K8s的CNI插件Flannel工作模式

Kubernetes网络基石：Flannel工作模式深度解析与生产实践指南

在Kubernetes集群中，网络是连接万物的血脉，而Flannel作为经典CNI插件，其工作原理直接影响着整个集群的通信效率。本文将深入剖析Flannel的三大核心工作模式，并分享经过大规模生产验证的调优经验。

---

一、Flannel三大工作模式对比

模式	性能损耗	网络要求	适用场景	典型吞吐量
Host-GW	0%	同二层网络	数据中心内部高速网络	10Gbps+
VXLAN	10-20%	跨三层网络	云环境/混合网络	5-8Gbps
UDP	50%+	任意网络	测试环境/紧急调试	<1Gbps

---

二、核心模式工作原理

1. Host-GW模式（高速公路直连）

• 运作机制：
  • 将宿主机作为网关，通过静态路由实现跨节点通信
  • 数据包无封装，直接通过底层网络传输
• 路由表示例：

  # 节点A路由表
  10.244.1.0/24 via 192.168.0.2 dev eth0
  
  # 节点B路由表  
  10.244.2.0/24 via 192.168.0.3 dev eth0
  

• 生产限制：
  • 要求所有节点处于同一二层网络
  • 不支持云厂商的VPC路由表数量限制（如AWS默认50条）

2. VXLAN模式（网络隧道）

• 数据包封装：
  
  • 外层头：宿主机的IP/UDP
  • VXLAN头：VNI标识网络分段
  • 原始报文：Pod间通信的原始IP包
• 关键配置参数：

  vni: 1
  port: 8472
  directRouting: true  # 同网段启用直连优化
  

3. UDP模式（应急方案）

• 仅建议在以下场景使用：
  • 临时调试网络问题
  • 旧内核不支持VXLAN
  • 网络策略严格限制协议类型

---

三、生产环境选型指南

场景1：自建IDC同机房

• 推荐方案：Host-GW模式
• 配置优化：

  # flannel-configmap.yaml
  net-conf.json: |
    {
      "Network": "10.244.0.0/16",
      "Backend": {
        "Type": "host-gw"
      }
    }
  

场景2：跨云/混合云架构

• 推荐方案：VXLAN模式
• 性能调优：

  # 调整网卡MTU（需根据底层网络计算）
  ip link set flannel.1 mtu 1450
  

场景3：边缘计算场景

• 推荐方案：WireGuard加密隧道

  Backend:
    Type: vxlan
    Port: 8472
    WireGuard:
      PublicKey: "base64_encoded_key"
      ListenPort: 51820
  

---

四、故障排查工具箱

1. 路由追踪示例

# 查看flannel接口
ip -d link show flannel.1

# 检查VXLAN隧道
bridge fdb show dev flannel.1

# 追踪跨节点通信
traceroute -n -T -p 8472 10.244.1.3

2. 常见故障处理

问题：Host-GW模式节点失联
排查：

1. 验证物理网络连通性
2. 检查路由表是否正确
3. 确认ARP缓存

   arp -n | grep 192.168.0.2
   

问题：VXLAN性能低下
优化：

1. 开启网卡GRO/GSO

   ethtool -K eth0 gro on gso on
   

2. 调整内核参数

   sysctl -w net.core.rmem_max=26214400
   

---

五、安全加固措施

1. 网络策略隔离

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: pod-isolation
   spec:
     podSelector: {}
     policyTypes:
     - Ingress
     - Egress
   

2. VXLAN流量加密

   # 使用WireGuard加密隧道
   Backend:
     Type: extension
     WireGuard:
       PublicKey: "your_public_key"
       PrivateKeyFile: "/etc/flannel/wgkey"
       ListenPort: 51820
   

3. 审计日志监控

   # 抓取异常VXLAN包
   tcpdump -i eth0 udp port 8472 -c 1000 -w flannel.pcap
   

---

六、新一代替代方案

1. Calico：适合需要网络策略的场景
2. Cilium：基于eBPF的高性能方案
3. Multus：多网卡支持方案

---

结语

Flannel的选择需遵循三个原则：

1. 性能优先：同二层网络首选Host-GW
2. 灵活兼容：跨网络环境采用VXLAN
3. 安全兜底：结合网络策略加固

建议生产环境进行分级部署：

• 控制平面：VXLAN保证连通性
• 数据平面：Host-GW提升性能
• 边缘节点：WireGuard加密通信

最后提醒：网络配置更改后，务必进行全链路压测，验证吞吐量和延迟是否达标。掌握iproute2等底层工具的使用，是成为云原生网络高手的必经之路。