一、原理简介
名词解释
1、网络的命名空间：Linux在网络栈中引入网络命名空间，将独立的网络协议栈隔离到不同的命令空间中，彼此间无法通信；docker利用这一特性，实现不容器间的网络隔离。
2、Veth设备对：也叫虚拟网络接口对。Veth设备对的引入是为了实现在不同网络命名空间的通信。
3、Iptables/Netfilter：Netfilter负责在内核中执行各种挂接的规则(过滤、修改、丢弃等)，运行在内核 模式中；Iptables模式是在用户模式下运行的进程，负责协助维护内核中Netfilter的各种规则表；通过二者的配合来实现整个Linux网络协议栈中灵活的数据包处理机制。
4、网桥：网桥是一个二层网络设备,通过网桥可以将linux支持的不同的端口连接起来,并实现类似交换机那样的多对多的通信。
5、路由：Linux系统包含一个完整的路由功能，当IP层在处理数据发送或转发的时候，会使用路由表来决定发往哪里。
令人头大的网络模型
Kubernetes对集群内部的网络进行了重新抽象，以实现整个集群网络扁平化。我们可以理解网络模型时，可以完全抽离物理节点去理解，我们用图说话，先有基本印象。
其中，重点讲解以下几个关键抽象概念。
Service
Service是Kubernetes为为屏蔽这些后端实例（Pod）的动态变化和对多实例的负载均衡而引入的资源对象。
Service通常与deployment绑定，定义了服务的访问入口地址，应用(Pod)可以通过这个入口地址访问其背后的一组由Pod副本组成的集群实例。
Service与其后端Pod副本集群之间则是通过Label Selector来实现映射。
Service的类型(Type)决定了Service如何对外提供服务，根据类型不同，服务可以只在Kubernetes cluster中可见，也可以暴露到集群外部。
Service有三种类型，ClusterIP，NodePort和LoadBalancer。
在测试环境查看：
$ kubectl get svc --selector app=nginx
NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE
nginx ClusterIP 172.19.0.166 <none> 80/TCP 1m
$ kubectl describe svc nginx
Name: nginx
Namespace: default
Labels: app=nginx
Annotations: <none>
Selector: app=nginx
Type: ClusterIP
IP: 172.19.0.166
Port: <unset> 80/TCP
TargetPort: 80/TCP
Endpoints: 172.16.2.125:80,172.16.2.229:80
Session Affinity: None
Events: <none>
上述信息中该svc后端代理了2个Pod实例:172.16.2.125:80,172.16.2.229:80 二个IP
Kubernetes为描述其网络模型的IP对象，抽象出Cluster IP和Pod IP的概念。
PodIP是Kubernetes集群中每个Pod的IP地址。
它是Docker Engine 根据docker0网桥的IP地址段进行分配的，是一个虚拟的二层网络。
Kubernetes中Pod间能够彼此直接通讯，Pod里的容器访问另外一个Pod里的容器，是通过Pod IP所在进行通信。
Cluster IP仅作用于Service，其没有实体对象所对应，因此Cluster IP无法被ping通。
它的作用是为Service后端的实例提供统一的访问入口。
当访问ClusterIP时，请求将被转发到后端的实例上，默认是轮询方式。
Cluster IP和Service一样由kube-proxy组件维护，其实现方式主要有两种，iptables和IPVS。
在1.8版本后kubeproxy开始支持IPVS方式。在上例中，SVC的信息中包含了Cluster IP。
这里未列出nodeip概念，由于其本身是物理机的网卡IP。因此可理解为nodeip就是物理机IP。
三个Port
在Kubernetes中，涉及容器，Pod，Service，集群各等多个层级的对象间的通信，为在网络模型中区分各层级的通信端口，这里对Port进行了抽象。
Port
该Port非一般意义上的TCP/IP中的Port概念，它是特指Kubernetes中Service的port，是Service间的访问端口，例如Mysql的Service默认3306端口。它仅对进群内容器提供访问权限，而无法从集群外部通过该端口访问服务。
nodePort
nodePort为外部机器提供了访问集群内服务的方式。比如一个Web应用需要被其他用户访问，那么需要配置type=NodePort，而且配置nodePort=30001，那么其他机器就可以通过浏览器访问scheme://node:30001访问到该服务，例如http://node:30001。
targetPort
targetPort是容器的端口（最根本的端口入口），与制作容器时暴露的端口一致（DockerFile中EXPOSE），例如http://docker.io官方的nginx暴露的是80端口。
举一个例子来看如何配置Service的port：
这里举出了一个service的yaml，其部署在abcdocker的namespace中。
这里配置了nodePort，因此其类型Type就是NodePort，注意大小写。
若没有配置nodePort，那这里需要填写ClusterIP，即表示只支持集群内部服务访问。
