Kubernetes已经成为了说实在的的容器编排标准。但是很多运维工程师和开发者在面对Ubuntu上的K8s集群时往往会有一种“爱恨交织”的感觉。 弯道超车。 爱它的强大功能， 恨它的网络配置——这简直就像是在解一团乱麻，有时候你明明觉得一切都对，但Pod之间就是无法通信，那种挫败感，我想大家都懂。

其实Kubernetes的网络并没有那么神秘，也没有那么难搞。只要我们掌握了一些核心的配置技巧，避开那些常见的坑，就能让Ubuntu集群内的通信变得如丝般顺滑。今天 我们就抛开那些枯燥的理论，实实在在地聊聊如何通过一系列硬核操作，让你的K8s网络不再“掉链子”。这不仅仅是一篇教程，更像是一份避坑指南，太扎心了。。

一、 基础环境的“硬骨头”：Ubuntu系统级配置

在还没开始`kubeadm init`之前，如果你忽略了Ubuntu底层的网络配置，那后面所有的努力可能都是徒劳。 累并充实着。 很多新手在遇到网络问题时第一反应是去查CNI插件，却忘了最基础的宿主机网络环境。

1. 稳定的静态IP是基石

想象一下 你的Master节点重启后IP变了整个集群是不是就瘫痪了？所以通过`/etc/netplan`配置网卡静态IP是第一步，也是必须要做的一步。别偷懒，别指望DHCP能一直给你分配那个熟悉的地址，你猜怎么着？。

network:
  ernets:
    ens33:
      addresses: 
      gateway4: 192.168.1.1
      nameservers:
        addresses: 
  version: 2

也是没谁了。 配置完记得施行`sudo netplan apply`。这一步虽然简单，但它是确保节点间网络可达的先决条件。如果连节点都互相找不到，还谈什么Pod通信？

2. 内核参数的“黑魔法”

我不敢苟同... 这是最容易被忽视，但也是最关键的一步。Kubernetes需要大量的内核级网络支持，特别是桥接和IP转发。如果不开启这些，你的Pod流量就像是被困在孤岛上。

共勉。 我们需要手动加载必要的内核模块，并修改sysctl配置。这听起来很硬核，但其实几行命令就能搞定。记得把`overlay`和`br_netfilter`模块加载进去，这是容器网络能正常工作的幕后英雄。

sudo modprobe overlay
sudo modprobe br_netfilter
cat 

施行`sysctl -p`使配置生效。这一步如果不做，你可能会发现集群能启动，但Service就是无法访问，或者DNS解析一直超时。别问我是怎么知道的，都是泪，我明白了。。

二、 CNI插件的选择：没有最好，只有最适合

等着瞧。 Kubernetes本身并不负责Pod之间的网络连通性，它把这个重任交给了CNI插件。选择一个合适的CNI插件，就像是给你的集群选配一套合适的轮胎。选对了跑得又快又稳；选错了不仅性能差，还可能经常爆胎。

市面上插件很多，Calico、Flannel、Weave各有千秋。 这是可以说的吗？ 为了让大家更直观地做决定， 我整理了一个简单的对比表格：

插件名称	特点	适用场景	安装复杂度
Calico	支持网络策略，性能强劲，支持BGP，可开启eBPF加速	对平安性要求高的大型企业环境，需要精细控制流量	中等
Flannel	轻量级，配置简单，使用VXLAN或Host-GW	快速搭建测试环境，中小型集群，不想折腾配置	低
Weave	自动构建虚拟网络，支持多云环境，无需额外配置	跨云部署，或者网络环境比较复杂的场景	低

1. Calico：平安与性能的集大成者

如果你在生产环境中使用，我强烈推荐Calico。它不仅解决了网络连通问题，还提供了强大的Network Policy支持。你可以像配置防火墙一样，精确控制哪些Pod可以互相访问。

痛并快乐着。 安装Calico也非常方便， 一条命令即可：

kubectl apply -f https://docs.projectcalico.org/manifests/calico.yaml

当然如果你追求极致的性能，还可以开启eBPF加速。 太水了。 这就像是给网络栈装上了涡轮增压：

calicoctl patch felixconfiguration default --patch '{"spec": {"bpfEnabled": true}}'

2. Flannel：简单粗暴的“快”

如果你只是想快速搭个集群看看效果， 或者网络环境比较简单，Flannel绝对是首选。 挺好。 它采用Overlay网络，虽然牺牲了一点点性能，但换来的是极低的配置门槛。

kubectl apply -f https://raw.githubusercontent.com/coreos/flannel/master/Documentation/kube-flannel.yml

三、 集群初始化与网络插件的“第一次握手”

选好了插件，接下来就是初始化集群了。这里有一个非常容易踩的坑：`kubeadm init`时的`--pod-network-cidr`参数必须和你后面安装的CNI插件默认的网段一致！

比如 Flannel默认使用`10.244.0.0/16`，那么你在初始化时就必须指定这个网段。 蚌埠住了... 如果你不指定，或者指定错了节点NotReady的问题就会找上门来。

sudo kubeadm init --pod-network-cidr=10.244.0.0/16

安装Kubernetes核心组件的过程虽然繁琐，但也必须一丝不苟。记得添加Google Cloud的APT密钥， 虽然有时候网络原因会导致这一步很慢，甚至需要科学上网，但这是必经之路。

sudo apt update
sudo apt install -y apt-transport-https curl
curl -s https://packages.cloud.google.com/apt/doc/apt-key.gpg | sudo apt-key add -
echo "deb https://apt.kubernetes.io/ kubernetes-xenial main" | sudo tee -a /etc/apt/sources.list.d/kubernetes.list
sudo apt update
sudo apt install -y kubelet kubeadm kubectl

站在你的角度想... 安装完容器运行时后记得配置systemd cgroup驱动。这听起来很技术流，但如果不一致，kubelet会报错，导致你无法加入节点。

四、 平安加固：防火墙与网络策略

集群跑通了不代表就万事大吉了。在公网环境下裸奔的Kubernetes集群就是黑客眼中的“肉鸡”。我们需要给Ubuntu节点加上防火墙，并在K8s内部配置网络策略，很棒。。

1. UFW防火墙配置

换个思路。 Ubuntu自带的UFW非常好用。我们只需要开放必要的端口， 比如API Server的6443端口，以及Etcd、NodePort服务等端口。其他的，统统拒绝。

sudo ufw allow 6443/tcp
sudo ufw allow 2379:2380/tcp
sudo ufw allow 10250/tcp
sudo ufw default deny incoming
sudo ufw reload

这种“默认拒绝”的策略，能帮你挡住绝大多数的随机扫描和攻击，妥妥的！。

2. 网络策略：微隔离的艺术

Kubernetes本身不限制Pod之间的通信， 这意味着只要知道IP，任何Pod都能访问数据库。这明摆着是不平安的。通过NetworkPolicy，我们可以实现微隔离。

卷不动了。 比如 我们想禁止前端命名空间直接访问数据库，只允许后端命名空间访问，可以这样写：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-frontend-to-database
spec:
  podSelector:
    matchLabels:
      app: database
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          env: backend

这段YAML代码虽然不长，但作用巨大。它就像是一个尽职的保安，只允许持有特定证件的人进入数据库区域，未来可期。。

五、 性能调优：榨干网络的每一滴性能

有时候，网络通了但就是慢。这时候，我们就需要一些高级的调优技巧了。

1. MTU值的调整

MTU设置不当会导致数据包分片，严重影响性能。特别是在Overlay网络环境下由于封装头部的存在MTU必须比物理网卡小。通常建议设置为1450或者1400，避免丢包。

ip link set dev eth0 mtu 1450

2. 服务发现与负载均衡

再说说别忘了利用Service和Ingress来对外暴露服务。不要直接暴露Pod IP，主要原因是Pod是会变的。 这也行？ Service提供了稳定的接入点，而Ingress则负责七层的负载均衡。

apiVersion: v1
kind: Service
metadata:
  name: nginx-service
spec:
  selector:
    app: nginx
  ports:
  - protocol: TCP
    port: 80
    targetPort: 80
---
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: nginx-ingress
spec:
  rules:
  - host: myapp.example.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: nginx-service
            port:
              number: 80

六、 验证与排错：当一切不按剧本走时

配置完了怎么知道有没有问题？别光看`kubectl get nodes`显示Ready就以为没事了。真正的测试是实战。

启动两个不同节点的Pod，互相Ping一下看看延迟如何。或 拭目以待。 者用`curl`访问一下Service，看看返回是否正常。

kubectl exec -it  -- ping 
kubectl get pods -n kube-system -l k8s-app=calico-node

摆烂。 如果Calico的Pod没起来 或者Ping不通，那就去查日志。`kubectl logs`是你最好的朋友。有时候问题可能仅仅是主要原因是一个拼写错误，或者一个没生效的sysctl参数。

境界没到。 在Ubuntu上配置Kubernetes网络，确实是一项既考验耐心又考验技术的活儿。从底层的Netplan配置， 到内核参数的调优，再到CNI插件的选择和NetworkPolicy的编写，每一个环节都至关重要。但当你看到所有的Pod都正常运行，服务之间高效通信，那种成就感也是无与伦比的。

希望这篇文章能帮你少走弯路，少踩几个坑。技术总是在不断迭代，但底层的原理往往是不变的。理解了这些，无论Kubernetes版本怎么更新， 闹乌龙。 你都能从容应对。现在去检查一下你的集群配置吧，也许你会发现一些被忽略的细节，优化之后性能会有意想不到的提升。

---