揭秘Kubernetes Pod网络：从veth pair到跨节点通信
前言
在Kubernetes集群中，Pod是最小的部署单元，而Pod之间的网络通信是K8s网络模型的核心。理解Pod网络原理不仅有助于日常故障排查，还能让我们更好地设计分布式应用。本文将深入浅出地介绍Kubernetes Pod网络的工作原理，重点关注veth pair的作用，并通过流程图展示同一节点和不同节点Pod的通信过程。
一、Kubernetes Pod组网原理与veth pair
Kubernetes网络模型
Kubernetes对网络有三个基本要求：
- 每个Pod拥有唯一的IP地址
- 所有Pod可以不经过NAT直接通信
- 节点上的代理可以与节点内所有Pod通信
这些要求通过CNI（Container Network Interface）插件实现，如Calico、Flannel等。
veth pair：Pod网络的"虚拟网线"
veth pair（虚拟以太网设备对）是Linux网络虚拟化的核心组件，也是Pod网络通信的基础。它由两个虚拟网络设备组成，就像一根网线的两端：
- 一端放在Pod的网络命名空间内（通常命名为eth0）
- 另一端留在宿主机的根命名空间
关键特性：
- 双向通信：数据从一端进入，必然从另一端出来
- 跨命名空间连接：实现容器与宿主机网络的连通
- 零拷贝技术：数据在内核中转发，性能较高
当CNI插件创建Pod时，它会：
- 创建网络命名空间（Pod的独立网络环境）
- 创建veth pair
- 将一端移动到Pod命名空间，命名为eth0
- 为eth0分配IP地址
- 配置路由规则
二、同一节点Pod通信流程
同一节点上的Pod通信通过网桥实现，过程高效且延迟低。
网络组件
- Pod A：IP 10.244.1.10，veth pair一端为eth0
- Pod B：IP 10.244.1.11，veth pair一端为eth0
- 网桥：cni0，IP 10.244.1.1（作为网关）
- veth pair：vethA（连接Pod A）和vethB（连接Pod B）都连接到cni0
路由信息
每个Pod内的路由表包含：
10.244.1.0/24 dev eth0 proto kernel scope link src 10.244.1.10 default via 10.244.1.1 dev eth0详细过程
- 应用层请求：Pod A中的应用尝试访问10.244.1.11
- 路由判断：根据Pod A的路由表，目标IP在同一子网，直接通过eth0发送
- ARP解析：如需解析MAC地址，发送ARP请求
- 网桥交换：数据帧到达网桥cni0，进行二层交换
- 端口转发：网桥根据MAC表将数据转发到vethB
- 数据送达：通过veth pair到达Pod B的eth0
整个过程在**数据链路层（二层）**完成，不经过网络层路由，效率极高。
三、不同节点Pod通信流程
跨节点通信需要数据包离开源节点，通过物理网络到达目标节点。主要采用Overlay网络或三层路由方案。
网络组件
- Node 1：IP 192.168.50.10，Pod A(10.244.1.10)
- Node 2：IP 192.168.50.20，Pod C(10.244.2.10)
- Overlay隧道：如Flannel VXLAN或Calico IPIP
路由信息
Node 1路由表：
10.244.1.0/24 dev cni0 proto kernel scope link src 10.244.1.1 10.244.2.0/24 via 192.168.50.20 dev eth0 # 指向Node 2详细过程（以Flannel VXLAN为例）
源节点发送：
- Pod A发送数据到Pod C(10.244.2.10)
- 数据通过veth pair到达网桥cni0
- 根据Node1路由表，目标网络10.244.2.0/24的网关是Node2(192.168.50.20)
隧道封装：
- Flanneld截获数据包
- 进行VXLAN封装：添加VXLAN头、UDP头、外层IP头(192.168.50.10→192.168.50.20)
物理传输：
- 封装后的包通过物理网络发送到Node2
目标节点处理：
- Node2收到包，内核识别为VXLAN包
- 拆解外层头部，还原原始Pod-to-Pod数据包
- 数据包提交到本地cni0网桥
- 通过veth pair送达Pod C
替代方案：BGP路由（Calico）
在不使用Overlay的情况下，Calico等插件通过BGP协议交换路由信息：
- 每个节点学习到所有Pod网段的路由
- 数据包直接通过物理网络路由，无需封装
- 性能更好，但需要网络设备支持
总结
Kubernetes通过网络命名空间和veth pair实现了Pod网络隔离与连通。同一节点Pod通信通过网桥进行高效二层交换，跨节点通信则通过Overlay隧道或BGP路由实现。理解这些底层机制，有助于我们更好地设计云原生应用和排查网络问题。
无论采用哪种方案，veth pair都是Pod网络连接的基础组件，它像一根无形的网线，连接着Pod与整个K8s集群网络。