4. 容器网络基础：CNI插件、Pod网络模型与DNS映射

容器网络是Kubernetes集群的神经中枢，它决定了Pod如何通信、Service如何负载均衡、以及CoreDNS如何将服务名解析为可访问的IP地址。本章深入剖析CNI插件（Calico/Flannel/Weave）的实现原理、Pod网络模型的核心机制，以及Service与Endpoint的DNS映射关系，为后续的CoreDNS治理和网络运维打下坚实基础。

4.1 CNI插件：容器网络的基石

CNI（Container Network Interface）是Kubernetes与容器运行时之间的网络配置标准。每个CNI插件负责为Pod分配IP地址、配置网络接口、以及实现网络策略。生产环境中，Calico、Flannel和Weave是最主流的三种选择。

4.2 Pod网络模型：IP-per-Pod与通信路径

Kubernetes采用“IP-per-Pod”模型，即每个Pod拥有独立的IP地址，Pod内的所有容器共享该IP和网络命名空间。这种模型简化了端口映射和通信逻辑，但要求CNI插件必须解决跨节点Pod的连通性问题。

4.3 Service与Endpoint的DNS映射关系

Service是Kubernetes中访问Pod的抽象层，它通过标签选择器动态关联一组Pod（Endpoint）。CoreDNS负责将Service名称解析为Cluster IP，而Cluster IP再通过iptables/IPVS规则转发到后端Pod IP。理解这个映射链是CoreDNS治理的核心。

4.3.1 映射链路全景

4.3.2 DNS记录类型与解析行为

4.4 实战：CoreDNS与CNI插件的协同工作

在真实集群中，CoreDNS的Pod本身也运行在CNI插件管理的网络之上。CoreDNS需要能够访问kube-apiserver获取Service和Endpoint信息，同时需要监听集群DNS查询流量。以下是一个典型的CoreDNS部署配置片段：

apiVersion: v1
kind: ConfigMap
metadata:
  name: coredns
  namespace: kube-system
data:
  Corefile: |
    .:53 {
        errors
        health {
            lameduck 5s
        }
        ready
        kubernetes cluster.local in-addr.arpa ip6.arpa {
            pods insecure
            fallthrough in-addr.arpa ip6.arpa
            ttl 30
        }
        prometheus :9153
        forward . /etc/resolv.conf {
            max_concurrent 1000
        }
        cache 30
        loop
        reload
        loadbalance
    }
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: coredns
  namespace: kube-system
spec:
  replicas: 2
  selector:
    matchLabels:
      k8s-app: kube-dns
  template:
    metadata:
      labels:
        k8s-app: kube-dns
    spec:
      containers:
      - name: coredns
        image: coredns/coredns:1.11.1
        args: [ "-conf", "/etc/coredns/Corefile" ]
        ports:
        - containerPort: 53
          name: dns
          protocol: UDP
        - containerPort: 53
          name: dns-tcp
          protocol: TCP
        - containerPort: 9153
          name: metrics
          protocol: TCP
        livenessProbe:
          httpGet:
            path: /health
            port: 8080
            scheme: HTTP
          initialDelaySeconds: 60
          timeoutSeconds: 5
        readinessProbe:
          httpGet:
            path: /ready
            port: 8181
            scheme: HTTP
          initialDelaySeconds: 30
          timeoutSeconds: 5

4.5 网络排查常用命令

• 检查Pod网络连通性： kubectl exec -it <pod> -- ping <target-ip>
• 查看CNI插件状态： kubectl get pods -n kube-system | grep calico 或 kubectl get pods -n kube-system | grep flannel
• 验证DNS解析： kubectl exec -it <pod> -- nslookup kubernetes.default.svc.cluster.local
• 查看Endpoint变化： kubectl get endpointslices -n <namespace> -o yaml
• 追踪数据包路径： kubectl exec -it <pod> -- traceroute <target-ip>