede do nó CNI, os destinos na rede virtual do cluster veem o endereço IP do pod, mas os destinos fora da rede virtual do cluster veem o endereço IP do nó. Quando a saída da Internet está habilitada, o método de saída configurado do cluster determina o endereço IP de origem pública que os destinos da Internet veem.

O AKS fornece duas opções de IPAM de CNI Azure para rede simples:

• Azure Sub-rede de Pod CNI, a opção de IPAM recomendada para cenários de rede simples.
• Sub-rede do Nó CNI do Azure, um modelo de CNI herdado para redes simples. Em geral, recomendamos que você o use somente se precisar de uma rede virtual gerenciada para o cluster.

Escolher uma opção de IPAM para AKS

Ao escolher uma opção IPAM, considere vários fatores. Cada modelo de rede tem suas próprias vantagens e desvantagens. A melhor opção para seu cluster depende de seus requisitos específicos.

Usar comparação de maiúsculas e minúsculas

Comparação de recursos

Escopo de suporte entre modelos de rede

Dependendo da opção IPAM que você usa, você pode implantar os recursos de rede virtual para o cluster de uma das seguintes maneiras:

• A plataforma Azure pode criar e configurar automaticamente os recursos de rede virtual ao criar um cluster do AKS.
• Você pode criar e configurar manualmente os recursos da rede virtual e anexá-los a esses recursos ao criar o cluster AKS.

Embora haja suporte para recursos como pontos de extremidade de serviço ou UDRs, as políticas de suporte para AKS definem quais alterações você pode fazer. Por exemplo:

• Se você criar manualmente os recursos de rede virtual para um cluster AKS, terá suporte ao configurar seus próprios pontos de extremidade de serviço ou UDRs.
• Se a plataforma Azure criar automaticamente os recursos de rede virtual para o cluster AKS, não será possível alterar manualmente esses recursos gerenciados por AKS para que configurem suas próprias UDRs ou pontos de extremidade de serviço.

Pré-requisitos de rede CNI do AKS

Ao planejar sua configuração de rede para o AKS, tenha em mente estes requisitos e considerações:

• A menos que você use um cluster isolado de rede, a rede virtual para o cluster do AKS deve permitir a conectividade de saída com a Internet para os pontos de extremidade necessários. Clusters isolados de rede podem inicializar sem conectividade de saída com a Internet.

• Os intervalos de endereços do AKS têm as seguintes restrições:

  Intervalo de CIDR reservado	Aplica-se a	Condition
  169.254.0.0/16	Intervalos de endereços de rede virtual do serviço, pod e cluster do Kubernetes	Todos os clusters do AKS
  192.0.2.0/24	Intervalos de endereços de rede virtual do serviço, pod e cluster do Kubernetes	Todos os clusters do AKS
  172.30.0.0/16	Intervalos de endereços de rede virtual do serviço, pod e cluster do Kubernetes	Todos os clusters do AKS
  172.31.0.0/16	Intervalos de endereços de rede virtual do serviço, pod e cluster do Kubernetes	Todos os clusters do AKS

  O AKS rejeita CIDRs de pod que se sobrepõem a um intervalo reservado durante a criação ou atualização do cluster. Por exemplo, 172.16.0.0/12 não é válido porque o intervalo inclui 172.30.0.0/16 e 172.31.0.0/16.

• Em cenários em que você traz sua própria rede virtual, a identidade de cluster que o cluster do AKS usa deve ter pelo menos permissões de Colaborador de Rede na sub-rede em sua rede virtual.

• Se você definir uma função personalizada em vez de usar a função de Colaborador de Rede interna, inclua as seguintes permissões:

  Permissão	Quando necessário
  Microsoft.Network/virtualNetworks/subnets/join/action	Sempre ao usar uma função personalizada
  Microsoft.Authorization/roleAssignments/write	Sempre ao usar uma função personalizada
  Microsoft.Network/virtualNetworks/subnets/read	Somente ao definir suas próprias sub-redes e CIDRs

• A sub-rede atribuída ao pool de nós do AKS não pode ser uma sub-rede delegada.

• O AKS não aplica NSGs (grupos de segurança de rede) à sua sub-rede e não modifica nenhum dos NSGs associados a essa sub-rede. Se você fornecer sua própria sub-rede e adicionar os NSGs associados a ela, verifique se as regras de segurança nos NSGs permitem o tráfego dentro do intervalo de CIDR do nó. Com Azure sobreposição de CNI, se uma regra de negação do NSG afetar o tráfego CIDR do pod, você também deverá permitir o tráfego do CIDR do nó para o CIDR do pod e do CIDR do pod para o CIDR do pod em todas as portas e protocolos. Para obter mais informações, consulte Grupos de segurança de rede com Azure Sobreposição de CNI.

• O CNS (Serviço de Rede de Contêiner) é um serviço local de nó dentro da rede CNI do Serviço de Kubernetes do Azure que aloca, rastreia e programa a rede para os pods. Esse componente envia telemetria (métricas e logs) para fora do cluster por padrão para um endpoint do Application Insights gerenciado pela Microsoft, para permitir uma solução de problemas mais rápida de quaisquer problemas de atribuição de endereços IP de rede de pods.

Conteúdo relacionado

• Sobreposição de CNI do Azure
• Sub-rede do pod da CNI do Azure
• Opções de CNI herdadas
• Planejamento de endereço IP para seus clusters