25、K8S-资源对象-Service【理论-回顾】

Kubernetes学习目录

1、基础知识

1.1、场景

通过对Pod及其管理资源RC和Deployment的实践，我们知道，我们所有的应用服务都是工作在pod资源
中，由于每个Pod都有独立的ip地址，而大量的动态创建和销毁操作后，虽然pod资源的数量是控制住了，但
是由于pod重新启动，导致他的IP很有可能发生了变化，假设我们这里有前端应用的pod和后端应用的pod，
那么再剧烈变动的场景中，两个应用该如何自由通信呢？难道是让我们以类似nginx负载均衡的方式手工定制
pod ip然后进行一一管理么？但是这是做不到的。
 Kubernetes集群就为我们提供了这样的一个对象--Service，它定义了一组Pod的逻辑集合和一个用
于访问它们的策略，它可以基于标签的方式自动找到对应的pod应用，而无需关心pod的ip地址变化与否，从而实现了类似负载均衡的效果.
 这个资源在master端的Controller组件中，由Service Controller 来进行统一管理。

1.2、简介

service是Kubernetes里最核心的资源对象之一，它是由coredns或者kube-dns组件提供的功能。每一个
Service都是一个完整的业务服务，我们之前学到的Pod、RC、Deployment等资源对象都是为Service服务的。

1.2.1、Service关系图

 

1.2.2、关系图解析

 Kubernetes 的 Service定义了一个服务的访问入口地址，前端的应用Pod通过Service访问其背后
一组有Pod副本组成的集群示例，Service通过Label Selector访问指定的后端Pod，RC保证Service的
服务能力和服务质量处于预期状态。
   Service是Kubernetes中最高一级的抽象资源对象，每个Service提供一个独立的服务，集群
Service彼此间使用TCP/IP进行通信，将不同的服务组合在一起运行起来，就行了我们所谓的"系统"

1.2.3、Service系统图

1.2.4、总结

我们知道每个Pod都有一个专用的IP地址，加上Pod内部容器的Port端口，就组成了一个访问Pod专用的
EndPoint(Pod IP+Container Port)，从而实现了用户外部资源访问Pod内部应用的效果。
这个EndPoint资源在master端的Controller组件中，由EndPoint Controller 来进行统一管理。

1.3、原理解析

1.3.1、负载均衡

当多个Pod组成了一个业务集群来提供外部服务，那么外部客户端怎么才能访问业务集群服务呢？
说到外部用户来访问内部集群的场景，肯定能想到的负载均衡的案例：
nginx的upstream功能 或 LVS+keepalived功能

所有的Pod都有专用的 RIP，多个Pod副本就组成了一个Kubernetes集群的后端服务，根据对上面负载
均衡图的理解，我们需要配置一个vip。当客户端访问的请求过来后，Master结点通过VIP把客户端的请求，
负载均衡到后端的Pod副本即可。
   我们知道，Pod是工作在不同的Node节点上，而Node节点上有一个kube-proxy组件，它本身就是一个
软件负载均衡器，在内部有一套专有的负载均衡与会话保持机制，可以达到，接收到所有对Service请求，进
而转发到后端的某个具体的Pod实例上，相应该请求。

-- kube-proxy 其实就是 Service Controller位于各节点上的Agent。

1.3.2、Pod所处的Node场景分类

根据Pod所处的Node场景，有两种情况：
所有Pod副本都在同一Node节点上：
 对于这种情况，将Node节点专用的物理ip，作为负载均衡器的VIP，即可实现负载均衡后端服务的效
果。
所有Pod副本不在同一Node节点上：
 Node节点的物理ip就没有办法作为负载均衡器的VIP了，这就出现了一种常见的意外情况。
 
而Kubernetes是一个分布式的资源管理平台，所以Kubernetes集群资源对象肯定不能保证在同一台Node节
点，所以就不能使用Node节点的物理ip地址作为负载均衡器VIP地址了。

1.3.3、Node节点 VIP访问的解决方法

Kubernetes发明了一种设计，给Service分配一个全局唯一的虚拟ip地址--cluster IP，它不存在任何
网络设备上，Service通过内容的标签选择器，指定相应该Service的Pod资源，这样以来，请求发给
cluster IP，后端的Pod资源收到请求后，就会响应请求。
这种情况下，每个Service都有一个全局唯一通信地址，整个系统的内部服务间调用就变成了最基础的
TCP/IP网络通信问题。如果我们的集群内部的服务想要和外部的网络进行通信，方法很多，比如：
   NodePort类型，通过在所有结点上增加一个对外的端口，用于接入集群外部请求
   Ingress类型，通过集群附加服务功能，将外部的域名流量转交到集群内部。

1.3.4、Service vs Endpoint

1、当创建 Service资源的时候，最重要的就是为Service指定能够提供服务的标签选择器，
2、Service Controller就会根据标签选择器创建一个同名的Endpoint资源对象。
3、Endpoint Controller开始介入，使用Endpoint的标签选择器(继承自Service标签选择器)，筛选符合条件的pod资源
4、Endpoint Controller 将符合要求的pod资源绑定到Endpoint上，并告知给Service资源，谁可以正常提供服务。
5、Service 根据自身的cluster IP向外提供由Endpoint提供的服务资源。

-- 所以Service 其实就是 为动态的一组pod资源对象 提供一个固定的访问入口。

2、工作模型

2.1、代理模型

2.1.1、简介

一个Service对象，对于当前集群的节点来说，就是工作节点上的一些iptables或ipvs规则，这些规
则由kube-proxy进行实时维护，kube-proxy将请求代理至相应端点的方式有三种：userspace/iptables/ipvs。

这些方法的目的是：kube-proxy如何确保service能正常工作。

2.1.2、UserSpace-代理模型

userspace模型是k8s最早的一种工作模型，从1.1版本就开始使用。他的作用就是将service的策略转换成iptables规则，这些规则仅仅做请求的拦截，而不对请求进行调度处理。
该模型中，请求流量到达内核空间后，由套接字送往用户空间的kube-proxy，再由它送回内核空间，并调度至后端Pod。因为涉及到来回转发，效率不高

2.1.3、iptables-代理模型

 

iptables模式在1.10版本开始使用。
为Service创建iptables规则，直接捕获到达ClusterIP和Port的流量，并重定向至当前Service的后
端。对每个Endpoints对象，Service资源会为其创建iptables规则并关联至挑选的后端Pod资源
优点：性能比userspace更加高效和可靠
缺点：
 不会在后端Pod无响应时自动重定向，而userspace可以
 中量级k8s集群(service有几百个)能够承受，但是大量级k8s集群(service有几千个)维护达几万条规则，难度较大

2.1.4、ipvs-代理模型

 

自1.11版本起为默认设置
请求流量的调度功能由ipvs实现，余下的其他功能仍由iptables完成
ipvs流量转发速度快，规则同步性能好，且支持众多调度算法，如rr/lc/dh/sh/sed/nq等
安装特点：echo 'KUBE_PROXY_MODE=ipvs' >> /etc/sysconfig/kubelet
优点：
 每条ipvs规则包含了两个功能：转发功能和调度功能
 
注意：
 对于我们kubeadm方式安装k8s集群来说，他会首先检测当前主机上是否已经包含了ipvs模块，如果加
载了，就直接用ipvs模式，如果没有加载ipvs模块的话，会自动使用iptables模式。

2.2、service & kube-proxy-关联关系

2.2.1、关联关系描述

1、Service作为一个资源对象，他会在在API Service服务中定义出来的。
2、Service Controller 触发每个节点上的kube-proxy，由kube-proxy实时的转换为本地的
ipvs|iptables规则。
3、默认情况下，内核中的ipvs|iptables规则，仅仅是负责本地节点用户空间pod客户端发出请求时的拦截
或者转发规则
4、如果pod客户端向Service发出请求
 pod客户端向内核发出请求，根据ipvs|iptables规则，匹配目标service
如果service匹配到的话，会返回当前service随对应的后端endpoint有哪些
 iptables|ipvs会根据情况挑选一个合适的endpoint地址
 - 如果endpoint是本机上的，则会转发给本机的endpoint
 - 如果endpoint是其他主机上的，则转发给其他主机上的endpoint

3、Service类型

对于k8s来说，内部服务的自由通信可以满足我们环境的稳定运行，但是我们作为一个平台，其核心功能还是
将平台内部的服务发布到外部环境，那么在k8s环境平台上。Service主要有四种样式来满足我们的需求。

术语介绍：
ClusterIP : 这是service默认的服务暴露模式，主要针对的对象是集群内部。

3.1、NodePort

3.1.1、简介

基于ClusterIP方式对外提供服务，端口范围 30000~32767 , NodePort是一个随机的端口，在所有节点上都会存在。

NodePort类型的Service可以让Kubernetes集群每个节点上保留一个相同的端口， 外部访问连接首先访问节点IP:Port，然后将这些连接转发给服务对应的Pod。

3.1.2、流程图

3.2、LoadBalancer

3.2.1、简介

基于NodePort之上，使用运营商负载均衡器方式实现对外提供服务，底层是基于IaaS云创建一个k8s云，同时该平台也支持LBaaS产品服务

LoadBalancer类型的Service其实是NodePort类型Service的扩展，通过一个特定的LoadBalancer访问Service，这个LoadBalancer将请求转发到节点的NodePort。

3.2.2、流程图

3.3、ExternalName

当前k8s集群依赖集群外部的服务，那么通过externalName将外部主机引入到k8s集群内部
外部主机名以 DNS方式解析为一个 CNAME记录给k8s集群的其他主机来使用
这种Service既不会有ClusterIP，也不会有NodePort.而且依赖于内部的CoreDNS功能

3.4、Headless 

需求是如下两点时：
1、同时访问所有Pod
2、一个Service内部的Pod互相访问

为了解决以上问题，Kubernetes提供了另一种较为特殊的Service类型，称为Headless Service。对于其他Service来说，客户端在访问服务时，
DNS查询时只会返回Service的ClusterIP地址，具体访问到哪个Pod是由集群转发规则（IPVS或iptables）决定的。而Headless Service并不会分配单独的ClusterIP，
在进行DNS查询时会返回所有Pod的DNS记录，这样就可查询到每个Pod的IP地址。StatefulSet中StatefulSet正是使用Headless Service解决Pod间互相访问的问题。

实践的话，参考小节：https://www.cnblogs.com/ygbh/p/17246974.html#_label5