kubernetes之service

每創(chuàng)建一個pod珠十，kubernetes都會為pod創(chuàng)建一個虛擬的ip地址，基于這樣一個虛擬的IP地址，kebernetes下的每一個pod就可以相互訪問了瓜贾，而不用管該pod是否在同一個node上。如下圖所示携悯，node-worker1下的pod-1可以訪問node-worker2下的pod-web提供的nginx服務(wù)祭芦。

pod.png

# 一個master節(jié)點(diǎn)和一個work節(jié)點(diǎn)
apiVersion: v1
kind: Pod
metadata:
  name: svc-pod1
spec:
  containers:
  - name: nginx
    image: nginx 
# 由于只有一個work節(jié)點(diǎn)，所以該pod將會被調(diào)度到work節(jié)點(diǎn)上
# 此時可以在master節(jié)點(diǎn)查看該pod的ip地址憔鬼，在master節(jié)點(diǎn)上使用curl命令查看是否能否訪問
# kubectl get pods -o wide
NAME                                READY   STATUS               RESTARTS   AGE     IP
svc-pod1                            1/1     Running              0          32m     10.44.0.30
# curl http://10.44.0.30
<!DOCTYPE html>
<html>
<head>
<title>Welcome to nginx!</title>
...
# 說明從master節(jié)點(diǎn)上可以訪問來自于work節(jié)點(diǎn)上的pod所提供的服務(wù)

由kubernetes為pod創(chuàng)建的虛擬IP只能夠在kubernetes集群范圍內(nèi)有效龟劲，集群外的客戶端無法通過pod的ip地址加容器端口訪問到其所提供的服務(wù)胃夏，因此kubernetes為Pod提供了一個端口映射的字段-hostPort。其作用是能夠通過主機(jī)ip加端口的方式訪問pod中容器提供的服務(wù)昌跌⊙鲑鳎基本原理是將hostport端口映射到pod中某一容器的端口上，從而實現(xiàn)訪問蚕愤〈鸲瘢客戶根據(jù)node的ip + hostport端口請求服務(wù)，node接到請求后萍诱，根據(jù)iptables悬嗓，會將請求轉(zhuǎn)發(fā)到pod_web上的nginx端口上去從而實現(xiàn)訪問

apiVersion: v1
kind: Pod
metadata:
  name: svc-pod1
spec:
  containers:
  - name: nginx
    image: nginx 
    ports:
    - containerPort: 80
      hostPort: 10000
# 在有多個節(jié)點(diǎn)的情況下，首先需要查詢該pod被調(diào)度在哪個node上裕坊，然后基于該node的ip地址加端口進(jìn)行訪問
# kubectl describe pod svc-pod1    # 查詢node的ip地址
# curl http://node_ip:10000
# 需要注意的是烫扼，hostPort端口在node節(jié)點(diǎn)上必須是唯一的。若出現(xiàn)相同的hostPort則會應(yīng)該port沖突導(dǎo)致pod創(chuàng)建失敗碍庵。比如映企，在上一個pod的基礎(chǔ)上，在同一個節(jié)點(diǎn)添加這樣一個pod静浴，則會創(chuàng)建失敗
apiVersion: v1
kind: Pod
metadata:
  name: svc-pod2
spec:
  containers:
  - name: tomcat
    image: tomcat
    ports:
    - containerPort: 8080
      hostPort: 10000
# 報錯如下
Events:
  Type     Reason            Age   From               Message
  ----     ------            ----  ----               -------
  Warning  FailedScheduling  35s   default-scheduler  0/2 nodes are available: 1 node(s) didn't have free ports for the requested pod ports, 1 node(s) had taints that the pod didn't tolerate.

由于kubernete所提供強(qiáng)大的編排能力堰氓，根據(jù)上圖所示，如果pod_web從worker2調(diào)度到worker1上苹享，此時訪問pod_web所提供nginx服務(wù)双絮，就需要重新查詢woker1的ip地址。也就是說通過hostport暴露pod服務(wù)是和node的ip地址所綁定的得问。

那么囤攀，有沒有一種方式，不管pod被調(diào)度在哪里宫纬，也就是上圖中的pod_web,我不管你在node_worker1上還是在node_worker2上焚挠，我都有一個固定的訪問地址，能夠訪問pod所提供的服務(wù)呢漓骚？

service對象就是專門來做這樣事情的蝌衔，service是為多個功能相同的pod提供一個固定的訪問入口，不管背后的pod是如何變化蝌蹂，是增加一個還是減少一個噩斟，還是從一個node調(diào)度到另外一個node。使用這個固定的訪問入口就可以訪問到背后的pod孤个。剃允。如下圖所示，首先service對象（web-service）通過選擇器選擇相應(yīng)的pod(web1和web2)，然后通過配置映射相應(yīng)的端口斥废，最后kubernetes會為service生成一個cluster ip地址覆享。就可以通過cluster ip加端口訪問其選擇的pod了。

pod2.png

# 分別在兩個節(jié)點(diǎn)上創(chuàng)建一個pod
# cat pod1.yaml 
apiVersion: v1
kind: Pod
metadata:
 name: svc-pod1
 labels:
   app: web
spec:
 nodeName: compute1
 containers:
 - name: nginx
   image: nginx
 - name: tomcat
   image: tomcat
# cat pod2.yaml 
apiVersion: v1
kind: Pod
metadata:
 name: svc-pod2
 labels:
   app: web
spec:
 nodeName: worker1
 containers:
 - name: nginx
   image: nginx
 - name: tomcat
   image: tomcat
# 創(chuàng)建一個service對象
# cat svc1.yaml 
apiVersion: v1
kind: Service
metadata:
 name: svc-web1
spec:
 selector:
   app: web
 ports:
  - port: 80
    targetPort: 80
    name: nginx
  - port: 8080
    targetPort: 8080
    name: tomcat
# 查看service的cluster ip
NAME           TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)
svc-web1       ClusterIP   10.102.136.177   <none>        80/TCP,8080/TCP
# 通過同一個cluster ip营袜，即可以訪問worker1上的pod，也可以訪問worker2上的p丑罪，訪問規(guī)則可以根據(jù)cpu等資源使用來確定荚板，默認(rèn)是輪詢
# curl http://10.102.136.177:8080   # 在任何一個節(jié)點(diǎn)（master或worker）上都能夠得到正常的響應(yīng)

# 設(shè)置type為NodePort使得外部可以進(jìn)行訪問
# cat svc-web2
apiVersion: v1
kind: Service
metadata:
 name: svc-web2
spec:
 type: NodePort
 selector:
   app: web
 ports:
  - port: 80
    targetPort: 80
    name: nginx
    # nodePort: 30000  nodeport不手動指定，kubernetes會自動指定
  - port: 8080
    targetPort: 8080
    name: tomcat
#  kubectl get service -o wide
NAME           TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S) 
svc-web2       NodePort    10.100.104.20    <none>        80:31245/TCP,8080:31723/TCP
# curl http://node_ip:31245  # 集群中的任何一個節(jié)點(diǎn)的ip地址都可以

外網(wǎng)訪問流程（以上為例子）

創(chuàng)建一個service對象后吩屹，每個node上的kube-proxy會對iptables進(jìn)行編寫轉(zhuǎn)發(fā)規(guī)則
發(fā)起一個請求 curl http://node_ip:31723
iptables中的規(guī)則會將該流轉(zhuǎn)發(fā)對某一個worker_ip
iptables中的規(guī)則會將2中的流轉(zhuǎn)發(fā)到servie_ip:
iptables中的規(guī)則會將3中的流轉(zhuǎn)發(fā)到pod_ip上去
最后請求到達(dá)了pod中的容器中去了

小結(jié)：不管iptables怎么進(jìn)行轉(zhuǎn)換跪另，最終的目的是將請求發(fā)送到某個pod里的某容器中去