DNAT��IPP��oI�X iptables -t nat -A PREROUTING -d 1.2.3.4/32 --dport 80 -j DNAT --to-destination 10.20.30.40:8080 • IptablesU����R�� Ø statistic�S����o���� iptables -t nat -A PREROUTING -d 1.2.3.4 --dport 25 -j DNAT --to-destination 10.20.30.40:8080 • IptablesU����>�� Ø recent�S����>��� iptables -t nat –A FOO -m recent --rcheck --seconds 3600 --reap --name BAR -j BAR Iptables�Kubernetes������ ��)�)��� Tunneling, NAT Ø DR�����L2������������ Ø Tunneling���IP���IP��������� Ø DR�Tunneling�����������IPVS Director Ø NAT���������������IPVS Director - �������� DNAT���SNAT DR Tunneling NAT IPVS�����

For every availability zone # - 1 Utility/Public subnet # - 1 NGW for the private subnet to NAT to # - 1 Route Table Association to the Main Route Table # - 1 Private subnet (to hold the # Utility Subnet # # This is the public subnet that will hold the route to the # gateway, the NAT gateway # --------------------------------------------------------------- subnet/utility-{{ $zone For every availability zone # - 1 Utility/Public subnet # - 1 NGW for the private subnet to NAT to # - 1 Route Table Association to the Main Route Table # - 1 Private subnet (to hold the

Viking agent Pod Container Container Containerd 用户VPC SLB NAS ECS RDS OSS SLS NAT Gateway Container Registry Private Zone ENI Pod 使用场景 Use cases • Multimedia processing

21007 7231 0 5000 10000 15000 20000 25000 TCP_RR(64) TCP_CRR(64) Underlay方案性能 Host Bridge NAT IPIP+Gateway混合Overlay方案 •短链接IPIP包量比Vxlan多14.1% •Gateway比Vxlan多40.5% •方案被Flannel社区合并 Underlay方案 •

POSTROUTING 鏈 POSTROUTING 鏈 INPUT 鏈 OUTPUT 鏈 OUTPUT 鏈 FORW/ARD 鏈 FORW/ARD 鏈 INPUT 鏈 filter 表 nat 表 mangle 表 raw 表 OUTPUT 鏈 Iptables 防火牆預設的規則表、鏈結構 第一條規則 第二條規則 第三條規則 圖 2.23 四種掛接點的規則表 當 Linux

案例：企业级云容器服务，助力上海蓝鲸传媒容器化上云，提高SLA，降低人力成本 WEB 服务 媒资 APP CCE 云容器引擎集群 媒资 APP Redis服务 RDS服务 Mongo服务 User NAT 网关 internet ELB 负载均衡 客户问题： •自建 kubernetes技术门槛高，无法满足业务SLA要求 •原生版本产品化能力弱，系统集成问题多（网络、存储， 监控等），解决成本高

装⼀系列从VIP重定向到per- Service 的iptables规则。 per- Service 的规则链接到per- Endpoint 规则， per- Endpoint 规则会重定向（⽬标NAT）到后端。 当客户端连接到VIP时，iptables规则就会起作⽤。选择⼀个后端（基于会话亲和性或随机），并将数据包重定向到后 端。与userspace proxy不同，数据包不会复制到user