Kubernetes网络插件选型一直是容器化部署的难题。在Tanzu环境下，Antrea是VMware官方推荐的容器网络解决方案，专注于企业级Kubernetes集群的网络、安全和可观测性。Antrea 1.9版本在性能、安全和可观测性方面都有显著提升。这篇详细介绍Antrea的核心功能、Antrea与Tanzu的集成方式，以及从入门到实战的内容。
VMware Container Networking with Antrea官方离线资源包
Antrea是什么
1. Antrea是VMware主导的Kubernetes网络插件，基于Open vSwitch（OVS）实现，提供高性能的容器网络连接。
2. 支持Kubernetes CNI标准接口，可直接替换Flannel、Calico等插件，与Tanzu Kubernetes Grid无缝集成。
3. 原生支持NetworkPolicy资源，可实现精细化的容器间流量控制和网络分段隔离。
4. 集成了Prometheus和Grafana，可直接对接企业现有的监控体系，无需额外部署监控组件。
5. 支持Windows节点，适用于需要运行Windows容器的混合Kubernetes集群场景。
核心功能解析
1. 网络策略（NetworkPolicy）：Antrea实现了Kubernetes NetworkPolicy规范，支持基于标签和命名空间的访问控制。
2. 流量镜像：支持SPAN/RSPAN/ERSPAN协议，可将容器流量镜像到分析工具进行深度检测。
3. 身份感知策略（Antrea原生）：在标准NetworkPolicy基础上增加了基于K8s ServiceAccount的策略控制。
4. Egress网关：支持SNAT和固定出口IP，便于企业实现出口流量的审计和管控。
5. Multi-cluster：Antrea Federation支持跨集群网络连接，适用于多数据中心或混合云场景。
Tanzu集成实战
1. Tanzu Kubernetes Grid（TKG）部署时可选择Antrea作为CNI，无需手工安装。
2. 部署完成后Antrea Agent以Daemonset形式运行在每个节点上，控制器以Deployment运行。
3. 配置文件位于/etc/antrea/antrea.conf，修改配置后需要重启Antrea Agent Pod生效。
4. 查看Antrea状态：kubectl get pod -n kube-system -l app=antrea
5. TKG管理界面可直接查看Antrea网络拓扑和流量统计信息。
适用场景
1. 企业内部Kubernetes平台：需要网络隔离和安全审计，Antrea的NetworkPolicy满足微分段需求。
2. 多租户Kubernetes集群：不同租户的命名空间之间需要网络隔离，Antrea原生支持多租户策略。
3. 混合云容器平台：统一管理vSphere环境和公有云上的Kubernetes集群网络。
4. 需要深度包检测的场景：配合流量镜像和外部分析工具，可实现应用层安全分析。
5. 对网络性能敏感的生产环境：OVS数据平面性能优异，单跳转发延迟可控制在微秒级。
部署注意事项
1. 底层网络要求：vSphere分布式交换机需启用Jumbo Frame（MTU 9000）以优化Antrea传输性能。
2. 节点准备：所有Kubernetes节点需预先安装Open vSwitch，Antrea Agent会调用ovs-vsctl命令。
3. 与NSX-T冲突：已部署NSX-T的环境下不要叠加使用Antrea，两者网络插件会产生冲突。
4. 版本匹配：Tanzu Kubernetes Grid 1.5以上版本推荐使用Antrea 1.9或更高版本。
5. 日志级别调整：生产环境建议将Antrea日志级别设为info，debug模式会产生大量日志影响性能。
用户评论