IPv4/IPv6 双栈

Kubernetes 允许你配置单栈 IPv4 网络、单栈 IPv6 网络或同时激活两种网络族的双栈网络。本页面解释了如何配置。
特性状态： Kubernetes v1.23 [stable]

IPv4/IPv6 双栈网络允许为 Pod 和 Service 分配 IPv4 和 IPv6 地址。

从 Kubernetes 1.21 开始，IPv4/IPv6 双栈网络在你的 Kubernetes 集群中默认启用，允许同时分配 IPv4 和 IPv6 地址。

支持的特性

Kubernetes 集群上的 IPv4/IPv6 双栈提供以下特性：

  • 双栈 Pod 网络（每个 Pod 分配一个 IPv4 和一个 IPv6 地址）
  • 支持 IPv4 和 IPv6 的 Service
  • 通过 IPv4 和 IPv6 接口的 Pod 离集群出口路由（例如，互联网）

先决条件

为了利用 IPv4/IPv6 双栈 Kubernetes 集群，需要满足以下先决条件：

  • Kubernetes 1.20 或更高版本

    有关在早期 Kubernetes 版本中使用双栈服务的信息，请参阅该 Kubernetes 版本的文档。

  • 提供商支持双栈网络（云提供商或其他提供商必须能够为 Kubernetes 节点提供可路由的 IPv4/IPv6 网络接口）

  • 支持双栈网络的网络插件。

配置 IPv4/IPv6 双栈

要配置 IPv4/IPv6 双栈，请设置双栈集群网络分配：

  • kube-apiserver
    • --service-cluster-ip-range=<IPv4 CIDR>,<IPv6 CIDR>
  • kube-controller-manager
    • --cluster-cidr=<IPv4 CIDR>,<IPv6 CIDR>
    • --service-cluster-ip-range=<IPv4 CIDR>,<IPv6 CIDR>
    • --node-cidr-mask-size-ipv4|--node-cidr-mask-size-ipv6 默认 IPv4 为 /24，IPv6 为 /64
  • kube-proxy
    • --cluster-cidr=<IPv4 CIDR>,<IPv6 CIDR>
  • kubelet
    • --node-ip=<IPv4 IP>,<IPv6 IP>
      • 对于裸机双栈节点（未定义带 --cloud-provider 标志的云提供商的节点），此选项是必需的。如果你正在使用云提供商并选择覆盖云提供商选择的节点 IP，请设置 --node-ip 选项。
      • （遗留的内置云提供商不支持双栈 --node-ip。）

服务

你可以创建可使用 IPv4、IPv6 或两者兼有的Service。

Service 的地址族默认为第一个 Service 集群 IP 范围的地址族（通过 kube-apiserver 的 --service-cluster-ip-range 标志配置）。

定义 Service 时，你可以选择将其配置为双栈。要指定你想要的行为，请将 .spec.ipFamilyPolicy 字段设置为以下值之一：

  • SingleStack：单栈服务。控制平面使用第一个配置的 Service 集群 IP 范围为 Service 分配一个集群 IP。
  • PreferDualStack：当启用双栈时，为 Service 分配 IPv4 和 IPv6 集群 IP。如果未启用或不支持双栈，则回退到单栈行为。
  • RequireDualStack：当启用双栈时，从 IPv4 和 IPv6 地址范围为 Service 分配 .spec.clusterIPs。如果未启用或不支持双栈，Service API 对象的创建将失败。
    • 根据 .spec.ipFamilies 数组中第一个元素的地址族，从 .spec.clusterIPs 列表中选择 .spec.clusterIP。

如果你想定义单栈使用哪个 IP 族，或定义双栈的 IP 族顺序，可以通过在 Service 上设置一个可选字段 .spec.ipFamilies 来选择地址族。

你可以将 .spec.ipFamilies 设置为以下任何数组值：

  • ["IPv4"]
  • ["IPv6"]
  • ["IPv4","IPv6"] (双栈)
  • ["IPv6","IPv4"] (双栈)

你列出的第一个族用于遗留的 .spec.clusterIP 字段。

双栈 Service 配置场景

这些示例演示了各种双栈 Service 配置场景的行为。

新 Service 上的双栈选项

  1. 此 Service 规范未明确定义 .spec.ipFamilyPolicy。当你创建此 Service 时，Kubernetes 会从第一个配置的 service-cluster-ip-range 为 Service 分配一个集群 IP，并将 .spec.ipFamilyPolicy 设置为 SingleStack。（不带选择器的 Service 和带选择器的无头 Service 将以相同的方式运行。）

    service/networking/dual-stack-default-svc.yaml 
    apiVersion: v1
kind: Service
metadata:
  name: my-service
  labels:
    app.kubernetes.io/name: MyApp
spec:
  selector:
    app.kubernetes.io/name: MyApp
  ports:
    - protocol: TCP
      port: 80

  2. 此 Service 规范在 .spec.ipFamilyPolicy 中明确定义了 PreferDualStack。当你在双栈集群上创建此 Service 时，Kubernetes 会为 Service 分配 IPv4 和 IPv6 地址。控制平面更新 Service 的 .spec 以记录 IP 地址分配。.spec.clusterIPs 字段是主字段，包含两个分配的 IP 地址；.spec.clusterIP 是一个辅助字段，其值从 .spec.clusterIPs 计算得出。

    • 对于 .spec.clusterIP 字段，控制平面记录与第一个服务集群 IP 范围相同的地址族的 IP 地址。
    • 在单栈集群上，.spec.clusterIPs 和 .spec.clusterIP 字段都只列出一个地址。
    • 在启用了双栈的集群上，在 .spec.ipFamilyPolicy 中指定 RequireDualStack 的行为与 PreferDualStack 相同。
    service/networking/dual-stack-preferred-svc.yaml 
    apiVersion: v1
kind: Service
metadata:
  name: my-service
  labels:
    app.kubernetes.io/name: MyApp
spec:
  ipFamilyPolicy: PreferDualStack
  selector:
    app.kubernetes.io/name: MyApp
  ports:
    - protocol: TCP
      port: 80

  3. 此 Service 规范在 .spec.ipFamilies 中明确定义了 IPv6 和 IPv4，并在 .spec.ipFamilyPolicy 中定义了 PreferDualStack。当 Kubernetes 在 .spec.clusterIPs 中分配 IPv6 和 IPv4 地址时，.spec.clusterIP 被设置为 IPv6 地址，因为它是 .spec.clusterIPs 数组中的第一个元素，覆盖了默认值。

    service/networking/dual-stack-preferred-ipfamilies-svc.yaml 
    apiVersion: v1
kind: Service
metadata:
  name: my-service
  labels:
    app.kubernetes.io/name: MyApp
spec:
  ipFamilyPolicy: PreferDualStack
  ipFamilies:
  - IPv6
  - IPv4
  selector:
    app.kubernetes.io/name: MyApp
  ports:
    - protocol: TCP
      port: 80

现有 Service 上的双栈默认值

这些示例演示了在已存在 Service 的集群上新启用双栈时的默认行为。（将现有集群升级到 1.21 或更高版本将启用双栈。）

  1. 当集群上启用双栈时，现有 Service（无论是 IPv4 还是 IPv6）由控制平面配置，将 .spec.ipFamilyPolicy 设置为 SingleStack，并将 .spec.ipFamilies 设置为现有 Service 的地址族。现有 Service 集群 IP 将存储在 .spec.clusterIPs 中。

    service/networking/dual-stack-default-svc.yaml 
    apiVersion: v1
kind: Service
metadata:
  name: my-service
  labels:
    app.kubernetes.io/name: MyApp
spec:
  selector:
    app.kubernetes.io/name: MyApp
  ports:
    - protocol: TCP
      port: 80

    你可以通过使用 kubectl 检查现有服务来验证此行为。

    kubectl get svc my-service -o yaml

    apiVersion: v1
kind: Service
metadata:
  labels:
    app.kubernetes.io/name: MyApp
  name: my-service
spec:
  clusterIP: 10.0.197.123
  clusterIPs:
  - 10.0.197.123
  ipFamilies:
  - IPv4
  ipFamilyPolicy: SingleStack
  ports:
  - port: 80
    protocol: TCP
    targetPort: 80
  selector:
    app.kubernetes.io/name: MyApp
  type: ClusterIP
status:
  loadBalancer: {}

  2. 当集群上启用双栈时，带选择器的现有无头 Service 由控制平面配置，将 .spec.ipFamilyPolicy 设置为 SingleStack，并将 .spec.ipFamilies 设置为第一个服务集群 IP 范围的地址族（通过 kube-apiserver 的 --service-cluster-ip-range 标志配置），即使 .spec.clusterIP 设置为 None。

    service/networking/dual-stack-default-svc.yaml 
    apiVersion: v1
kind: Service
metadata:
  name: my-service
  labels:
    app.kubernetes.io/name: MyApp
spec:
  selector:
    app.kubernetes.io/name: MyApp
  ports:
    - protocol: TCP
      port: 80

    你可以通过使用 kubectl 检查带选择器的现有无头服务来验证此行为。

    kubectl get svc my-service -o yaml

    apiVersion: v1
kind: Service
metadata:
  labels:
    app.kubernetes.io/name: MyApp
  name: my-service
spec:
  clusterIP: None
  clusterIPs:
  - None
  ipFamilies:
  - IPv4
  ipFamilyPolicy: SingleStack
  ports:
  - port: 80
    protocol: TCP
    targetPort: 80
  selector:
    app.kubernetes.io/name: MyApp

在单栈和双栈之间切换 Service

Service 可以从单栈更改为双栈，也可以从双栈更改为单栈。

  1. 要将 Service 从单栈更改为双栈，请根据需要将 .spec.ipFamilyPolicy 从 SingleStack 更改为 PreferDualStack 或 RequireDualStack。当你将此 Service 从单栈更改为双栈时，Kubernetes 会分配缺少的地址族，以便 Service 现在具有 IPv4 和 IPv6 地址。

    编辑 Service 规范，将 .spec.ipFamilyPolicy 从 SingleStack 更新为 PreferDualStack。

    之前

    spec:
  ipFamilyPolicy: SingleStack

    之后

    spec:
  ipFamilyPolicy: PreferDualStack

  2. 要将 Service 从双栈更改为单栈，请将 .spec.ipFamilyPolicy 从 PreferDualStack 或 RequireDualStack 更改为 SingleStack。当你将此 Service 从双栈更改为单栈时，Kubernetes 只保留 .spec.clusterIPs 数组中的第一个元素，并将 .spec.clusterIP 设置为该 IP 地址，并将 .spec.ipFamilies 设置为 .spec.clusterIPs 的地址族。

无选择器的无头 Service

对于无选择器且未显式设置 .spec.ipFamilyPolicy 的无头 Service，.spec.ipFamilyPolicy 字段默认为 RequireDualStack。

Service 类型 LoadBalancer

要为你的 Service 供应双栈负载均衡器：

  • 将 .spec.type 字段设置为 LoadBalancer
  • 将 .spec.ipFamilyPolicy 字段设置为 PreferDualStack 或 RequireDualStack

出站流量

如果你希望启用出站流量，以便从使用非公开可路由 IPv6 地址的 Pod 访问集群外部目的地（例如公共互联网），你需要通过透明代理或 IP 伪装等机制，使 Pod 能够使用公开路由的 IPv6 地址。 ip-masq-agent 项目支持在双栈集群上进行 IP 伪装。

Windows 支持

Kubernetes on Windows 不支持单栈“仅 IPv6”网络。但是，支持 Pod 和节点使用单族服务的双栈 IPv4/IPv6 网络。

你可以在 l2bridge 网络中使用 IPv4/IPv6 双栈网络。

你可以在Windows 网络主题中阅读有关 Windows 不同网络模式的更多信息。

下一步

上次修改时间为 2024 年 6 月 12 日太平洋标准时间上午 10:06：修复 IPv4/IPv6 双栈中的引用 (5ead326713)