[发明专利]一种kubernetes复杂网络策略系统及其实现方法

说明书

本发明公开了一种kubernetes复杂网络策略系统及其实现方法，属于云计算技术领域。包括全局网络组，表示IP子网/CIDRs的任意集合；全局网络策略，包含若干个全局网络组或策略内设置的资源选择器；项目网络组，适用于特定的Namespace；项目网络策略，适用于特定的Namespace；命令控制器用于管理员查看或修改上述4种类型的网络策略；策略控制器与kube‑apiserver的连接，保存具体的网络策略；策略控制器以deployment方式运行；策略触发器以daemonset方式运行；策略触发器将策略控制器生成的策略应用到对应的节点上生效，通过在Linux内核数据包处理模块Netfilter中在filter、raw和mangle表中添加自定义链caihcloud‑chains实现。本发明能够简化集群网络策略管理，增强kubernetes的应用服务能力，进而提高kubernetes服务商的服务能力。

技术领域

本发明属于云计算技术领域，尤其是一种kubernetes复杂网络策略系统及其实现方法。

背景技术

近年来，容器技术和Kubernetes平台持续升温，Kubernetes极大地提高了应用部署的速度和可管理性，由于其灵活性、可扩展性和易用性，Kubernetes已成为容器编排器的事实标准，迅速落地并赋能产业，大大提高了资源利用效率和生产力。

作为一项依然处于发展阶段的新技术，Kubernetes在网络隔离方面的进展，相较于计算领域显得相对缓慢和初级。Kubernetes目前默认提供了NetworkPolicy的功能，支持按Namespace和按Pod级别的网络访问控制。利用label指定namespaces或pod。

在Kubernetes平台使用过程中，基于Namespace和Pod级别的网络控制和以label匹配资源的方式，显然难以满足大多数场景的需求。首先，基于label的匹配方式过于单一，无法进行逻辑表达式、复杂的运算符或数组的匹配和配置策略优先级；其次，默认的网络策略无法做到集群级别的通用策略，相同的策略需要对所有Namespace重复配置；再次，kubernetes中其它类型的资源无法匹配，网络策略效果通用性不强；同时，当集群初具规模后，管理人员无法再忽视label的管理成本；最后，默认网络策略无法进行日志记录，对基于网络策略的开发和测试并不友好。

受限于上述问题，面对海量应用和容器时，kubernetes集群无法做到灵活高效的应用隔离策略，而在kubernetes集群规模化后，问题将愈加严重。如果能做到集群级别的通用网络策略，纳入kubernetes所有API资源并灵活分组管理，辅以外部网络资源的管理，将大大简化集群网络策略的开发、管理和运维，增强kubernetes的应用服务能力，进而提高kubernetes服务商的服务能力。

发明内容

本发明的发明目的是提供一种kubernetes复杂网络策略系统及其实现方法，其能够简化集群网络策略管理，增强kubernetes的应用服务能力，进而提高kubernetes服务商的服务能力。

为达到上述目的，本发明所采用的技术方案是：

一种kubernetes复杂网络策略系统，包括4种类型的网络策略和3个系统组件；

4种类型的所述网络策略分别为：

全局网络组，表示IP子网/CIDRs的任意集合，用于整合和管理内外部的网络资源；

全局网络策略，包含若干个全局网络组或策略内设置的资源选择器，和与其相关的规则集合；

项目网络组，适用于特定的Namespace；

项目网络策略，适用于特定的Namespace，包含若干个项目网络组或策略内设置的资源选择器，和与其相关的规则集合；

3个系统组件分别为：