Istio注入的iptables Istio通过向业务pod中注入init容器以及envoy proxy容器实现流量的劫持与处理，init 容器运行后将在对应的linux namespace里产生以下iptables的NAT表规则 Outbound 流量控制 当业务容器将请求发往外部的时候比如productpage到reviews:9080端口访问，这个连接会被iptables进行redirect到127.0.0.1:15001端口上，进而被envoy处理 REDIRECT This target is only …

借用网上一张图，画的挺好~ 来自http://blog.csdn.net/xinghun_4/article/details/50492041 对应解释如下 [crayon-609d7996aaa4b229655155/] 在被转发目标node的物理网口抓包（需decode as vxlan)

deployment文件部署两个nginx pod deployment yaml文件 [crayon-609d7996aba57119542756/] kubectl create -f my-nginx.yaml --record --save-config: [crayon-609d7996aba5b284577339/] 再启动一个pod： [crayon-609d7996aba5c804594136/]   [crayon-609d7996aba5d190213189/] [crayon-609…

Flannel简介 Flannel是一个开源的用于管理和组织跨主机间容器网络的一套工具，其原理是通过在所有宿主机上建立一个flannel0网卡，将所有宿主机设置为同一个大的网段，并改写每个docker0的桥IP（通过改写docker daemon启动命令）为其一个子网IP，从而实现，整体网络在一个大的网段，各个docker0分配不同的子网网段。各个docker0网络内的容器数据包最终通过flanneld进程来将数据包进行封装，通过UDP包外层封装（缺省），或者vxlan隧道，实现跨主机容器通信（主机底层物理网络只要…