Kubernetes kube-proxy iptables 规则似乎是多余的

Question

上下文

kubeadm init 为 kube-proxy 生成的 iptables 规则中可能存在不必要的冗余：

iptables -t filter -S

输出：

-P INPUT ACCEPT
-P FORWARD DROP
-P OUTPUT ACCEPT
-N KUBE-EXTERNAL-SERVICES
-N KUBE-FIREWALL
-N KUBE-FORWARD
-N KUBE-SERVICES
-A INPUT -m conntrack --ctstate NEW -m comment --comment "kubernetes externally-visible service portals" -j KUBE-EXTERNAL-SERVICES
-A INPUT -j KUBE-FIREWALL
-A FORWARD -m comment --comment "kubernetes forwarding rules" -j KUBE-FORWARD
-A FORWARD -s 10.244.0.0/16 -j ACCEPT
-A FORWARD -d 10.244.0.0/16 -j ACCEPT
-A OUTPUT -m conntrack --ctstate NEW -m comment --comment "kubernetes service portals" -j KUBE-SERVICES
-A OUTPUT -j KUBE-FIREWALL
-A KUBE-FIREWALL -m comment --comment "kubernetes firewall for dropping marked packets" -m mark --mark 0x8000/0x8000 -j DROP
-A KUBE-FORWARD -m comment --comment "kubernetes forwarding rules" -m mark --mark 0x4000/0x4000 -j ACCEPT
-A KUBE-FORWARD -s 10.244.0.0/16 -m comment --comment "kubernetes forwarding conntrack pod source rule" -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A KUBE-FORWARD -d 10.244.0.0/16 -m comment --comment "kubernetes forwarding conntrack pod destination rule" -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

10.244.0.0/16范围对应pod overlay网络

让我们关注 FORWARD 链。

-P FORWARD DROP
-N KUBE-FORWARD
-A FORWARD -m comment --comment "kubernetes forwarding rules" -j KUBE-FORWARD
-A FORWARD -s 10.244.0.0/16 -j ACCEPT
-A FORWARD -d 10.244.0.0/16 -j ACCEPT
-A KUBE-FORWARD -m comment --comment "kubernetes forwarding rules" -m mark --mark 0x4000/0x4000 -j ACCEPT
-A KUBE-FORWARD -s 10.244.0.0/16 -m comment --comment "kubernetes forwarding conntrack pod source rule" -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A KUBE-FORWARD -d 10.244.0.0/16 -m comment --comment "kubernetes forwarding conntrack pod destination rule" -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

问题：

为什么 KUBE-FORWARD 在覆盖网络中接受数据包，当它们的连接状态为 RELATED 或 ESTABLISHED if FORWARD 链将接受覆盖网络中的所有数据包流量网络不管他们的连接状态？

注：

kubernetes 集群工作正常。

Answer 1

这里存在重复，因为默认的 FORWARD 策略可以出于某种原因被禁用，而 Kubernetes 仍然希望转发以下数据包：

标有"masqueradeMark"（可以启动新连接）
是已建立连接的一部分

你可以试试阅读k8s源码中的评论：https://github.com/kubernetes/kubernetes/blob/master/pkg/proxy/iptables/proxier.go#L1325

一般来说，当 iptables 规则被自动管理时，应该会出现一些重复。它使编写自动化代码变得更加容易。

Kubernetes kube-proxy iptables 规则似乎是多余的

Kubernetes kube-proxy iptables rules seem to be redundant

iptables

kubernetes

上下文

问题：

注：