速度、规模与安全：F5现可连接Kubernetes中的容器

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

容器并非一时风潮，也不是阶段性趋势。与其前身虚拟化相比，容器的采用速度实际上相当快。不到两年，我们已经看到业界开始关注在容器中部署应用服务，这通常表明已投入生产的应用需要提升可扩展性、安全性和速度，以满足当今用户对应用体验的高期望。

值得注意的是，容器正在与其管理和编排框架同步走向成熟。虚拟化并非如此，但虚拟化毕竟早于云出现。云的兴起推动其他敏捷技术采用API和模板，从而将云环境中的自动化和编排能力应用于虚拟基础设施。如今，容器和虚拟化（可以说是同源技术）通常都会与编排框架一同部署，由该框架协调资源调配、扩缩容，甚至协调其他应用和服务之间的流量路由（东西向流量）。

尽管在这些框架各自的作用域内，这些机制可以很好地实现局部扩缩容和路由，但实际上，这些应用和服务是更大体系的一部分。该体系包含一个更全面的“应用”，需要与用户交互（南北向流量）。Portworx于2016年末开展的一项调查发现，计划进行容器化的工作负载中，“Web前端”的受欢迎程度位居第二，48%的受访者选择了这一项。

这几乎可以确定，在用户与由容器化环境中部署的服务所组成的“应用”之间，存在一项上游服务（也可以称为设备），用于提供扩展能力、安全性和速度。

这意味着，容器编排框架与该上游设备或服务之间必须始终保持协调。

这时就需要 F5 Container Connectors。 首次发布 Container Connectors 时，我们对 Mesos 的支持已进入最后完善阶段。现在，我们也很高兴地推出对 Kubernetes 的支持。

F5 Container Connector

F5 Container Connector提供所需的集成能力，打通南北向流量转为东西向流量后的最后一段内部链路。在此，上游（从Kubernetes所在位置来看）的BIG-IP会将请求转交给适当的本地代理（例如，可以是我们的Application Services Proxy；对于Kubernetes，则可以是Kube-Proxy）或Pod进行处理。

然后，它会等待响应，并执行分配给它的任务，例如数据清理（防止数据泄露）和图像优化（提升性能），再将响应发回用户。

关键组件是Container Connector，它位于Kubernetes集群中，并像其他组件一样订阅事件。当检测到相应事件时，它会根据相关详细信息，动态配置或修改上游（BIG-IP）的现有配置。这可能是通过向集群或池中添加新成员来扩容，也可能是通过移除这些成员来缩容。

最重要的是，这一过程已实现集成并可自动完成，因此能够在南北向入口和出口一致地应用安全策略，而不会进一步增加容器化环境的复杂性。它还提供了统一管理和维护证书的位置，有助于使用SSL/TLS保护应用（及API）与用户之间的流量。这也避免了给容器化环境增加额外的运维复杂性，而这正是引入容器及相关应用架构时常见的问题。

F5 Container Connectors能够在生产环境中自动配置和管理容器化应用所需的应用服务，无需大幅改造开发和测试阶段已有的环境（您确实测试过了，对吧？）。这有助于实现顺畅部署，并保留对当今容器化应用至关重要的可移植性。

F5致力于确保应用所需的交付和安全服务可用于各种环境，无论是容器、虚拟机、任意云环境还是传统环境。同时，我们也致力于尽可能简化这些服务的配置和管理，减少操作负担。这意味着解决方案需要适配各种架构。

为支持DevOps工具链，我们已免费提供Container Connectors和F5版本的kube-proxy，获取地址为https://hub.docker.com/r/f5networks/；Kubernetes控制器的开源版本可从F5的Git代码仓库获取：https://github.com/F5Networks/k8s-bigip-ctlr

关于作者

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。

Lori Mac Vittie 的更多博客文章