質問をすることでしか得られない、回答やアドバイスがある。

15分調べてもわからないことは、質問しよう!

新規登録して質問してみよう
ただいま回答率
85.50%
iptables

iptablesは、一般的なLinuxに備わっているパケットフィルタリング型のファイアウォール機能。パケットフィルタリングルールおよびネットワークアドレス変換ルールを適用することが可能です。

Linux

Linuxは、Unixをベースにして開発されたオペレーティングシステムです。日本では「リナックス」と呼ばれています。 主にWebサーバやDNSサーバ、イントラネットなどのサーバ用OSとして利用されています。 上位500のスーパーコンピュータの90%以上はLinuxを使用しています。 携帯端末用のプラットフォームAndroidは、Linuxカーネル上に構築されています。

Q&A

解決済

1回答

1401閲覧

Kubernetes のService : NodePort におけるパケットウォークについて

kbabags

総合スコア232

iptables

iptablesは、一般的なLinuxに備わっているパケットフィルタリング型のファイアウォール機能。パケットフィルタリングルールおよびネットワークアドレス変換ルールを適用することが可能です。

Linux

Linuxは、Unixをベースにして開発されたオペレーティングシステムです。日本では「リナックス」と呼ばれています。 主にWebサーバやDNSサーバ、イントラネットなどのサーバ用OSとして利用されています。 上位500のスーパーコンピュータの90%以上はLinuxを使用しています。 携帯端末用のプラットフォームAndroidは、Linuxカーネル上に構築されています。

0グッド

0クリップ

投稿2019/12/24 13:14

編集2019/12/24 13:16

Service でType NodePort を選択すると、Worker Node はnodePort で待ち受けます。
WorkerNode IP : nodePort に外部からアクセスされると、そのWorker Node のiptables によってDNAT されます。これを前提に質問させてください。

確認したいのは、WorkerNode へのパケットの送信先IP アドレスは1 と2 のどちらになりますか?

  1. Pod に対して直接DNAT される
  2. 一旦ClusterIP にDNAT された後再度Pod にDNAT される

前者と思っていますが、この場合ClusterIP が作成される目的をご存知であれば教えていただけないでしょうか。
ドキュメントを見る限り、NodePort Service がCluseteIP に対しroute している=後者にも見えてきます。
https://kubernetes.io/docs/concepts/services-networking/service/

A ClusterIP Service, to which the NodePort Service routes, is automatically created.

気になる質問をクリップする

クリップした質問は、後からいつでもMYページで確認できます。

またクリップした質問に回答があった際、通知やメールを受け取ることができます。

バッドをするには、ログインかつ

こちらの条件を満たす必要があります。

urbainleverrier

2019/12/24 15:10 編集

2だと思いました。 iptablesで確かmasqueradeしていたはずです。
guest

回答1

0

ベストアンサー

僕がネットワークあまり詳しくないので直接的に回答できないですが、以前tim hochinがkube-proxyのフローを図にしていたのが参考になるかもしれないので貼っておきます
https://twitter.com/thockin/status/1191766983735296000

投稿2019/12/25 02:39

bells17

総合スコア64

バッドをするには、ログインかつ

こちらの条件を満たす必要があります。

kbabags

2019/12/25 03:01

やはり、1. でした。 自分の環境で、iptables のパケットカウンタの動きを調べて確認したところ、初めにWorker Node : nodePort でアクセスされると、KUBE-NODEPORTS チェインに引っかかり、nodePort でアクセスされたのであれば、KUBE-SVC-XXX チェインに渡され、最終的には一定確率でバックエンドのPod にパケットを振り分けているようです。 Chain KUBE-SVC-DVMPQKHOO2CN5B22 (2 references) pkts bytes target prot opt in out source destination 1 60 KUBE-SEP-PANJZJ6ZHSD2XVMF all -- * * 0.0.0.0/0 0.0.0.0/0 statistic mode random probability 0.50000000000 0 0 KUBE-SEP-4R4BEQ4ZHG3EUZCU all -- * * 0.0.0.0/0 0.0.0.0/0 ちなみにnodePort が定義された状態で、ClusterIP でアクセスした場合は、KUBE-NODEPORTS チェインよりも先にKUBE-SVC-XXX で評価されるだけなので、最終的にはNodePort と同じようにDNAT されます。ClusterIP ができる理由は、KUBE-SVC-XXX チェインを作成するためでしょうね(別にClusterIP を宛先としたDNAT はする必要がないので)。 ドキュメントの「to which the NodePort Service routes」は正確には「ClusterIP作成時に作られるチェインKUBE-SVC-XXX で評価される」で、NodePort の場合はKUBE-SVC-XXX で評価される前に一旦KUBE-NODEPORTS チェインで評価されるという、一段挟む構造になることを表しているようです。 頂いたこの情報でも、KUBE-SERVICE チェインでClusterIP で合致しなければ、最終的にKUBE-NODEPORT チェインで評価されているようです。ゆえにCluster IP に対してDNAT はしていませんでした。大変参考になる情報、ありがとうございました。
bells17

2019/12/25 03:11

解説ありがとうございます。 僕は正直k8sの設定するiptableやCNI周りはまだ全然追えていないので助かります。 ↑で解説頂いた内容もまだ自分の中では消化できてないですがどこかで時間取って理解できるようにしていければと思います。
guest

あなたの回答

tips

太字

斜体

打ち消し線

見出し

引用テキストの挿入

コードの挿入

リンクの挿入

リストの挿入

番号リストの挿入

表の挿入

水平線の挿入

プレビュー

15分調べてもわからないことは
teratailで質問しよう!

ただいまの回答率
85.50%

質問をまとめることで
思考を整理して素早く解決

テンプレート機能で
簡単に質問をまとめる

質問する

関連した質問