CN116016448A

CN116016448A - 一种服务网络访问方法、装置、设备及存储介质

Info

Publication number: CN116016448A
Application number: CN202211543529.9A
Authority: CN
Inventors: 段智帏; 李菲
Original assignee: Shanghai Pudong Development Bank Co Ltd
Current assignee: Shanghai Pudong Development Bank Co Ltd
Priority date: 2022-11-30
Filing date: 2022-11-30
Publication date: 2023-04-25

Abstract

本发明公开了一种服务网络访问方法、装置、设备及存储介质。该方法包括：根据第一数据包流量的目的地址查询路由表，得到下一跳地址；若所述下一跳地址非本地地址，则查询邻接表，得到网络设备的IP地址对应的宿主机中部署的网络设备的MAC地址；将宿主机中部署的网络设备的MAC地址和容器中部署的网络设备的MAC地址添加至第一数据包流量中，得到第二数据包流量；根据第二数据包流量的源地址和目的地址确定第二数据包流量对应的后端容器的IP地址；根据后端容器的IP地址将第二数据包流量发送至后端容器，通过本发明的技术方案，能够避免底层网络IP资源的浪费。

Description

一种服务网络访问方法、装置、设备及存储介质

技术领域

本发明实施例涉及计算机技术领域，尤其涉及一种服务网络访问方法、装置、设备及存储介质。

背景技术

服务网络指的是pod与service之间的访问，kubernetes为了解决pod自动扩缩以及在pod ip动态变化时能够对外提供一个统一的服务访问方式的问题，提出了service的概念，它是一个抽象的概念，主要实现方式是通过一个虚拟ip的形式，映射出来指定的端口，通过代理客户端发来的请求转发到后端一组Pod(endpoint)中的一台，是集群内负载均衡的一种实现方式。

当前服务网络之间的通信多是基于kernel协议栈的L3包过滤技术Netfilter框架实现，在k8s中具体通过kube-proxy组件来完成service的通信，kube-proxy主要有两种模式：1.8版本之前的是iptables模式，1.8开始引入ipvs模式，无论是ipvs还是iptables，本质都是基于Netfilter框架。

基于kernel协议栈的L3包过滤技术Netfilter框架实现的方案，需要要求pod网络在进行通信时需要经过宿主机的L3协议栈。Macvlan网络使用了linux内核技术，在网络性能方便更加接近裸机，适合一些需要高性能的业务场景。但是macvlan的容器网络，容器中的流量不经过kernel协议栈的L3层，容器与宿主机无法通信，没有办法通过ipvs/iptables技术去实现pod到service之间的通信。因此业界以macvlan的特性：macvlan子接口之间可以互通，在宿主机的作为容器网卡的父网卡上创建macvlan子接口，通过在容器内部添加要访问service的流量，它的下一跳网关地址为宿主机上的macvlan子接口的地址来实现容器与宿主机的通信。

对于用macvlan子接口来实现service通信的方案能够满足以macvlan作为pod网络的服务网络的访问问题。但是上述方案需要在每个vlan子接口上面都需要创建一个macvlan子接口，并且都要分配一个ip地址。Macvlan网络作为大二层的网络，如果结合集中化的分配方式的IPAM，即集群中的所有节点都在相同的大二层网络，容器ip地址与宿主机没有强绑定关系，每一个节点都拥有相同的vlan，集群节点个数为N，vlan个数为M，每增加一个vlan，都会多N个ip地址分配给macvlan子接口，每增加一个节点，都会多M个ip地址分配给macvlan子接口，需要消耗大量的service流量和底层网络ip资源，进而导致service流量和底层网络ip资源的浪费。

发明内容

本发明实施例提供一种服务网络访问方法、装置、设备及存储介质，以解决基于kernel协议栈的L3包过滤技术Netfilter框架无法满足macvlan网络的服务网络访问的问题，能够避免底层网络IP资源的浪费。

根据本发明的一方面，提供了一种服务网络访问方法，包括：

根据第一数据包流量的目的地址查询路由表，得到下一跳地址；

若所述下一跳地址非本地地址，则查询邻接表，得到网络设备的IP地址对应的宿主机中部署的网络设备的MAC地址；

将宿主机中部署的网络设备的MAC地址和容器中部署的网络设备的MAC地址添加至第一数据包流量中，得到第二数据包流量；

根据第二数据包流量的源地址和目的地址确定第二数据包流量对应的后端容器的IP地址；

根据后端容器的IP地址将第二数据包流量发送至后端容器。

根据本发明的另一方面，提供了一种服务网络访问装置，该服务网络访问装置包括：

第一查询模块，用于根据第一数据包流量的目的地址查询路由表，得到下一跳地址；

第二查询模块，用于若所述下一跳地址非本地地址，则查询邻接表，得到网络设备的IP地址对应的宿主机中部署的网络设备的MAC地址；

添加模块，用于将宿主机中部署的网络设备的MAC地址和容器中部署的网络设备的MAC地址添加至第一数据包流量中，得到第二数据包流量；

确定模块，用于根据第二数据包流量的源地址和目的地址确定第二数据包流量对应的后端容器的IP地址；

发送模块，用于根据后端容器的IP地址将第二数据包流量发送至后端容器。

根据本发明的另一方面，提供了一种电子设备，所述电子设备包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行本发明任一实施例所述的服务网络访问方法。

根据本发明的另一方面，提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现本发明任一实施例所述的服务网络访问方法。

本发明实施例通过根据第一数据包流量的目的地址查询路由表，得到下一跳地址；若所述下一跳地址非本地地址，则查询邻接表，得到网络设备的IP地址对应的宿主机中部署的网络设备的MAC地址；将宿主机中部署的网络设备的MAC地址和容器中部署的网络设备的MAC地址添加至第一数据包流量中，得到第二数据包流量；根据第二数据包流量的源地址和目的地址确定第二数据包流量对应的后端容器的IP地址；根据后端容器的IP地址将第二数据包流量发送至后端容器，解决了基于kernel协议栈的L3包过滤技术Netfilter框架无法满足macvlan网络的服务网络访问的问题，能够避免底层网络ip资源的浪费。

应当理解，本部分所描述的内容并非旨在标识本发明的实施例的关键或重要特征，也不用于限制本发明的范围。本发明的其它特征将通过以下的说明书而变得容易理解。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本发明的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1是本发明实施例中的一种服务网络访问方法的流程图；

图2是本发明实施例中的一种K8S集群的架构图；

图3是本发明实施例中的一种服务网络访问装置的结构示意图；

图4是本发明实施例中的一种电子设备的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

可以理解的是，在使用本公开各实施例公开的技术方案之前，均应当依据相关法律法规通过恰当的方式对本公开所涉及个人信息的类型、使用范围、使用场景等告知用户并获得用户的授权。

实施例一

图1为本发明实施例提供的一种服务网络访问方法的流程图，本实施例可适用于服务网络访问的情况，该方法可以由本发明实施例中的服务网络访问装置来执行，该装置可采用软件和/或硬件的方式实现，如图1所示，该方法具体包括如下步骤：

S110，根据第一数据包流量的目的地址查询路由表，得到下一跳地址。

其中，所述路由表为容器内部路由表，例如可以是，所述路由表包括：目的地址、网关/lladdr以及设备。

在一个具体的例子中，路由表如表1所示：

表1

具体的，容器内部向service发送第一数据包流量，根据第一数据包流量的目的地址查询容器内部路由表，得到下一跳地址和下一跳设备。例如可以是，根据容器内部路由表选择下一跳地址为169.254.1.1，下一跳设备为veth1设备。

S120，若所述下一跳地址非本地地址，则查询邻接表，得到网络设备的IP地址对应的宿主机中部署的网络设备的MAC地址。

其中，所述邻接表为静态邻接表，邻接表包括：目的地址、网关/lladdr以及设备。

在一个具体的例子中，路由表如表2所示：

表2

类型	目的地址	网关/lladdr	设备
				邻接表	169.254.1.1	$veth1_peer_mac	veth1

在一个具体的例子中，由于下一跳地址为169.254.1.1，下一跳地址不是本地地址，因此会查询该地址的MAC地址，依据静态邻接表，可以查到这个地址的MAC地址是veth**的mac地址，返回给容器。

S130，将宿主机中部署的网络设备的MAC地址和容器中部署的网络设备的MAC地址添加至第一数据包流量中，得到第二数据包流量。

其中，所述第二数据包流量的IP地址没有改变，源地址为容器IP地址，目的地址为cluster_IP地址，源mac地址为veth1设备的MAC地址，目的MAC地址为veth**的MAC地址。

S140，根据第二数据包流量的源地址和目的地址确定第二数据包流量对应的后端容器的IP地址。

其中，所述第二数据包流量的源地址为容器IP地址，目的地址为cluster_IP地址。

具体的，根据第二数据包流量的源地址和目的地址确定第二数据包流量对应的后端容器的IP地址的方式可以为：若所述第二数据包流量的源地址和目的地址匹配KUBE-MARK_MASQ链，则对所述第二数据包流量进行mark标记；若mark标记后的第二数据包流量匹配INPUT链，则获取所述第二数据包流量对应的后端容器的IP地址。

S150，根据后端容器的IP地址将第二数据包流量发送至后端容器。

在一个具体的例子中，添加网络设备veth1，网关IP地址为私有IP地址169.254.1.1，同时为容器内的veth端添加邻接表，IP地址为169.254.1.1的下一跳是veth1，MAC地址为veth1对端在宿主机的网络命名空间的MAC地址。此时可以从veth1的对端接收到源地址是容器IP地址，目的地址是cluster IP的第二数据包流量。

可选的，根据第二数据包流量的源地址和目的地址确定第二数据包流量对应的后端容器的IP地址，包括：

若所述第二数据包流量的源地址和目的地址匹配KUBE-MARK_MASQ链，则对所述第二数据包流量进行mark标记；

若mark标记后的第二数据包流量匹配INPUT链，则获取所述第二数据包流量对应的后端容器的IP地址。

其中，所述KUBE-MARK_MASQ链为kube-proxy组件预先创建的。KUBE-MARK_MASQ链用于对数据包流量进行标记。

具体的，第二数据包流量进入宿主机的网络命名空间之后，进入RREROUTING链。在PREROUTING链中匹配KUBE_SERVICES中的KUBE-MARK_MASQ链，该链做了mark标记的功能，匹配ipset的KUBE-CLISTER-IP表。

需要说明的是，由于ipvs模式会在每个kubernetes节点上创建kube-ipvs0设备，且kube-ipvs0设备会将所有的cluster IP进行绑定，mark标记后的第二数据包流量会进入INPUT链中。mark标记后的第二数据包流量进入INPUT链后，由IPVS进行规则修改，主要依据负载均衡算法以及集群中维护的endpoints信息，选择一个服务后端多DNAT转换，此时链路中的源IP地址为容器IP地址，目的地址为根据负载均衡算法选择的后端容器的IP地址。

可选的，还包括：

若所述第二数据包流量匹配POSTROUTING链，则获取所述第二数据包流量对应的跳往下一跳经过的网络设备的IP地址。

需要说明的是，若容器里面的IP是虚拟IP，则导致无法根据后端容器的IP地址将第二数据包流量发送至后端容器，因此，需要对容器里面的IP进行SNAT转换。

在一个具体的例子中，接收数据包流量，其中，所述数据包流量携带容器IP地址和service IP地址；将所述数据包流量送入宿主机的网络命名空间；若所述容器IP地址和service IP地址满足KUBE-MARK_MASQ链的需求，则将所述数据包流量打上KUBE-MARK_MASQ链的mark标记；将数据包流量送入INPUT链中，得到数据包流量对应的后端容器的IP地址；将所述数据包流量的目的地址更改为后端容器的IP地址；将数据包流量送入POSTROUTING链，得到数据包流量对应的跳往下一跳经过的网络设备的IP地址；根据后端容器的IP地址将数据包流量发送后端容器。

需要说明的是，将mark标记后的第二数据包流量直接转送到POSTRUTING链中，mark标记后的第二数据包流量进入POSTROUTIONG链之后，会匹配到KUBE-POSTROUTING链中的MASQUERADE规则，做SNAT转换，源IP地址即为跳往下一跳经过的网络设备的IP地址。

可选的，在根据第一数据包流量的目的地址查找路由表，得到数据包流量对应的网络设备的IP地址之前，还包括：

创建veth pair对；

将veth pair对分别部署在容器和宿主机中。

其中，veth pair最重要的特性就是可以跨linux网络命名空间，利用此特性可以将容器ns和宿主机ns打通。创建veth pair对，并将其两端分别插入宿主机和容器的网络命名空间之内。

需要说明的是，通过创建veth pair的方式，结合在容器内部创建私有地址路由，同时给此私有地址创建静态邻接表的方式，与宿主机上的veth pair对端建立一个IP与MAC地址的映射关系，实现macvlan网络容器内部与宿主机的通信，从而实现bypass L3内核协议栈的macvlan的服务网络通信。

在一个具体的例子中，创建veth pair对；将veth pair对分别部署在容器和宿主机中；根据数据包流量携带的目的地址查找路由表，得到数据包流量对应的网络设备的IP地址；若所述网络设备的IP地址非本地地址，则查询邻接表，得到网络设备的IP地址对应的宿主机中部署的网络设备的MAC地址；将宿主机中部署的网络设备的MAC地址添加至数据包流量中；根据宿主机中部署的网络设备的MAC地址、容器中部署的网络设备的MAC地址、源IP和目的IP将数据包流量发送至后端容器。

接收vmac地址请求；

根据vmac地址请求携带的CM配置文件创建vmac设备；

将所述vmac设备的创建信息写入vmac配置文件中；

根据CNI配置文件和vmac配置文件创建pod；

根据所述vmac设备的创建信息进行IP地址冲突检测；

若IP地址无冲突，则将路由表和邻接表添加至pod的网络空间中。

在本发明实施例中，保留了原有macvlan子接口(简称vmac设备)的创建，该设备可以不用配置ip地址，利用此设备可以进行ip地址冲突检测，在CNI网络插件绑定由IPAM分配的ip地址时，进行二层ip冲突检测。考虑到这两种方案的最佳实践，本发明实施例结合已有方案以及带有二层IP冲突检测机制的服务网络访问方案提出一个全局访问服务网络的方法，整体架构图如图2所示。本发明实施例提供的K8S集群包括：控制模块和代理模块；

控制模块，包括两个控制器，一个是macvlan子接口(简称vmac)网络设备控制器，主要负责为每个K8S节点提供一个创建网络设备的入口，另一个是CNI config控制器，主要负责整个K8S集群的CNI插件的配置管理，利用了K8S中的configmap的资源，该对象mount到以daemonset形式存在的agent模块中。

代理模块，有两个功能，第一个是接收controller层创建vmac的请求，在节点上创建相应的网络设备，另一个是动态更新从configmap中读取的配置文件，保存在/etc/cni/net.d/*.conf文件中。

如图2所示的架构能够将macvlan子接口的方式与veth pair方案结合，创建一个全局的管理控制中心，通过修改配置文件以及创建不能模式的vmac来实现两种模式的切换，提供一个用户可以根据网络资源以及网络性能来选择使用不同模式的装置。

两种方案切换流程：

以macvlan方案切换到veth-pair方案为例：

1、应用通过配置CNI configmap中的args.service_mod参数，配置为“veth-pair”。

2、CNI configmap会mount到以daemonset形式存在的agent中，agent内有一个监控容器内部文件的应用进程，这个进程检测到容器内部与CNI configmap进行挂在的文件更新时，会将此文件拷贝到另一个文件中，该文件与宿主机上的/etc/cni/net.d/*.conf文件以hostpah的形式进行挂载，以此来动态更新每个节点上的CNI配置文件。

3、通过Vmac controller发送创建vmac地址的请求，由对应节点上的agent调用linux内核命令创建vmac设备，并将vmac设备的创建信息写入vmac配置文件中。

4、当K8S创建pod时，kubelet感知到pod被调度到自身节点上，调用CNI插件为pod创建网络资源。

5、CNI插件通过标准输入读取CNI配置文件以及创建vmac配置文件进行pod的创建，获取到vmac设备的名称，在宿主机执行arping-c 2-I$vmac-D-q$pod_address进行IP冲突检测，如果有回包，报错，退出该次K8S创建pod的请求，等待可用的IP地址进行绑定。

6、待IP地址确认无误后，将路由表和邻接表添加至pod的网络空间中。

具体的，根据vmac地址请求携带的CM配置文件创建vmac设备的方式可以为：若为macvlan模式，则创建带有IP的vmac设备，若为veth pair模式，则创建不带IP的vmac设备。

需要说明的是，本发明实施例在veth pair方式的基础上结合macvlan子接口的方式，通过在宿主机上创建macvlan子接口，实现veth pair方式的二层IP冲突检测。

本实施例的技术方案，通过根据第一数据包流量的目的地址查询路由表，得到下一跳地址；若所述下一跳地址非本地地址，则查询邻接表，得到网络设备的IP地址对应的宿主机中部署的网络设备的MAC地址；将宿主机中部署的网络设备的MAC地址和容器中部署的网络设备的MAC地址添加至第一数据包流量中，得到第二数据包流量；根据第二数据包流量的源地址和目的地址确定第二数据包流量对应的后端容器的IP地址；根据后端容器的IP地址将第二数据包流量发送至后端容器，解决了基于kernel协议栈的L3包过滤技术Netfilter框架无法满足macvlan网络的服务网络访问的问题，能够避免底层网络IP资源的浪费。

实施例二

图3为本发明实施例提供的一种服务网络访问装置的结构示意图。本实施例可适用于服务网络访问的情况，该装置可采用软件和/或硬件的方式实现，该装置可集成在任何提供服务网络访问功能的设备中，如图3所示，所述服务网络访问装置具体包括：第一查询模块210、第二查询模块220、添加模块230、确定模块240和发送模块250。

其中，第一查询模块，用于根据第一数据包流量的目的地址查询路由表，得到下一跳地址；

可选的，所述确定模块具体用于：

上述产品可执行本发明任意实施例所提供的方法，具备执行方法相应的功能模块和有益效果。

实施例三

图4示出了可以用来实施本发明的实施例的电子设备10的结构示意图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备(如头盔、眼镜、手表等)和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本发明的实现。

如图4所示，电子设备10包括至少一个处理器11，以及与至少一个处理器11通信连接的存储器，如只读存储器(ROM)12、随机访问存储器(RAM)13等，其中，存储器存储有可被至少一个处理器执行的计算机程序，处理器11可以根据存储在只读存储器(ROM)12中的计算机程序或者从存储单元18加载到随机访问存储器(RAM)13中的计算机程序，来执行各种适当的动作和处理。在RAM 13中，还可存储电子设备10操作所需的各种程序和数据。处理器11、ROM 12以及RAM 13通过总线14彼此相连。输入/输出(I/O)接口15也连接至总线14。

电子设备10中的多个部件连接至I/O接口15，包括：输入单元16，例如键盘、鼠标等；输出单元17，例如各种类型的显示器、扬声器等；存储单元18，例如磁盘、光盘等；以及通信单元19，例如网卡、调制解调器、无线通信收发机等。通信单元19允许电子设备10通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。

处理器11可以是各种具有处理和计算能力的通用和/或专用处理组件。处理器11的一些示例包括但不限于中央处理单元(CPU)、图形处理单元(GPU)、各种专用的人工智能(AI)计算芯片、各种运行机器学习模型算法的处理器、数字信号处理器(DSP)、以及任何适当的处理器、控制器、微控制器等。处理器11执行上文所描述的各个方法和处理，例如服务网络访问方法。

在一些实施例中，服务网络访问方法可被实现为计算机程序，其被有形地包含于计算机可读存储介质，例如存储单元18。在一些实施例中，计算机程序的部分或者全部可以经由ROM 12和/或通信单元19而被载入和/或安装到电子设备10上。当计算机程序加载到RAM 13并由处理器11执行时，可以执行上文描述的服务网络访问方法的一个或多个步骤。备选地，在其他实施例中，处理器11可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行服务网络访问方法。

本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、负载可编程逻辑设备(CPLD)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

用于实施本发明的方法的计算机程序可以采用一个或多个编程语言的任何组合来编写。这些计算机程序可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器，使得计算机程序当由处理器执行时使流程图和/或框图中所规定的功能/操作被实施。计算机程序可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。

在本发明的上下文中，计算机可读存储介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的计算机程序。计算机可读存储介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。备选地，计算机可读存储介质可以是机器可读信号介质。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。

为了提供与用户的交互，可以在电子设备上实施此处描述的系统和技术，该电子设备具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给电子设备。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)、区块链网络和互联网。

计算系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，又称为云计算服务器或云主机，是云计算服务体系中的一项主机产品，以解决了传统物理主机与VPS服务中，存在的管理难度大，业务扩展性弱的缺陷。

应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发明中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本发明的技术方案所期望的结果，本文在此不进行限制。

上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。

Claims

1.一种服务网络访问方法，其特征在于，包括：

根据后端容器的IP地址将第二数据包流量发送至后端容器。

2.根据权利要求1所述的方法，其特征在于，根据第二数据包流量的源地址和目的地址确定第二数据包流量对应的后端容器的IP地址，包括：

3.根据权利要求2所述的方法，其特征在于，还包括：

4.根据权利要求1所述的方法，其特征在于，在根据第一数据包流量的目的地址查找路由表，得到数据包流量对应的网络设备的IP地址之前，还包括：

创建veth pair对；

将veth pair对分别部署在容器和宿主机中。

5.根据权利要求1所述的方法，其特征在于，在根据第一数据包流量的目的地址查找路由表，得到数据包流量对应的网络设备的IP地址之前，还包括：

接收vmac地址请求；

根据vmac地址请求携带的CM配置文件创建vmac设备；

将所述vmac设备的创建信息写入vmac配置文件中；

根据CNI配置文件和vmac配置文件创建pod；

根据所述vmac设备的创建信息进行IP地址冲突检测；

6.一种服务网络访问装置，其特征在于，包括：

7.根据权利要求6所述的装置，其特征在于，所述确定模块具体用于：

8.根据权利要求7所述的装置，其特征在于，所述确定模块具体用于：

9.一种电子设备，其特征在于，所述电子设备包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-5中任一项所述的服务网络访问方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现权利要求1-5中任一项所述的服务网络访问方法。