RKE2双栈集群中Flannel网络策略对IPv6支持不足的问题分析

问题背景

在Kubernetes集群网络管理中，RKE2作为Rancher推出的轻量级Kubernetes发行版，默认使用Flannel作为CNI插件。当集群配置为双栈（IPv4/IPv6）模式运行时，网络策略的实现需要同时处理两种IP协议族的流量。

问题现象

在双栈配置的RKE2集群中（同时配置了IPv4和IPv6的Cluster CIDR及Service CIDR），节点会同时获得IPv4和IPv6的Pod CIDR分配。然而，系统自动生成的rke2-flannel-host-networking网络策略仅包含对IPv4地址的放行规则，而忽略了IPv6地址的相应配置。

技术细节分析

1. CIDR分配机制：在双栈集群中，每个节点会获得两组CIDR分配，例如：

   • IPv4 PodCIDR: 10.42.1.0/24
   • IPv6 PodCIDRs: fd00:42:0:1::/64

2. 网络策略缺陷：自动生成的网络策略仅包含类似以下的IPv4规则：

   IPBlock:
     CIDR: 10.42.0.0/32
   

   而缺少对应的IPv6地址段放行规则。

3. 影响范围：这一问题主要影响以下场景：

   • 使用IPv6 External IP（如MetalLB分配的负载均衡IP）
   • 节点间IPv6流量通信
   • 双栈服务中的IPv6端点访问

解决方案

该问题已在代码库中得到修复，主要改进包括：

1. 双栈规则生成：网络策略控制器现在会同时处理IPv4和IPv6的CIDR分配，生成对应的放行规则。

2. 兼容性保证：确保修改后的策略不影响现有IPv4流量的正常转发。

3. 测试验证：在双栈环境中验证IPv6流量的端到端连通性，特别是通过外部负载均衡器访问服务的情况。

最佳实践建议

对于使用RKE2双栈集群的用户，建议：

1. 版本选择：确保使用已修复该问题的RKE2版本。

2. 配置检查：部署后验证网络策略是否包含IPv6规则。

3. 监控机制：建立对双栈流量的监控，确保两种协议族的通信都正常。

4. 升级策略：从单栈升级到双栈时，注意检查网络策略的兼容性。

总结

网络策略对双栈环境的完整支持是Kubernetes集群基础网络功能的重要保障。RKE2对此问题的修复体现了对现代网络环境的适应能力，为用户提供了更完善的IPv4/IPv6双栈支持。运维人员在部署双栈集群时，应当特别关注网络策略的完整性，以确保集群网络的全面连通性。