CNDT2021、HPEのアーキテクトが解説するKubernetesネットワークの最新情報

CloudNative Days Tokyo 2021から、ヒューレットパッカードエンタープライズのアーキテクトが解説するKubernetesのネットワークアーキテクチャーと最新情報に関するセッションを紹介する。「Kubernetesネットワーキング初級者脱出ガイド -基本から最新動向まで」と題されたセッションは40分を使ってDockerとKubernetesのネットワークの違い、Kubernetesにおけるネットワークの概要、kube-proxyの性能劣化に関する議論、CNIの解説などを最新のアップデートを含め紹介する内容だ。

動画：Kubernetesネットワーキング初級者脱出ガイド -基本から最新動向まで-

セッションを行う太田航平氏

以後は、公開されているスライドから抜粋して紹介する。

スライド：Kubernetesネットワーキング初級者脱出ガイド -基本から最新動向まで-

40分の枠を使って解説されたのは、以下の内容だ。

セッションのアジェンダ

まずコンテナの代表格であるDockerのネットワークについて解説を行った。

Dockerのネットワークを解説

このスライドではNGINXのWebサーバー、PHPとMySQLのバックエンドという構成のアプリケーションを例に挙げて解説している。

Dockerネットワークの特徴を解説

そしてDockerにおけるネットワーク機能を解説し、それがKubernetesとどう違うのか？ をkubectlの出力例を交えて解説した。太田氏はKubernetesには3つの側面があるとして、その中から分散システムとしてのKubernetesの構造を説明した。

Kubernetesのネットワークを3つの層で解説

次のスライドではノードを繋ぐネットワーク、サービスを繋ぐネットワーク、Podを繋ぐネットワークに障害が発生してノードがダウンした場合でも、アプリケーション自体が他のノードで起動されるKubernetesの特徴的なオーバーレイネットワークの仕組みを解説した。

Kubernetesのネットワークを解説

より具体的な仕組みとして、ロードバランサーとサービスを繋ぐkube-proxyについて解説を行った。

ロードバランサー経由でトラフィックが転送される仕組みを解説

さらにCNI（Container Network Interface）についても解説を行い、Kubernetesのネットワークがプラグインの形で実装されていることを紹介した。

CNIの概要を説明

CNIはプラグインなので実際にはさまざまな実装例があるとして、Flannel、Calico、Ciliumなどを紹介。Ciliumは2021年10月にCNCFのインキュベーションプロジェクトとして採用されたeBPFをベースにしたネットワークソフトウェアだ。

さまざまなCNIを紹介

またkube-proxyに関する議論として、サービスの数が2500を超えた辺りから性能が劣化することを紹介した。機能を紹介することに留まらず、コミュニティの中で何が議論されているのかを垣間見せた形になった。

iptablesベースのkube-proxyではサービス数増加に従って性能が劣化する

次のスライドでkube-proxyの代替案として、eBPFをベースにしたCalicoやCiliumを紹介した。

kube-proxyの代替案を説明

続いてKubernetesにおける各モジュールの動きを解説した。ネットワークトラフィックがどのように動いているのかを知ることで、Kubernetesに最適なロードバランシング機能について説明を行っている。

Kubernetesのモジュールを説明

etcdが分散KVSとしてクラスターの状態データを保存し、kubectlから与えられたあるべき姿と現状のクラスターの実態との違いを同じにするためにAPI Server、スケジューラー、コントローラーが動くというKubernetesの実行原理を解説している。

AWSの例を使ってトラフィックがどのようにたどるのかを説明

ここではロードバランサーからPodにトラフィックが流れる際にオーバーヘッドが発生していることを解説し、コンテナネイティブなロードバランシングについて解説。その実装についてAWS、GKEを例にとって解説した。

コンテナネイティブなネットワークについて解説

すでにAWSやGKEでは実装例があるが、オンプレミスのクラスターにおける実装については、技術的には可能だろうが、現実に実装されていないことを解説した。

AWSでの実装を解説

続いてGateway APIの解説に移り、Gateway APIが産まれた経緯や概要などを紹介。現在のIngressだけでは不足であるとして、SIG-Networkの中で議論されていることを解説し、Ingressの代替としてその動向を注目しておくべきだと語った。

Gateway APIの概要

最後にまとめとして、Kubernetesの開発においてアプリケーション側、インフラストラクチャー側それぞれが責任範囲の分離を目指して開発が行われていること、そのための活動がSIGを中心に行われていることを説明して、セッションを終わった。

セッションのまとめ

Kubernetesのネットワークの概要の基礎的な部分から技術的にボトルネックとなりそうな部分に注目して解説を行い、最新情報を踏まえつつ、今後の動向についても解説するという「初級者脱出」のためのきっかけを与えるような内容となっている。実際にはこのセッションで得た知見を出発点にして、自身でより深い内容に踏み込んでいくことを薦めるCNCFのアンバサダーらしいセッションとなった。