作者：吳明秘

Hi！歡迎來到Tungsten Fabric與Kubernetes整合指南系列，本文介紹如何建立隔離的命令空間，並對其網路連通性進行驗證。Tungsten Fabric與K8s整合指南系列文章，由TF中文社群為您呈現，旨在幫助大家瞭解Tungsten Fabric與K8s整合的基礎知識。大家在相關部署中有什麼經驗，或者遇到的問題，歡迎與我們聯絡。

K8s與Tungsten Fabric整合後有四種配置模式，分別為：預設模式、自定義隔離模式、名稱空間隔離模式、巢狀模式。

預設模式： Tungsten Fabric建立一個由所有名稱空間共享的虛擬網路，並從中分配service和pod的IP地址，在Kubernetes叢集中產生的所有名稱空間中的所有pod都能夠彼此通訊。

自定義隔離模式： 管理員和應用程式開發人員可以新增註釋（"opencontrail.org/network: <fq_network_name>"）來指定虛擬網路。在這個虛擬網路中，一個命令空間中的一個或所有pod將在這個虛擬網路中被啟動。如果該註釋是在pod上配置的，那麼pod將在該網路中啟動；如果註釋是在名稱空間中配置的，那麼名稱空間中的所有pod都將在該網路中啟動。

名稱空間隔離模式： 叢集管理員可以在建立新的命令空間時，新增註釋（"opencontrail.org/isolation : true"）以啟用命令空間隔離。因此，該名稱空間中的服務不能從其他名稱空間訪問，除非明確定義了安全組或網路策略以允許訪問，或者啟動註釋（"opencontrail.org/isolation.service : false"）單獨允許該名稱空間的service可以被其他命令空間的pod訪問。

巢狀模式： Tungsten Fabric支援與基於OpenStack虛擬機器部署的Kubernetes叢集整合。Tungsten Fabric提供了一個可摺疊的控制和資料平面，一個TF控制平面和一個網路堆疊管理和服務同時在OpenStack和Kubernetes兩個叢集中。有了統一的控制和資料平面，可以無縫地互動和配置這些叢集，不需要單獨為每個叢集部署TF。

在本系列的第二篇文章中，建立的名稱空間為預設模式，而建立的網路是自定義模式的虛擬網路，在本章節中將會建立隔離的命令空間，並驗證其網路連通性。

建立隔離名稱空間

在此將會建立一個隔離的名稱空間，名為isolated-ns，具體配置檔案如下：

執行kubectl的建立命令之後，對應的名稱空間隨即被建立。

而在TF上也會有對應的policy和虛擬網路被建立出來，分別為：

TF policy: k8s-isolated-ns-pod-service-np

這條TF policy的作用，是允許附加了該條策略的虛擬網路能夠訪問命令空間isolated-ns中的service clusterip。

TF network: k8s-isolated-ns-pod-network , k8s-isolated-ns-service-network

這兩個網路分別使用了名稱空間default裡面的IPAM，所以在這個命令空間isolated-ns中預設建立出來的pod和service所分配的IP所屬的IP池，與名稱空間default中的一樣，即pod（10.32.0.0/12）和service（10.96.0.0/12）。

驗證與非隔離命令空間的網路連通性

接下來在隔離的命令空間isolated-ns中建立pod和service，驗證isolated-ns與其他命令空間的連通性。

首先在default和isolated-ns兩個命令空間中分別建立兩個pod和一個service。

所以目前的資源為：

2個名稱空間：default，isolated-ns

2個service：nginx-default (10.105.147.31)，nginx-isolated (10.97.162.157)

4個pod：

nginx-default-test01 (10.47.255.251)

nginx-default-test02 (10.47.255.250)

nginx-isolated-test01 (10.47.255.249)

nginx-isolated-test02 (10.47.255.247)

網路連通性驗證流程：

1. 從名稱空間default中的pod nginx-default-test01去ping其他三個pod，結果是pod nginx-default-test01只能連通同一名稱空間中pod，而無法連通隔離名稱空間中的pod。

2. 從名稱空間isolated-ns中的pod nginx-isolated-test01去ping其他三個pod，結果是pod nginx-isolated-test01只能連通同一名稱空間中pod，而無法連通其他名稱空間中的pod。

3. 從名稱空間default中的pod nginx-default-test01去curl分別在兩個命令空間中的service，結果是pod nginx-default-test01只能請求default和kube-system這些非隔離名稱空間中的service，而無法請求隔離名稱空間中的service。

4. 從名稱空間isolated-ns中的pod nginx-isolated-test01去curl分別在兩個命令空間中的service，結果是pod nginx-isolated-test01只能請求default和kube-system這些非隔離名稱空間中的service，而無法請求隔離名稱空間中的service，即便該service在自己所在的名稱空間。