kube-vip-iptables 镜像文档

镜像概述和主要用途

kube-vip-iptables 是 kube-vip 项目的一部分，提供基于 iptables 的网络规则管理功能，用于在 Kubernetes 集群中实现负载均衡和服务暴露。该镜像包含必要的工具和配置，用于维护与 kube-vip 相关的 iptables 规则，确保集群服务的高可用性和正确路由。

核心功能和特性

• 自动管理 Kubernetes 服务相关的 iptables 规则
• 支持 TCP/UDP 协议的负载均衡
• 与 kube-vip 控制器无缝集成
• 轻量级设计，资源占用低
• 动态响应服务变化，自动更新规则
• 支持 IPv4 和 IPv6 双栈网络

使用场景和适用范围

• Kubernetes 集群控制平面高可用部署
• 服务类型为 Load*** 的外部流量暴露
• 边缘计算环境中的 Kubernetes 部署
• 没有专用负载均衡器硬件的场景
• 需要轻量级负载均衡解决方案的集群
• 混合云或多云环境中的统一入口管理

使用方法和配置说明

前提条件

• 运行中的 Kubernetes 集群 (v1.19+)
• 集群节点已安装 iptables 和 iptables-services
• 节点网络策略允许 iptables 规则配置
• 具有适当权限的 ServiceAccount

Docker 运行示例

bash
docker run -d \
  --name=kube-vip-iptables \
  --cap-add=NET_ADMIN \
  --cap-add=NET_RAW \
  --net=host \
  -v /etc/kubernetes:/etc/kubernetes \
  -v /var/run/kubernetes:/var/run/kubernetes \
  ghcr.io/kube-vip/kube-vip-iptables:latest \
  /kube-vip-iptables \
  --interface=eth0 \
  --services

Kubernetes 部署示例

DaemonSet 部署

yaml
apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: kube-vip-iptables
  namespace: kube-system
spec:
  selector:
    matchLabels:
      app.kubernetes.io/name: kube-vip-iptables
  template:
    metadata:
      labels:
        app.kubernetes.io/name: kube-vip-iptables
    spec:
      hostNetwork: true
      tolerations:
      - effect: NoSchedule
        operator: Exists
      - effect: NoExecute
        operator: Exists
      containers:
      - name: kube-vip-iptables
        image: ghcr.io/kube-vip/kube-vip-iptables:latest
        securityContext:
          capabilities:
            add:
            - NET_ADMIN
            - NET_RAW
        args:
        - --interface=eth0
        - --services
        - --inCluster
        volumeMounts:
        - name: kubeconfig
          mountPath: /etc/kubernetes/kubeconfig
          readOnly: true
      volumes:
      - name: kubeconfig
        hostPath:
          path: /etc/kubernetes/admin.conf

配置参数说明

命令行参数

环境变量

注意事项

1. 该镜像需要 NET_ADMIN 和 NET_RAW capabilities 才能修改 iptables 规则
2. 建议使用 hostNetwork 模式运行，确保网络规则应用到主机网络命名空间
3. 在有网络策略或安全组的环境中，需确保允许相关端口的流量
4. 升级前建议备份当前 iptables 规则
5. 与其他 iptables 管理工具（如 calico、flannel）同时使用时需注意规则优先级

故障排除

• 检查容器日志：kubectl logs -n kube-system daemonset/kube-vip-iptables
• 验证 iptables 规则：iptables-save | grep kube-vip
• 检查节点网络接口：ip addr show <interface>
• 确认服务状态：kubectl get svc

相关资源

• 项目：[]
• 文档：[***]
• 问题反馈：[***]