银行的容器网络如何规划？

在金融实践中，我们经常遇到此类话题，这也是每一个金融客户都绕不开的话题。 在演讲中，我也提到了关于平台化思维和条线式思维的矛盾，这个矛盾在银行业是特别突出的。

我提几个比较落地的建议：

1. underlay和overlay一起搞：目前容器网络两个基本技术思路是overlay和underlay，overlay是建设虚拟网络，容器采用虚拟IP；underlay是复用下层物理网络，容器像虚拟机一样使用下层网络。从某种意义上说，overlay是平台化思维的产物，underlay是条线式管理思维的产物。某些银行可以允许大规模overlay，个别场景采用underlay（例如多播、运管功能等），这样两个一起搞，同时兼顾。另外还有些银行目前基本没有overlay的空间，更多采用underlay管理；而还有些银行在虚拟化上建设容器平台，underlay不能用（underlay可能会和iaas网络有冲突），导致只能用overlay。鉴于这些情况，我的建议是两个都上，不同的集群采用不同的方案，甚至通过多网卡同时采用underlay和overlay。即便仅有一种需求，也两种方案都规划到位，保证未来拓展的可能性。
2. 可以参考IaaS的网络建设思维：IaaS典型的网络思维是三网分离、四网分离，容器网络目前规划中，以前不太考虑这种方案，这是因为以前更多是IaaS负责基础设施网络，但是如果一旦在裸金属上部署容器平台，那么IaaS原来遇到的问题，今天容器平台也会遇到。
3. 容器网络与外部网络通信管控：通过统一的接入点（ingress、egress）管控容器内网的网络互访，加强到“稳态”和“敏态”之间的安全交互
4. networkpolicy管理：如果有可能，更多采用networkpolicy为每个应用设置安全管控策略，这也是更“云原生”的一种做法。

最后，容器网络是金融客户非常关注的话题，灵雀云的Kube-OVN网络方案已经开源，应该是目前业界比较活跃的方案，有兴趣可以尝试一下。

1、容器云有多个集群，其中高并发高性能集群中宿主机上，使用传统网络，容器网络使用ovs。
2、高容量高扩展性的集群，宿主机上采用IaaS的基于VPC隔离的SDN网络，容器网络使用CNI组件，直接offload到宿主机网络上。

容器网络规划前，我们需要明白容器网络常见的模式。
1、underlay网络，实现集群内外直通，网络性能损耗低，约在3%左右。缺点，占用大量内网IP地址。
2、overlay网络，采用类似Vxlan方式对网络数据做了加密解密工作，可以实现集群内外是不同网段。如，集群内使用192.168.0.0/16，集群外使用172.10.0.0/16。网络性能损耗较高，约20%左右。

我们明白两种不同网络方案的特点，根据自己的实际情况可以去选择适合的网络方案。

容器的网络安全，一般都是用networkpolicy来实现网络隔离。有些商业产品会进一步做些能力提升，实现基于应用或租户维度的网络隔离能力，并且可以界面化操作，这样运维起来就比较友好。