Underlay 网络：容器网络的最佳选择

几年前，博云在启动自研容器网络研发时，除了技术选型的考量，也对先构建 Underlay 还是 Overlay 网络进行了深入探讨。当时开源社区和主流容器厂商主要倾向于 Overlay 网络方案。但通过深入了解客户需求，我们发现部分客户对于容器内外网通信、网络性能、安全隔离等方面有特殊要求。

经过反复论证，博云决定优先构建 Underlay 网络方案，并将其作为容器网络落地的最佳选择。本文将详细阐述 Underlay 网络相较于 Overlay 网络的优势，以及它如何满足企业容器化场景中的实际需求。

Underlay 与 Overlay 网络的差异

Underlay 网络直接使用物理网络或虚拟化网络作为容器网络的底层基础设施。容器 pod 直接连接到物理交换机或虚拟交换机，网络流量通过物理网络或虚拟网络传输。

Overlay 网络则在物理网络或虚拟网络之上构建一个逻辑网络，容器 pod 通过虚拟隧道连接到 Overlay 网络，网络流量封装在隧道中传输。

优势对比

特征	Underlay 网络	Overlay 网络
网络性能	优异	良好
安全隔离	较弱	较强
部署复杂度	较低	较高
跨主机通信	使用物理网络或虚拟网络	使用隧道封装
网络拓扑	扁平化	可任意拓扑

Underlay 网络的优势

1. 出色的网络性能

Underlay 网络直接利用底层物理网络或虚拟网络，避免了 Overlay 网络中隧道封装和解封装的开销，从而提供了更低的网络延迟和更高的吞吐量。在对网络性能要求较高的场景，如高频交易、在线游戏等，Underlay 网络具有明显的优势。

2. 简便的部署和管理

Underlay 网络直接使用物理交换机或虚拟交换机，不需要部署和管理额外的隧道组件，因此部署和管理更加简单。对于运维人员来说，可以减少配置和排错的复杂度，降低维护成本。

3. 更好的网络兼容性

Underlay 网络与物理网络或虚拟网络无缝集成，可以兼容各种网络设备和协议，如防火墙、负载均衡器等。这使得 Underlay 网络在异构网络环境中更容易部署和管理。

满足企业需求

1. 容器内外网通信

Underlay 网络可以直接访问物理网络或虚拟网络，容器可以方便地与外部网络中的其他主机、服务和设备进行通信。这对于容器化改造传统应用、混合云场景中的容器与云服务通信等场景至关重要。

2. 网络隔离和安全

虽然 Underlay 网络在安全隔离方面不及 Overlay 网络，但通过与安全组、网络策略等安全机制结合，仍然可以实现较好的网络隔离和安全保护。对于要求网络隔离但不追求极致安全性的场景，Underlay 网络是一个折衷的选择。

3. 网络性能保障

对于网络性能要求较高的场景，Underlay 网络的优势尤为突出。它可以保证稳定的网络带宽、较低的延迟和抖动，满足关键业务应用的网络需求。

4. 跨主机通信优化

在跨主机通信场景中，Underlay 网络可以利用物理网络或虚拟网络的特性，如链路聚合、多路径等，优化跨主机之间的网络传输性能。

结语

综上所述，Underlay 网络凭借出色的网络性能、简便的部署管理和良好的网络兼容性，成为容器网络落地的最佳选择。它可以满足企业容器化场景中容器内外网通信、网络性能保障、安全隔离等实际需求。