[TOC] 默認情況下，Cilium 的 eBPF NodePort 實現在 SNAT 模式下運行。 也就是說，當節點外部流量到達并且節點確定 LoadBalancer、NodePort 或具有外部 IP 的服務的后端位于遠程節點時，節點將通過執行 SNAT 代表其將請求重定向到遠程后端。 這不需要任何額外的 MTU 更改。 代價是來自后端的回復需要額外的一跳回到該節點，以在該節點執行反向 SNAT 轉換，然后再將數據包直接返回到外部客戶端。 可以通過 dsr 的 loadBalancer.mode Helm 選項更改此設置，以便讓 Cilium 的 eBPF NodePort 實現在 DSR 模式下運行。 在這種模式下，后端直接回復外部客戶端，而不需要額外的一跳，這意味著后端以服務IP/端口作為源進行回復。 # DSR模式優劣勢 cilium設置DSR模式優點： - 保留客戶端的源 IP - 網絡鏈路更短 cilium設置DSR模式缺點： - 增大 MTU 開銷 # 設置DSR必要條件 - [cilium 已替換 kube-proxy](kubeproxy-free.md) - [cilium 開啟主機路由](./network_routing.md) # DSR模式變更步驟 ```shell # 獲取當前版本號 cilium_version=$(helm -n kube-system ls | awk '/cilium/ {print $NF}') echo $cilium_version # 備份上一次安裝的參數 helm -n kube-system get values cilium > cilium_custom.yaml sed -i '1d' cilium_custom.yaml # 添加參數 cat <<EOF | tee -a cilium_custom.yaml >> /dev/null loadBalancer: mode: dsr EOF # 修改參數 helm -n kube-system upgrade cilium cilium/cilium --version $cilium_version -f cilium_custom.yaml # 重啟cilium kubectl -n kube-system rollout restart daemonset cilium kubectl -n kube-system rollout status daemonset cilium # 驗證 crictl logs `crictl ps --name cilium-agent -q` 2>&1 | egrep lb-mode ```