[发明专利]一种kubernetes复杂网络策略系统及其实现方法

权利要求书

1.一种kubernetes复杂网络策略系统，其特征在于，包括4种类型的网络策略和3个系统组件；

4种类型的所述网络策略分别为：

全局网络组，表示IP子网/CIDRs的任意集合，用于整合和管理内外部的网络资源；

全局网络策略，包含若干个全局网络组或策略内设置的资源选择器，和与其相关的规则集合；

项目网络组，适用于特定的Namespace；

项目网络策略，适用于特定的Namespace，包含若干个项目网络组或策略内设置的资源选择器，和与其相关的规则集合；

3个系统组件分别为：

命令控制器，对接策略控制器，用于管理员查看或修改上述4种类型的网络策略，命令控制器以deployment方式运行；

策略控制器与kube-apiserver的连接，用于保存具体的网络策略，同时监控pod资源的创建和销毁，策略控制器以deployment方式运行；

策略触发器，以daemonset方式运行，在所有kubernetes节点上均运行一个实例；

策略触发器将策略控制器生成的策略应用到对应的节点上生效，通过在Linux内核数据包处理模块Netfilter中在filter、raw和mangle表中添加自定义链caihcloud-chains实现；

其中，策略控制器的运行步骤包括：

S3.1：策略控制器与kube-apiserver相连，本系统的数据均通过kube-apiserver存储在etcd数据库中；

S3.2.策略控制器作为服务端，接收来自命令行控制器(Command Controller)和策略触发器的请求,收到的请求主要包括：列出资源列表、验证资源、保存并应用资源、删除资源和策略触发器的心跳请求；

S3.3.策略控制器收到资源列表或资源详情请求，向kube-apiserver获得相关数据,如果存在资源列表或资源详情，返回数据,如果出错则返回错误信息；

S3.4.策略控制器收到验证策略请求，进行下列步骤：

A1.验证请求格式是否正确，比如缩进有误，缺少字段等,不正确则结束当前步骤，返回格式错误信息，正确则进行下一步；

A2.验证资源请求是否存在逻辑错误，不正确则结束当前步骤，返回逻辑错误信息，正确则进行下一步；

A3.将策略分解为不同节点上的Netfilter的链条命令，并整合压缩；

A4.返回验证成功，并附上压缩后的Netfilter的链条命令；

S3.5.策略控制器收到保存并应用资源请求，进行下列步骤：

B1.进行步骤S3.4，结果不正确则结束当前步骤，返回具体的错误信息，正确则进行下一步；

B2.通过kube-apiserver，将收到的策略和压缩后的Netfilter链条命令写入etcd中，如kube-apiserver返回写入出错，则结束当前步骤，返回具体的错误信息，正确则进行下一步；

B3.响应请求，返回策略处理中，并附上涉及Netfilter的链条命令影响的节点；

B4.触发涉及到的策略触发器，分别发送需要其执行的Netfilter的链条命令；

S3.6.策略控制器收到删除资源请求，进行下列步骤：

C1.进行步骤S3.4，结果不正确则结束当前步骤，返回具体的错误信息，正确则进行下一步；

C2.通过kube-apiserver，将压缩后的Netfilter链条命令写入etcd中,如kube-apiserver返回写入出错，则结束当前步骤，返回具体的错误信息，正确则进行下一步；

C3.响应请求，返回策略处理中，并附上涉及Netfilter的链条命令影响的节点；

C4.触发涉及到的策略触发器，分别发送需要其执行的Netfilter的链条命令；

S3.7.策略触发器的心跳请求用于确认节点的网络策略配置正常，进行下列步骤：

D1.检查传来的触发器节点的Netfilter的链条hash值信息与策略控制器的是否相同，如相同则返回状态正常，否则进行下一步；

D2.将此心跳信息写入etcd中，同时返回状态异常，要求策略触发器发送自定义链caihcloud-chains链条的完整信息；

D3.收到包含完整自定义链caihcloud-chains链条的信息后，策略控制器对比期望链条与实际链条的差异，重新生成Netfilter链条命令，触发该策略触发器。