Flannel 支持的后端

Flannel 是一个为 Kubernetes 设计的容器网络解决方案，支持多种后端（backend）来处理节点间的数据包转发。根据官方文档和其他可靠来源，以下是 Flannel 支持的后端类型及其说明：

VXLAN（推荐）
- 描述：使用内核中的 VXLAN（Virtual Extensible LAN）来封装数据包，创建覆盖网络（overlay network）。
- 特点：
  - 默认后端，性能较好，广泛支持。
  - 使用 UDP 端口（默认 8472）传输封装数据包。
  - 支持 IPv4 和 IPv6 双栈。
  - 可配置参数：
    - VNI（VXLAN Identifier）：默认值为 1，Windows 上需 ≥ 4096。
    - Port：用于发送封装数据包的 UDP 端口。
    - GBP（Group Based Policy）：布尔值，默认 false。
- 适用场景：适用于大多数 Kubernetes 集群，尤其是在需要跨子网通信的场景。
- 注意事项：需要确保防火墙允许相关 UDP 端口（如 8472）。
host-gw
- 描述：通过直接更新主机的路由表来创建主机间的直接路由（direct routing）。
- 特点：
  - 性能优于 VXLAN，因为不涉及数据包封装。
  - 仅适用于同一二层（Layer 2）网络中的主机（需要直接 L2 连接）。
  - 不适合云环境，因为云提供商通常不支持直接的二层网络连接。
  - 支持 IPv4 和 IPv6 双栈。
- 适用场景：适合有经验的用户在本地或裸金属环境中追求高性能。
- 注意事项：需要主机间直接的二层网络连接。
UDP
- 描述：使用用户空间的 UDP 封装，通过 TUN 设备将 IP 数据包封装在 UDP 数据包中。
- 特点：
  - 仅推荐用于调试或非常旧的内核（不支持 VXLAN 的场景）。
  - 默认端口为 8285。
  - 性能较差，因为封装和解封装在用户空间进行。
- 适用场景：调试或老旧系统（不支持 VXLAN 的内核）。
- 注意事项 ：某些架构（如 ARM64）可能不支持 UDP 后端。
WireGuard
- 描述：使用内核中的 WireGuard 进行数据包封装和加密，创建安全的 VPN 隧道。
- 特点：
  - 提供加密通信，适合需要安全性的场景。
  - 可配置参数：
    - PSK（Pre-Shared Key）：可选，用于加密的预共享密钥。
    - ListenPort：IPv4 的监听端口，默认 51820。
    - ListenPortV6：IPv6 的监听端口，默认 51821。
    - MTU：数据包的最大传输单元，默认为外部接口的 MTU。
    - Mode：支持 separate（IPv4 和 IPv6 使用单独隧道，默认）或 auto（单一隧道支持双栈）。
  - 支持 IPv4 和 IPv6 双栈。
- 适用场景：需要加密通信的 Kubernetes 集群。
- 注意事项 ：需要确保所有节点安装了 WireGuard 内核模块。
AWS-VPC（实验性，未受支持）
- 描述：在 AWS VPC 环境中通过操作 VPC 路由表来实现路由。
- 特点：
  - 不创建独立的 Flannel 接口，直接利用 AWS VPC 的路由功能。
  - 需要 AWS 访问密钥（AWS_ACCESS_KEY_ID 和 AWS_SECRET_ACCESS_KEY）或节点 IAM 角色权限。
  - 路由表条目限制为 50 条。
- 适用场景：运行在 AWS VPC 环境中的 Kubernetes 集群。
- 注意事项 ：实验性功能，需谨慎使用。
GCE（实验性，未受支持）
- 描述：在 Google Compute Engine（GCE）环境中通过操作 IP 路由表实现高性能路由。
- 特点：
  - 不使用封装，直接操作路由表。
  - 需要实例启用 IP 转发并具有读写计算权限。
- 适用场景：运行在 GCE 环境中的 Kubernetes 集群。
- 注意事项 ：实验性功能，需谨慎使用。
AliVPC（实验性，未受支持）
- 描述：在阿里云 VPC 环境中通过操作 VPC 路由表实现路由。
- 特点：
  - 不创建独立的 Flannel 接口。
  - 需要访问密钥（AccessKeyID 和 AccessKeySecret）或环境变量配置。
  - 路由表条目限制为 50 条。
- 适用场景：运行在阿里云 VPC 环境中的 Kubernetes 集群。
- 注意事项 ：实验性功能，需谨慎使用。
Alloc
- 描述：仅进行子网分配，不负责数据包转发。
- 特点：
  - 通常与其他后端结合使用，本身不提供网络通信功能。
- 适用场景：特殊场景下仅需子网分配时使用。
- 注意事项：不常用，通常需要与其他机制配合。
IPIP（实验性，未受支持）
- 描述：使用 IP-in-IP 隧道封装数据包。
- 特点：
  - 类似 VXLAN，但使用较老的 IPIP 协议。
  - 性能和兼容性不如 VXLAN。
- 适用场景：特定场景下需要兼容旧系统。
- 注意事项 ：实验性功能，建议避免使用。
IPSec（已废弃）
- 描述：早期版本支持的加密后端，使用 IPSec 协议。
- 特点：
  - 已被 WireGuard 替代，K3s 自 2022-12 版本（v1.26.0+k3s1 等）起不再包含相关二进制文件。
- 适用场景：无（已废弃）。
- 注意事项 ：建议迁移到 wireguard-native 后端。

配置注意事项

后端选择不可动态更改 ：一旦选择某个后端（如 VXLAN），不能在运行时直接更改，必须停止所有工作负载并重启 Flannel 守护进程（flanneld）。
防火墙配置 ：某些后端（如 VXLAN、UDP、WireGuard）需要开放特定的 UDP 端口（如 8472、8285、51820/51821），确保防火墙规则允许这些流量。
双栈支持 ：VXLAN、host-gw 和 WireGuard 支持 IPv4 和 IPv6 双栈模式，需在配置中启用 EnableIPv6 并设置 IPv6Network。
性能对比 ：
- host-gw 提供最佳性能，但受限于二层网络。
- VXLAN 是默认选择，平衡性能和兼容性。
- UDP 性能较差，仅用于调试。
- WireGuard 提供加密，但需要额外模块支持。
云环境限制：AWS-VPC、GCE 和 AliVPC 仅适用于特定云平台，且为实验性功能。

配置示例

以下是一个配置 VXLAN 后端的 Flannel 配置文件（net-conf.json）示例：

json 复制代码

{
  "Network": "10.244.0.0/16",
  "Backend": {
    "Type": "vxlan",
    "VNI": 1,
    "Port": 8472
  }
}

如果需要使用 WireGuard 后端：

json 复制代码

{
  "Network": "10.244.0.0/16",
  "Backend": {
    "Type": "wireguard",
    "ListenPort": 51820,
    "PSK": "your-pre-shared-key"
  }
}

总结

Flannel 支持的后端包括 VXLAN （推荐）、host-gw （高性能但受限于二层网络）、UDP （仅用于调试）、WireGuard （加密通信）、AWS-VPC 、GCE 、AliVPC （实验性）、Alloc 和 IPIP （实验性）。此外，IPSec 已废弃。选择后端时需根据网络环境、性能需求和安全性要求进行权衡。