虛擬雲網路

網路虛擬化NSX 技術文章系列二百七十九: Antrea應用於VMware方案功能簡介(二)

作者: Colin Jao 饒康立 – VMware資深技術顧問,主要負責VMware NSX產品線,目前致力於網路虛擬化、分散式安全防護技術與新應用遞送方案的介紹與推廣。

接續前篇,這篇網誌內我想簡單與大家討論Antrea作為VMware主要支持的Container Network Interface,相關的構件以及與其他競爭方案的差異。近幾年隨著Kubernetes的技術發展,Container Network Interface這邊的相關專案也百花齊放,從早期的Flannel / Weave / OVN到目前主流的Calico / Cilium,包含VMware本身NSBU之前也在NSX開發了NCP (NSX Container Platform),各有各的特長。那目前VMware / Tanzu在商用支持上主要採用Antrea,是因為Antrea有哪些優勢呢?這篇想要很簡單的與大家說明。

首先我們看一下Antrea的架構,幾個重點分別討論:

Antrea採用 Open-vSwitch作為核心網路構件

上面架構圖內大家可以看到每個Kubernetes Node內都有大大的OVS (Open-vSwitch) 三個字,這是Antrea與其他方案最主要的差別:Antrea使用Open vSwitch做為底層的核心構件。Open vSwitch是一個開發長久、穩定、可程式化的開源方案,具有下列特性

  • 方案成熟,Open vSwitch早在NSX前身Nicira時代就完整商用化,目前也已經是Linux Kernel的內建模組。
  • 作為開源SDN (Software Define Network) 的核心構件,開發者可以很輕易地透過Open vSwitch (藉由OVSDB / Openflow) 啟用多種企業需要的安全及網路功能,遠多於原生Kubernetes基礎定義的需求。
  • 可以運作在Linux及Windows作業系統,因此具備完整可攜性。在客戶要將Kubernetes Cluster部署於不同公私有雲,不同作業系統上時,Antrea均能輕易支援。

Antrea具備 controller-agent 的控制 / 轉發設計

同樣在上圖,大家可以看到每個Kubernetes Node內都有一個Antrea Agent。這個Antrea Agent主要的工作是接收來自Kubernetes API Server以及Antrea Controller的指示,編寫相關的網路與安全需求,再透過本地OVS來進行功能實現,比如說Pod與Pod間要透過Geneve Tunnel進行跨node網路連線,每個Pod本身的Network Policy等等。

此外,由於Antrea的一個重要功能是進行各個Pod間的進階安全控制,此時需要一個構件能夠

  • 透過Kubernetes API收集Pod / Namespace / Service之狀態。
  • 提供API讓外部系統可呼叫來配置進階安全策略。
  • 於此構件將進階安全策略配送到需求Kubernetes Node上的Antrea Agent,呼叫各自的OVS 進行安全政策實現。

因此在Antrea部署時,除了每個K8S node上都會有Antrea Agent外,還會於Master Nodes上安裝一個Controller Pod。下圖是我在Lab內建置,具有一個Master Node,三個Worker Nodes的Kubernetes Cluster。可以看到當Antrea安裝完成,每個Node上面都有一個Antrea Agent (共四個),除此之外還有一個antrea-controller pod配置,負責上述討論的提供進階的安全控制與外部系統接取功能。

如果大家對細部的Antrea / Kubernetes構件間關係有興趣,可以參考下列這張圖,包含了Antrea各構件、Kubernetes各構件、甚至包含到外部系統間的完整關聯:

架構面先簡單談到這邊,如果大家對相關細節想進一步了解,可以參考下列文章 ( https://antrea.io/docs/v1.8.0/docs/design/architecture/ ) 有詳盡討論。這裡特別花一篇網誌來特別討論架構,主要想要強調下面這幾點:

  • 透過採用Open vSwitch成熟技術作為核心骨幹,Antrea能夠容易地做到跨作業系統、甚至在不同公私有雲平台的快速支持。
  • 同時,由於之前在Open vSwitch上已經累積的大量經驗,Antrea專案能夠快速地應用Open vSwitch本身已支持的功能,呼應企業需求,在短期內就能夠透過Open vSwitch現有機制將新功能實現出來。
  • 藉由Antrea Controller的設計,能夠實作出較傳統Network Policy遠為複雜的安全政策機制,同時也能夠很簡單地提供外部系統(如後面我們要討論的NSX,或整合另一個著名的開源維運工具OCTANT)來進行政策配置與資訊查找。

雖然不同的Container Network Interface方案各有千秋,但Antrea具備上述談到的特性包含構件成熟且功能完整、易於開發、易於整合外部系統的特性,也就成為了VMware支持容器方案的首選。尤其VMware本身在之前維護Open vSwitch開源專案上原本就有投資大量的開發團隊與相關經驗,繼續進行Antrea的開發與維護也是水到渠成的。

先談到這邊,下篇我想簡單和大家討論Antrea的安裝方式。

评论

发表评论

电子邮件地址不会被公开。

This site uses Akismet to reduce spam. Learn how your comment data is processed.