Kubernetes 中的網絡功能，主要包括 POD 網絡，service 網絡和網絡策略組成。其中 POD 網絡和網絡策略，都是規定了模型，沒有提供默認實現。而 service 網絡作為 Kubernetes 的特色部分，官方版本持續演進了多種實現：
| service 實現 | 說明 |
| userspace 代理模式 | kube-proxy 負責 list/watch，規則設置，用戶態轉發。 |
| iptables 代理模式 | kube-proxy 負責 list/watch，規則設置。IPtables 相關內核模塊負責轉發。 |
| IPVS 代理模式 | kube-proxy 負責 list/watch，規則設置。IPVS 相關內核模塊負責轉發。 |
在 Kubernetes 中先后出現的幾種 Service 實現中，整體都是為了提供更高的性能和擴展性。
Service 網絡，本質上是一個分布式的服務器負載均衡，通過 daemonset 方式部署的 kube-proxy，監聽 endpoint 和 service 資源，并在 node 本地生成轉發表項。目前在生產環境中主要是 iptables 和 IPVS 方式，原理如下：
在本文中，介紹使用 socket eBPF 在 socket 層面完成負載均衡的邏輯，消除了逐報文 NAT 轉換處理，進一步提升 Service 網絡的轉發性能。
基于 socket eBPF 的數據面實現
socket eBPF 數據面簡介
無論 kube-proxy 采用 IPVS 還是 tc eBPF 服務網絡加速模式，每個從 pod 發出網絡請求都必然經過 IPVS 或者 tc eBPF，即 POD <--> Service <--> POD，隨著流量的增加必然會有性能開銷, 那么是否可以直接在連接中將 service的clusterIP 的地址直接換成對應的 pod ip。基于 Kube-proxy+IPVS 實現的 service 網絡服務，是基于逐報處理 +session 的方式來實現。
利用 socket eBPF，可以在不用直接處理報文和 NAT 轉換的前提下，實現了負載均衡邏輯。Service 網絡在同步上優化成 POD <--> POD，從而使Service 網絡性能基本等同于 POD 網絡。軟件結構如下：
通過 attach 到特定的 cgroup 的文件描述符，可以控制 hook 接口的作用范圍。
利用 sock eBPF hook，我們可以在 socket 層面劫持特定的 socket 接口，來完成完成負載均衡邏輯。
1. 從 connect 調用上下文中取 dip+dport，查找 svc 表。找不到則不處理返回。
2. 查找親和性會話，如果找到，得到 backend_id，轉 4。否則轉 3。
3. 隨機調度，分配一個 backend。
4. 根據 backend_id，查 be 表，得到 be 的 IP+ 端口。
5. 更新親和性信息。
6. 修改 connect 調用上下文中的 dip+dport 為 be 的 ip+port。
7. 完成。
在 socket 層面就完成了端口轉換，對于 TCP 的 clusterip 訪問，基本上可以等同于 POD 之間東西向的通信，將 clusterip 的開銷降到最低。
nat_sk 表的定義參見：LB4_REVERSE_NAT_SK_MAP
1. 從系統調用調用上下文中取 dip+dport，查找 svc 表。找不到則不處理返回。
2. 查找親和性會話，如果找到，得到 backend_id，轉 4，否則轉 3。
3. 隨機調度，分配一個 backend。
4. 根據 backend_id，查 be 表，得到 be 的 IP+端口。
5. 更新親和性的相關表。
6. 更新 nat_sk 表，key 為 be 的 ip+port，value 為 svc的vip+vport。
7. 修改系統調用上下文中的 dip+dport 為 be 的 ip + port。
1. 從系統調用上下文中遠端 IP+port，查找 NAT_SK 表，找不到則不處理返回。
2. 找到，取出其中的 IP+port，用來查找 svc 表，找不到，則刪除 nat_sk 對應表項，返回。
3. 使用 nat_sk 中找到的 ip+port，設置系統調用上下文中遠端的 IP+port。
基于 socket eBPF 實現的 clusterIP，在上述基本轉發原理之外，還有一些特殊的細節需要考慮,其中一個需要特殊考慮就是 peer address 的問題。和 IPVS之類的實現不同，在 socket eBPF 的 clusterIP 上，client 是和直接和 backend 通信的，中間的 service 被旁路了。回顧一下轉發路徑如下：
此時，如果 client 上的 APP 調用 getpeername 之類的接口查詢 peer address，這個時候獲取到的地址和 connect 發起的地址是不一致的，如果 app對于 peeraddr 有判斷或者特殊用途，可能會有意外情況。
1、在guest kernel 上新增 bpf_attach_type，可以對 getpeername 和 getsockname 增加 hook 處理。
3、當 APP 要調用 getpeername/getsockname 接口的時候，利用 eBPF 程序修正返回的數據：修改上下文中的遠端的 IP+port為vip+vport。
基于 socket eBPF 實現的 service，大大簡化了負載均衡的邏輯實現，充分體現了 eBPF 靈活、小巧的特點。eBPF 的這些特點也很契合云原生場景，目前，該技術已在阿里云展開實踐，加速了 kubernetes 服務網絡。我們會繼續探索和完善更多的 eBPF 的應用案例，比如 IPv6、network policy 等。
加入微信群：添加社區助理-龍蜥社區小龍（微信：openanolis_assis），備注【龍蜥】拉你入群；加入釘釘群：掃描下方釘釘群二維碼。歡迎開發者/用戶加入龍蜥社區（OpenAnolis）交流，共同推進龍蜥社區的發展，一起打造一個活躍的、健康的開源操作系統生態！
龍蜥社區釘釘交流群 龍蜥社區-小龍
龍蜥社區(OpenAnolis)是由企事業單位、高等院校、科研單位、非營利性組織、個人等按照自愿、平等、開源、協作的基礎上組成的非盈利性開源社區。龍蜥社區成立于2020年9月，旨在構建一個開源、中立、開放的Linux上游發行版社區及創新平臺。
短期目標是開發龍蜥操作系統(Anolis OS)作為CentOS替代版，重新構建一個兼容國際Linux主流廠商發行版。中長期目標是探索打造一個面向未來的操作系統，建立統一的開源操作系統生態，孵化創新開源項目，繁榮開源生態。
龍蜥OS 8.4已發布，支持x86_64和ARM64架構，完善適配Intel、飛騰、海光、兆芯、鯤鵬芯片。
歡迎下載：
https://openanolis.cn/download
加入我們，一起打造面向未來的開源操作系統！
https://openanolis.cn
