容器技術(shù)很火，經(jīng)常為人所提及，尤其是開(kāi)源容器工具docker，已在不少數(shù)據(jù)中心里有廣泛應(yīng)用。容器主要是對(duì)軟件和其依賴環(huán)境的標(biāo)準(zhǔn)化打包，將應(yīng)用之間相互隔離，并能運(yùn)行在很多主流操作系統(tǒng)上。這樣看來(lái)容器和虛擬機(jī)技術(shù)很類似，容器是APP層面的隔離，而虛擬化是物理資源層面的隔離，容器解決了虛擬技術(shù)的不少痛點(diǎn)問(wèn)題，很多時(shí)候容器可以和虛擬機(jī)結(jié)合在一起使用，這也是目前數(shù)據(jù)中心主流的做法。容器的到來(lái)給數(shù)據(jù)中心網(wǎng)絡(luò)提出了一些新的挑戰(zhàn)，為了適配容器，網(wǎng)絡(luò)部分也需要隨之調(diào)整，所以圍繞容器產(chǎn)生了很多不同的網(wǎng)絡(luò)解決方案，本文主要來(lái)介紹一下幾種容器網(wǎng)絡(luò)方案技術(shù)。

Callico

Callico容器網(wǎng)絡(luò)和其他虛擬網(wǎng)絡(luò)最大的不同是，它沒(méi)有采用overlay網(wǎng)絡(luò)做報(bào)文轉(zhuǎn)發(fā)，提供了純?nèi)龑泳W(wǎng)絡(luò)模型。三層通信模型表示每個(gè)容器都通過(guò)IP直接通信，中間通過(guò)路由轉(zhuǎn)發(fā)找到對(duì)方，容器所在節(jié)點(diǎn)類似于傳統(tǒng)路由器，提供了路由查找功能，要想路由工作能夠正常，每個(gè)容器所在的主機(jī)節(jié)點(diǎn)必須有某種方法知道整個(gè)集群的路由信息，Callico采用 BGP路由協(xié)議，全稱是 Border Gateway Protocol。通過(guò)BGP，使得全網(wǎng)所有的Node和網(wǎng)絡(luò)設(shè)備都記錄到全網(wǎng)路由，可以看到這種方式會(huì)產(chǎn)生很多的無(wú)效路由，對(duì)網(wǎng)絡(luò)設(shè)備路由規(guī)格要求較大，整網(wǎng)不能有路由規(guī)格低的設(shè)備。

BGP是一種成熟的網(wǎng)絡(luò)路由協(xié)議，在傳統(tǒng)網(wǎng)絡(luò)中就有廣泛使用，如此網(wǎng)絡(luò)部分天然就可以對(duì)Callico進(jìn)行支持，只不過(guò)對(duì)網(wǎng)絡(luò)路由規(guī)格要求高一些。另外，Callico實(shí)現(xiàn)了從源容器經(jīng)過(guò)源宿主機(jī)，經(jīng)過(guò)數(shù)據(jù)中心路由，然后到達(dá)目的宿主機(jī)，最后分配到目的容器過(guò)程，整個(gè)過(guò)程中始終都是根據(jù)BGP協(xié)議進(jìn)行路由轉(zhuǎn)發(fā)，并沒(méi)有進(jìn)行封包，解包過(guò)程，這樣轉(zhuǎn)發(fā)效率就會(huì)快得多。所以，往往技術(shù)越簡(jiǎn)化，執(zhí)行效率越高效，這是Callico容器網(wǎng)絡(luò)的技術(shù)優(yōu)勢(shì)。

Flannel

Flannel是CoreOS提出用于解決容器集群跨主機(jī)通訊的網(wǎng)絡(luò)解決方案。Flannel實(shí)質(zhì)上是一種覆蓋網(wǎng)絡(luò)Overlay network，也就是將TCP數(shù)據(jù)包裝在另一種網(wǎng)絡(luò)包里面進(jìn)行路由轉(zhuǎn)發(fā)和通信，目前已支持UDP、VXLAN、AWS VPC、GCE路由等數(shù)據(jù)轉(zhuǎn)發(fā)方式，其中以VXLAN技術(shù)最為流行，很多數(shù)據(jù)中心在考慮引入容器時(shí)，也考慮將網(wǎng)絡(luò)切換到Flannel的VXLAN網(wǎng)絡(luò)中來(lái)。

Flannel為每個(gè)主機(jī)分配一個(gè)subnet，容器從此subnet中分配IP，這些IP可在主機(jī)間路由，容器間無(wú)需NAT和端口映射就可以跨主機(jī)通訊。Flannel讓集群中不同節(jié)點(diǎn)主機(jī)創(chuàng)建容器時(shí)都具有全集群唯一虛擬IP地址，并連通主機(jī)節(jié)點(diǎn)網(wǎng)絡(luò)。Flannel可為集群中所有節(jié)點(diǎn)重新規(guī)劃IP地址使用規(guī)則，從而使得不同節(jié)點(diǎn)上的容器能夠獲得“同屬一個(gè)內(nèi)網(wǎng)”且“不重復(fù)的”的IP地址，讓不同節(jié)點(diǎn)上的容器能夠直接通過(guò)內(nèi)網(wǎng)IP通信，網(wǎng)絡(luò)封裝部分對(duì)容器是不可見(jiàn)的。

源主機(jī)服務(wù)將原本數(shù)據(jù)內(nèi)容UDP封裝后根據(jù)自己的路由表投遞給目的節(jié)點(diǎn)，數(shù)據(jù)到達(dá)以后被解包，然后直接進(jìn)入目的節(jié)點(diǎn)虛擬網(wǎng)卡，然后直接達(dá)到目的主機(jī)容器虛擬網(wǎng)卡，實(shí)現(xiàn)網(wǎng)絡(luò)通信目的。Flannel雖然對(duì)網(wǎng)絡(luò)要求較高，要引入封裝技術(shù)，轉(zhuǎn)發(fā)效率也受到影響，但是卻可以平滑過(guò)渡到SDN網(wǎng)絡(luò)，VXLAN技術(shù)可以和SDN很好地結(jié)合起來(lái)，值得整個(gè)網(wǎng)絡(luò)實(shí)現(xiàn)自動(dòng)化部署，智能化運(yùn)維和管理，這也是網(wǎng)絡(luò)技術(shù)發(fā)展的方向。所以，F(xiàn)lannel舍棄了傳統(tǒng)網(wǎng)絡(luò)，完全新建一套覆蓋網(wǎng)絡(luò)來(lái)支持容器，較適合于新建數(shù)據(jù)中心網(wǎng)絡(luò)部署。

Weave

Weave實(shí)質(zhì)上也是覆蓋網(wǎng)絡(luò)，Weave可以把不同主機(jī)上容器互相連接的網(wǎng)絡(luò)虛擬成一個(gè)類似于本地網(wǎng)絡(luò)的網(wǎng)絡(luò)，不同主機(jī)之間都使用自己的私有IP地址，當(dāng)容器分布在多個(gè)不同的主機(jī)上時(shí)，通過(guò)Weave可以簡(jiǎn)化這些容器之間的通信。Weave網(wǎng)絡(luò)中的容器使用標(biāo)準(zhǔn)的端口提供服務(wù)（如MySQL默認(rèn)使用3306），管理微服務(wù)是十分直接簡(jiǎn)單的。

每個(gè)容器都可以通過(guò)域名來(lái)與另外的容器通信，也可以直接通信而無(wú)需使用NAT，也不需要使用端口映射或者復(fù)雜的聯(lián)接。部署Weave容器網(wǎng)絡(luò)最大的好處是無(wú)需修改你的應(yīng)用代碼。Weave通過(guò)在容器集群的每個(gè)主機(jī)上啟動(dòng)虛擬路由器，將主機(jī)作為路由器，形成互聯(lián)互通的網(wǎng)絡(luò)拓?fù)洌诖嘶A(chǔ)上，實(shí)現(xiàn)容器的跨主機(jī)通信。

要部署Weave需要確保主機(jī)Linux內(nèi)核版本在3．8以上，Docker1．10以上，主機(jī)間訪問(wèn)如果有防火墻，則防火墻必須彼此放行TCP 6783 和UDP 6783／6784這些端口號(hào)，這些是Weave控制和數(shù)據(jù)端口，主機(jī)名不能相同，Weave要通過(guò)主機(jī)名識(shí)別子網(wǎng)。Weave網(wǎng)絡(luò)類似于主機(jī)Overlay技術(shù)，直接在主機(jī)上進(jìn)行報(bào)文流量的封裝，從而實(shí)現(xiàn)主機(jī)到主機(jī)的跨Underlay三層網(wǎng)絡(luò)的互訪，這是和Flannel網(wǎng)絡(luò)的最大區(qū)別，F(xiàn)lannel是一種網(wǎng)絡(luò)Overlay方案。

三種容器網(wǎng)絡(luò)方案，適用于不同的應(yīng)用場(chǎng)景，就看數(shù)據(jù)中心如何選擇了，從難易度上來(lái)講，Callico最簡(jiǎn)單，其次Flannel，Weave最復(fù)雜，從網(wǎng)絡(luò)技術(shù)來(lái)看，Weave和Flannel都是網(wǎng)絡(luò)封裝技術(shù)，區(qū)別在于封裝的位置在網(wǎng)絡(luò)設(shè)備上還是主機(jī)上。下圖詳列了下三種容器網(wǎng)絡(luò)方案的特點(diǎn)對(duì)比：

從物理機(jī)到虛擬機(jī)，再到容器，這是服務(wù)器虛擬化技術(shù)發(fā)展的必然趨勢(shì)，容器解決虛擬機(jī)的使用限制，但也將網(wǎng)絡(luò)引入更復(fù)雜的境地，數(shù)據(jù)中心網(wǎng)絡(luò)要去適應(yīng)這種變化，要去適配容器，所以才出現(xiàn)了這么多種容器網(wǎng)絡(luò)方案，這些方案都是為容器而生，從網(wǎng)絡(luò)層面去適配容器，是數(shù)據(jù)中心向容器進(jìn)化所必須的。

審核編輯：符乾江