VMware Antrea 1.9容器网络CNI插件实战：Tanzu环境下的网络、安全与可观测性

Kubernetes网络插件选型一直是容器化部署的难题。在Tanzu环境下，Antrea是VMware官方推荐的容器网络解决方案，专注于企业级Kubernetes集群的网络、安全和可观测性。Antrea 1.9版本在性能、安全和可观测性方面都有显著提升，支持ARM64架构和IPv6双栈。这篇详细介绍Antrea的核心功能、与Tanzu的集成方式，以及从入门到实战的内容。

VMware Container Networking with Antrea 1.9官方离线资源包

Antrea核心功能解析

1. 基于Open vSwitch（OVS）实现高性能容器网络，单跳转发延迟可控制在微秒级。

2. 原生支持Kubernetes NetworkPolicy资源，可实现精细化的容器间流量控制和网络分段隔离。

3. 集成了Prometheus和Grafana，可直接对接企业现有的监控体系，无需额外部署监控组件。

4. 支持Windows节点，适用于需要运行Windows容器的混合Kubernetes集群场景。

5. Multi-cluster功能支持跨集群网络连接，适用于多数据中心或混合云场景。

Tanzu集成实战

1. Tanzu Kubernetes Grid（TKG）部署时可选择Antrea作为CNI，无需手工安装。

2. 部署完成后Antrea Agent以Daemonset形式运行在每个节点上，控制器以Deployment运行。

3. 配置文件位于/etc/antrea/antrea.conf，修改配置后需要重启Antrea Agent Pod生效。

4. 查看Antrea状态：kubectl get pod -n kube-system -l app=antrea

5. TKG管理界面可直接查看Antrea网络拓扑和流量统计信息。

1.9版本新特性

1. 新增对ARM64架构SE的支持，可在ARM64服务器上运行，降低硬件采购成本。

2. IPv6双栈支持：Antrea现在同时支持IPv4和IPv6，满足企业内网IPv6改造需求。

3. 增强的流量镜像：支持ERSPAN协议，可将容器流量镜像到外部分析工具进行深度检测。

4. 身份感知策略（Antrea原生）：在标准NetworkPolicy基础上增加了基于K8s ServiceAccount的策略控制。

5. Egress网关增强：支持SNAT和固定出口IP，便于企业实现出口流量的审计和管控。

常见配置场景

1. 网络策略严格化：创建默认拒绝所有流量的策略，逐条放通授权通信，实现零信任架构。

2. 流量镜像分析：配置ERSPAN将生产环境流量镜像到安全分析工具，检测异常行为。

3. 出口流量管控：配置Egress策略，限制容器只能访问白名单地址，提升安全性。

4. 多集群网络：配置Antrea Federation打通多个TKG集群的网络，实现跨集群服务互通。

5. 与NSX-T配合：在已部署NSX-T的环境下，Antrea可作为补充方案处理特定工作负载。

部署注意事项

1. 底层网络要求：vSphere分布式交换机需启用Jumbo Frame（MTU 9000）以优化Antrea传输性能。

2. 节点准备：所有Kubernetes节点需预先安装Open vSwitch，Antrea Agent会调用ovs-vsctl命令。

3. 与NSX-T冲突：已部署NSX-T的环境下不要叠加使用Antrea，两者网络插件会产生冲突。

4. 版本匹配：Tanzu Kubernetes Grid 1.5以上版本推荐使用Antrea 1.9或更高版本。

5. 日志级别调整：生产环境建议将Antrea日志级别设为info，debug模式会产生大量日志影响性能。