Tổng kết module & track Networking

TL;DR: Module 3 scale plumbing M1–M2 lên cluster: pod = netns + IP phẳng → CNI (interface gắn veth/bridge/route) → Service + kube-proxy (VIP + DNAT/IPVS) → Ingress/NodePort/LB (cửa L4/L7) → NetworkPolicy (filter theo identity, chỉ khi CNI enforce). Kubernetes không invent TCP stack mới. Bookmark trang này: map K8s ↔ Linux/Docker, cheat sheet lệnh, glossary, self-assessment 5 outcome, nhìn lại cả track foundations → web → containers, và gợi ý học tiếp (service mesh, eBPF — ngoài scope course này).

Đã đi qua những gì

Bạn bắt đầu từ contract pod: mỗi pod một IP cluster-wide; model pod-to-pod không NAT; container trong pod share một netns (localhost, cùng port space); pause/infra giữ netns. Dưới hood: cùng veth + bridge/route Module 1–2 — chỉ đơn vị deploy đổi từ “một container” sang “một pod”.

Tiếp theo CNI: kubelet gọi binary theo spec interface — Flannel / Calico / Cilium là implementation, không phải “mạng K8s”. Trade-off overlay (encapsulation, dễ multi-subnet) vs routed (route/BGP thuần, latency/ops khác). Plugin không implement NetworkPolicy ⇒ YAML policy im lặng.

Rồi Service: ClusterIP là VIP (không process listen); Endpoints/EndpointSlice là sổ backend; kube-proxy rewrite (iptables DNAT hoặc IPVS) tới pod IP:port — đúng họ DNAT Module 2, quy mô nhiều backend. Expose: ClusterIP nội bộ; NodePort/LoadBalancer L4 ra ngoài; Ingress (cần controller) route L7 host/path + TLS.

Cuối NetworkPolicy: default allow nếu chưa có policy chạm pod; isolation khi có; selector pod/namespace/ipBlock; rule additive (union); default-deny hay quên DNS egress. Pitfall cứng: policy không enforce nếu CNI không hỗ trợ — full-mesh dù YAML xanh.

Bản đồ module (khái niệm):

flowchart LR
    P["1. Pod network<br/>flat IP + shared netns"] --> C["2. CNI<br/>plugin interface"]
    C --> S["3. Service<br/>kube-proxy DNAT/IPVS"]
    S --> I["4. Ingress / L4 entry<br/>host path TLS"]
    I --> N["5. NetworkPolicy<br/>identity filter"]

🗺️ Bản đồ cả track Networking

Ba course tuần tự — mỗi tầng giả định tầng dưới đã thấm:

flowchart TB
    F["Tier 1 — Foundations<br/>packet, IP, route, port, DNS"]
    W["Tier 2 — Web<br/>TCP/UDP, HTTP, TLS, cong cu"]
    C["Tier 3 — Containers<br/>stack, netns, NAT, K8s"]
    F --> W --> C

Cheat sheet dọc track (một dòng mỗi chặng)

🗺️ Cheat sheet Module 3

Map K8s → plumbing Linux / Docker

Lệnh survey (cluster demo)

Bốn kiểu expose — chọn theo chiều traffic

NetworkPolicy — checklist 30 giây

1. Có policy chạm pod subject chưa? (chưa → default allow.)
2. CNI/plugin có enforce NetworkPolicy không?
3. Cả hai phía (ingress subject + egress peer) có rule cho phép không?
4. Default-deny egress: đã cho DNS (port 53) chưa?
5. Selector label khớp thật (kubectl get pod --show-labels)?

📖 Glossary module & track (rút gọn)

⚠️ Pitfall tổng hợp (M3 + nối track)

• "ClusterIP timeout từ laptop = Service hỏng." VIP thường chỉ trong cluster — curl từ ngoài không chứng minh pod chết.
• "Pod IP = Service IP." Pod IP ephemeral + eth thật; ClusterIP là VIP rewrite.
• "Cài Calico/Cilium = hiểu CNI." Học interface trước brand; đổi plugin không đổi contract pod model.
• "Ingress YAML apply xong là có HTTPS." Không controller / sai class ⇒ object nằm im; TLS còn Secret + terminate đúng hop.
• "NetworkPolicy default deny mọi thứ an toàn ngay." Quên DNS egress = app “mất mạng” theo cách khó đọc; và không có enforce = YAML trang trí.
• "Timeout app K8s = restart pod." Map lại: DNS (tier 1–2) → TCP/TLS → netns/veth/CNI → Service endpoints/kube-proxy → policy — cùng mindset chặng đã học cả track.
• "kind = production CNI." kind đủ minh hoạ pod IP/Service; NetworkPolicy có thể không enforce — đó là bài học pitfall, không phải “K8s sai”.

✅ Self-assessment

Bạn đã đạt module này nếu trả lời được:

• Explain mô hình pod networking (flat IP, shared netns, pause container) và liên hệ veth/bridge
  • Nếu chưa: đọc lại 01 — Pod networking cơ bản; map pod ↔ netns, pause, veth/bridge/route.
• Explain CNI là interface (không implementation) và trade-off overlay vs routed
  • Nếu chưa: 02 — CNI là gì; spec vs Flannel/Calico/Cilium; bảng overlay vs routed; policy phụ thuộc plugin.
• Trace traffic tới pod qua Service và kube-proxy (iptables/IPVS)
  • Nếu chưa: 03 — Service & kube-proxy; VIP → EndpointSlice → DNAT/IPVS → pod IP:port.
• Compare ClusterIP, NodePort, LoadBalancer và Ingress theo chiều traffic L4/L7
  • Nếu chưa: 04 — Ingress & load balancing; bảng expose + pitfall Ingress không controller.
• Design NetworkPolicy ingress/egress cơ bản và nhận biết khi policy không có hiệu lực
  • Nếu chưa: 05 — NetworkPolicy; isolation, both-sides allow, default-deny + DNS, CNI không enforce.

Nhìn lại course — ba module containers

Nếu self-assessment còn trống: quay đúng bài concept (không nhảy YAML production). Capstone chỉ chắc khi M1–M2 đã thấm tay.

Học tiếp (ngoài scope v1)

Course dừng ở bản đồ nhập môn K8s networking. Các chủ đề sau không nằm trong scope v1 — học khi đã debug được pod/Service/policy bằng plumbing Linux:

Track Networking — bạn đã đi hết ba course. Giữ trang này + recap M1/M2 làm cheat sheet khi on-call: mọi “mạng K8s hỏng” cuối cùng vẫn là packet, namespace, rule, và process listen.