RKE2中Flannel网络策略对IPv6节点IP的支持问题解析

在Kubernetes集群的网络管理中，网络策略(NetworkPolicy)是控制Pod间通信的重要机制。RKE2作为Rancher推出的轻量级Kubernetes发行版，其内置的Flannel CNI插件在特定配置下会出现对IPv6节点IP支持不足的问题，本文将深入分析这一技术问题及其解决方案。

问题背景

当RKE2集群配置为使用CIS安全基准(profile: cis)和Canal网络插件(cni: canal)时，系统会自动创建名为"rke2-flannel-host-networking"的网络策略。该策略原本设计用于控制节点间的网络通信，但在v1.32.4版本中存在一个关键缺陷：它只能正确处理IPv4地址，而忽略了IPv6地址的配置。

技术细节分析

在双栈(IPv4/IPv6)环境中，RKE2集群需要同时处理两种IP地址族的网络通信。网络策略通过IPBlock规则来定义允许通信的IP范围。问题版本中，自动生成的网络策略仅包含IPv4 CIDR块(如10.42.0.0/32)，而完全遗漏了IPv6 CIDR块(如fd00:42::/56)。

这种缺失会导致以下问题：

1. IPv6节点间的Flannel通信可能被错误阻断
2. 双栈环境下的网络连通性不一致
3. 可能影响集群节点发现和服务发现功能

解决方案验证

该问题在v1.32.5+dev.31925da8版本中得到修复。验证过程显示，修复后的版本能够正确生成包含双栈CIDR的网络策略：

Spec:
  PodSelector: <none>
  Allowing ingress traffic:
    From:
      IPBlock:
        CIDR: 10.42.0.0/32
    From:
      IPBlock:
        CIDR: 10.42.1.0/32
    From:
      IPBlock:
        CIDR: fd00:42:0:1::/128
    From:
      IPBlock:
        CIDR: fd00:42::/128

配置建议

对于需要部署双栈网络的用户，建议采用以下配置：

1. 明确指定双栈CIDR范围：

cluster-cidr: 10.42.0.0/16,fd00:42::/56
service-cidr: 10.43.0.0/16,fd00:43::/112

2. 正确配置节点IP地址：

node-ip: <private-ipv4>,<ipv6>
node-external-ip: <public-ipv4>,<ipv6>

3. 确保kubelet能够识别双栈地址：

kubelet-arg:
 - node-ip=0.0.0.0

总结

网络策略对双栈环境的完整支持是构建现代化Kubernetes集群的基础要求。RKE2通过这一修复确保了在CIS安全配置下Flannel网络插件能够正确处理IPv6通信，为混合云和IPv6过渡环境提供了更好的兼容性。用户升级到修复版本后，可以放心地在双栈环境中部署关键业务应用。