「Flannel」は非常にシンプルなKubernetesのCNIプラグインとして豊富な実績を持ちます。にLinuxカーネルの機能を利用して、仮想ネットワーク用のプロトコル「VXLAN」（Virtual eXtensible Local Area Network）を使った「ノード」（コンテナの実行ホスト）間のオーバーレイネットワーク（論理的に制御可能なネットワーク）を構成し、コンテナ向けのネットワークを作成します。Flannelはノード内の「flannel.1」というネットワークインタフェースでノードをまたぐPod間通信（Podはコンテナの集合体）をVXLANによってカプセル化（プロトコル用のヘッダ情報の付与）し、トンネリング（通信経路の確立）をして他のノードに届けます。受信したノードがカプセル化を解き、Pod同士の通信が実現します（図1）。シンプルな実装となっており、Pod間通信を制御するKubernetesの機能「Network Policy」は利用できません。

図1　FlannelによるKubernetesネットワーク（「eth0」はPodのネットワークインタフェース。「veth」は仮想ネットワークインタフェース。「cni0」「cni1」はブリッジのインタフェース）《クリックで拡大》

Calico

　「Calico」はノードをまたぐPod間通信をFlannelのようにカプセル化する方法と、カプセル化しない方法のどちらかを選択することが可能です。Calicoは各ノードに、Podが利用するCIDR（Classless Inter-Domain Routing、アドレス割り当ての仕組み）のネットワークアドレス（Pod CIDR）を割り当てます。各ノード内で起動する「BIRD」（経路制御プロトコル「BGP」を使ったプログラム）が、Pod CIDRを経路情報として交換し、ノード内のルートテーブルに反映します。ノードはPodが送信したパケットをルートテーブルに基づいて宛先Podが存在するノードに転送し、パケットは受信先のノード内のルートテーブルを参照して宛先Podに届きます（図2）。

図2　CalicoによるKubernetesネットワーク（「cali100」「cali200」「cali300」「cali400」は仮想ネットワークインタフェース）《クリックで拡大》

　ノード同士が同じネットワークセグメント内であればこのようにシンプルに通信することが可能ですが、宛先のノードが異なるネットワークセグメントに存在する場合、中継するルーティング機能を備えたスイッチなどのL3（レイヤー3）デバイスにPod CIDRに対する経路情報が存在しないとパケットを届けることができません。そこでFlannelなどパケットをカプセル化する仕組みを使うか、カプセル化をしない場合はルートリフレクタ（経路情報を転送する仕組み）を利用して、中継するL3デバイスにPod CIDRを広報（経路情報を伝えること）することで、L3デバイスをまたいだ通信が可能になります。通信のカプセル化にはオーバーヘッド（ある処理に付随する負荷）が発生するので、Calicoでカプセル化しないPod間通信を選択することでデータ転送パフォーマンスが向上します。

　CalicoはNetwork Policyを利用してPod間の通信を制御することが可能です。データ転送を担うデータプレーンとしてFlannelを利用し、Network Policyを利用するためのポリシーエンジンとしてCalicoを利用することもできます。

　次回はクラウドサービスが提供するKubernetesのネットワークを紹介します。