Submariner项目在OCP 4.18环境下的TCP连通性故障分析与解决方案
背景
Submariner是一个开源的Kubernetes网络插件,用于实现跨集群的网络连通性。在最新测试中发现,当运行在OpenShift Container Platform (OCP) 4.18环境中时,Submariner的TCP连通性测试会出现失败情况。这个问题既出现在全局网络(Globalnet)模式下,也出现在非全局网络模式下。
问题现象
当在两个集群间部署Submariner(至少一个集群运行OCP 4.18)并执行连通性验证时,测试会失败。具体表现为:
- 监听端Pod能够接收到连接请求
- 数据能够从连接端Pod传输到监听端Pod
- 但监听端输出的日志中无法识别连接端Pod的全局IP地址
技术分析
数据流路径
在Submariner的网络架构中,数据包传输路径可分为以下几个关键段:
- 源Pod → Submariner出口网关
- Submariner出口网关 → IPSec隧道 → OVN-Kubernetes入口网关
- OVN-Kubernetes入口网关 → 目标Pod
问题根源
经过深入分析,发现问题出在OCP 4.18中OVN-Kubernetes的网络包处理机制发生了变化:
-
SNAT行为变化:在入口段(OVN-K入口 → 目标Pod),OVN-Kubernetes会对源IP执行SNAT,将其转换为CNI接口IP
-
防火墙规则变更:OCP 4.18中OVN-Kubernetes开始使用nftables替代iptables作为包过滤机制。虽然Submariner配置了iptables规则来允许这种流量,但nftables的SNAT规则仍然会生效
-
IP保留失效:Submariner原本的设计意图是保留源IP(可用于多集群网络策略),但由于上述SNAT行为,导致源IP信息丢失
解决方案
短期方案
- 修改Submariner的测试验证逻辑,使其能够识别和处理经过SNAT后的IP地址
- 在OVN-Kubernetes配置中添加例外规则,避免对Submariner流量执行SNAT
长期方案
- 与OVN-Kubernetes社区合作,提供更细粒度的SNAT控制机制
- 增强Submariner对nftables的支持,确保规则能够正确应用
- 考虑实现端到端的IP保留机制,不依赖底层CNI的默认行为
影响评估
该问题主要影响以下场景:
- 需要精确识别源IP的多集群应用
- 依赖IP白名单的安全策略
- 网络流量审计和监控功能
对于大多数仅需基本连通性的应用场景,虽然测试会失败,但实际通信仍然可以正常工作。
最佳实践建议
对于使用OCP 4.18及更高版本的用户:
- 在部署Submariner前,确认OVN-Kubernetes的版本和配置
- 如果不需要源IP保留功能,可以接受当前的SNAT行为
- 关注Submariner的版本更新,及时应用相关修复
总结
Submariner在OCP 4.18环境下遇到的TCP连通性问题,本质上是由于底层网络组件行为变更导致的兼容性问题。通过深入理解数据流路径和包处理机制,可以找到有效的解决方案。这个问题也提醒我们,在多集群网络方案中,需要更加关注底层平台的变化可能带来的影响。
PaddleOCR-VL
PaddleOCR-VL 是一款顶尖且资源高效的文档解析专用模型。其核心组件为 PaddleOCR-VL-0.9B,这是一款精简却功能强大的视觉语言模型(VLM)。该模型融合了 NaViT 风格的动态分辨率视觉编码器与 ERNIE-4.5-0.3B 语言模型,可实现精准的元素识别。Python00- DDeepSeek-V3.2-ExpDeepSeek-V3.2-Exp是DeepSeek推出的实验性模型,基于V3.1-Terminus架构,创新引入DeepSeek Sparse Attention稀疏注意力机制,在保持模型输出质量的同时,大幅提升长文本场景下的训练与推理效率。该模型在MMLU-Pro、GPQA-Diamond等多领域公开基准测试中表现与V3.1-Terminus相当,支持HuggingFace、SGLang、vLLM等多种本地运行方式,开源内核设计便于研究,采用MIT许可证。【此简介由AI生成】Python00
openPangu-Ultra-MoE-718B-V1.1
昇腾原生的开源盘古 Ultra-MoE-718B-V1.1 语言模型Python00ops-transformer
本项目是CANN提供的transformer类大模型算子库,实现网络在NPU上加速计算。C++0135AI内容魔方
AI内容专区,汇集全球AI开源项目,集结模块、可组合的内容,致力于分享、交流。03Spark-Chemistry-X1-13B
科大讯飞星火化学-X1-13B (iFLYTEK Spark Chemistry-X1-13B) 是一款专为化学领域优化的大语言模型。它由星火-X1 (Spark-X1) 基础模型微调而来,在化学知识问答、分子性质预测、化学名称转换和科学推理方面展现出强大的能力,同时保持了强大的通用语言理解与生成能力。Python00Spark-Scilit-X1-13B
FLYTEK Spark Scilit-X1-13B is based on the latest generation of iFLYTEK Foundation Model, and has been trained on multiple core tasks derived from scientific literature. As a large language model tailored for academic research scenarios, it has shown excellent performance in Paper Assisted Reading, Academic Translation, English Polishing, and Review Generation, aiming to provide efficient and accurate intelligent assistance for researchers, faculty members, and students.Python00GOT-OCR-2.0-hf
阶跃星辰StepFun推出的GOT-OCR-2.0-hf是一款强大的多语言OCR开源模型,支持从普通文档到复杂场景的文字识别。它能精准处理表格、图表、数学公式、几何图形甚至乐谱等特殊内容,输出结果可通过第三方工具渲染成多种格式。模型支持1024×1024高分辨率输入,具备多页批量处理、动态分块识别和交互式区域选择等创新功能,用户可通过坐标或颜色指定识别区域。基于Apache 2.0协议开源,提供Hugging Face演示和完整代码,适用于学术研究到工业应用的广泛场景,为OCR领域带来突破性解决方案。00- HHowToCook程序员在家做饭方法指南。Programmer's guide about how to cook at home (Chinese only).Dockerfile011
- PpathwayPathway is an open framework for high-throughput and low-latency real-time data processing.Python00
最新内容推荐
项目优选









