本主题列出了对 主管 使用 NSX 网络连接时为 TKG 集群创建的网络连接对象。
TKG 集群的 NSX 网络连接对象
每个 TKG 集群应具有以下网络资源:虚拟网络、虚拟网络接口和虚拟机服务。
启用 vSphere IaaS control plane 并部署 主管 实例时,系统会自动置备 NSX 嵌入式负载均衡器。此负载均衡器适用于 主管 控制平面,并可用于访问 Kubernetes API 服务器。
为 TKG 集群创建 LoadBalancer 类型的 Kubernetes 服务时,将为该服务置备 NSX 嵌入式负载均衡器。
网络对象 | 网络资源 | 描述 |
---|---|---|
VirtualNetwork | Tier-1 路由器和链接的分段 | 集群的节点网络 |
虚拟网络接口 | 分段上的逻辑端口 | 集群节点的节点网络接口 |
VirtualMachineService | 不适用 | 已创建 VirtualMachineService 并将其转换为 k8s 服务。 |
服务 | 具有 VirtualServer 实例的负载均衡器服务器和关联的服务器池(成员池) | 已创建负载均衡器类型的 Kubebernetes 服务,以访问 TKG 集群 API 服务器。 |
端点 | 端点成员(TKG 集群控制平面节点)应位于成员池中。 | 将创建一个端点以包含所有 TKG 集群控制平面节点。 |
主管中的 VirtualMachineService | 不适用 | 在主管中创建 VirtualMachineService 并在主管中转换为 Kubernetes 服务 |
主管中的负载均衡器服务 | TKG 集群负载均衡器中的 VirtualServer 以及关联的成员池。 | 在主管中创建负载均衡器服务以访问此 LB 类型的服务 |
主管中的端点 | 端点成员(TKG 集群工作节点)应位于 NSX 中的成员池中。 | 将创建一个端点以包含所有 TKG 集群工作节点 |
TKG 集群中的负载均衡器服务 | 不适用 | 用户部署的 TKG 集群中的负载均衡器服务应使用负载均衡器 IP 更新其状态 |
节点网络连接
每个 TKG 集群应创建以下网络对象和关联的 NSX 资源。
网络对象 | NSX 资源 | 描述 | IPAM |
---|---|---|---|
VirtualNetwork | Tier-1 网关和链接分段 | TKG 集群的节点网络 | 已分配 SNAT IP |
虚拟网络接口 | 链接分段上的逻辑端口 | TKG 集群节点的节点网络接口 | 为每个节点分配一个 IP |
控制平面负载均衡器
网络对象 | 网络资源 | 描述 | IPAM |
---|---|---|---|
VirtualMachineService | 不适用 | VirtualMachineService 已创建并转换为 Kubernetes 服务。 | 包括负载均衡器 VIP |
服务 | 具有 VirtualServer 实例的负载均衡器服务器和关联的服务器池(成员池) | 已创建负载均衡器类型的 Kubebernetes 服务,以访问 TKG 集群 API 服务器。 | 分配外部 IP。 |
端点 | 端点成员是 TKG 集群控制平面节点且应位于成员池中。 | 将创建一个端点以包含所有 TKG 集群控制平面节点。 | 不适用 |
NSX 负载均衡器
对于创建的每个 TKG 集群,系统会创建小型 NSX 负载均衡器的单个实例。此负载均衡器包含下表中列出的对象:
对象数量 | 描述 |
---|---|
1 | 用于在端口 8443 上访问 Kubernetes 控制平面 API 的虚拟服务器 (VS)。 |
1 | 包含 3 个 Kubernetes 控制平面节点的服务器池。 |
1 | 用于 HTTP 输入控制器的 VS。 |
1 | 用于 HTTPS 输入控制器的 VS。 |
NAT 规则
对于创建的每个 TKG 集群,系统会在 Tier-0 逻辑路由器上定义以下NSX NAT 规则:
对象数量 | 描述 |
---|---|
1 | 使用浮动 IP 池中的 1 个 IP 作为转换的 IP 地址,为每个 Kubernetes 命名空间创建的 SNAT 规则。 |
1 | (仅限 NAT 拓扑)使用浮动 IP 池中的 1 个 IP 作为转换的 IP 地址,为每个 Kubernetes 集群创建的 SNAT 规则。Kubernetes 集群子网派生自使用 /24 网络掩码的节点 IP 段。 |
DFW 规则
对于创建的每个 TKG 集群,系统会定义以下NSX分布式防火墙规则:
对象数量 | 描述 |
---|---|
1 | kube-dns 的 DFW 规则,应用于 CoreDNS Pod 逻辑端口 |
1 | 命名空间中验证器的 DFW 规则,应用于验证器 Pod 逻辑端口 |