多命名空间Kubernetes集群中Pod的网络通信与子网问题

一、不同Namespace中的Pod如何通信？ #

常用的实现方式有三种：

• 通过ClusterIP Service跨Namespace访问：这是K8s中最标准、最推荐的方式。只要知晓目标Service的名称及其所属Namespace，即可通过[service-name].[namespace-name].svc.cluster.local这个全限定域名（FQDN）发起访问。例如default Namespace下的Pod要访问prod Namespace内名为my-app的Service，直接请求my-app.prod.svc.cluster.local即可。
• 直接访问Pod IP：若已知目标Pod的IP地址，跨Namespace的Pod也能直接通信——因为Pod IP在集群内全局唯一（除非特殊网络插件配置）。但这种方式不建议生产环境使用，原因是Pod会随部署更新、故障重建频繁更换IP，稳定性无法保障。
• 使用Headless Service：如果无需Service的负载均衡能力，仅需直接访问后端Pod实例，Headless Service同样支持跨Namespace访问，通过FQDN访问时会返回所有关联Pod的IP列表。

二、不同Namespace的Pod能否通过同一个ClusterIP Service访问该应用？ #

完全可以，但需注意访问规则：

• 每个ClusterIP Service都归属于特定的Namespace，其他Namespace的Pod无法通过Service的短名称直接访问，必须使用全限定域名（FQDN）。比如位于dev Namespace的Service名为api-service，其他Namespace的Pod需通过api-service.dev.svc.cluster.local访问。
• 也可在自身Namespace内创建ExternalName类型的Service，将其指向目标Service的FQDN，从而实现用本地Service名称访问跨Namespace服务。示例配置如下：

apiVersion: v1
kind: Service
metadata:
  name: local-api-service
  namespace: test
spec:
  type: ExternalName
  externalName: api-service.dev.svc.cluster.local

配置完成后，test Namespace内的Pod直接请求local-api-service即可访问到dev Namespace中的api-service。

三、不同Namespace的Pod是否可以共享同一子网？ #

默认情况下，Kubernetes集群内所有Namespace的Pod都共享同一个集群子网（由CNI插件预先配置的Pod网络）：

• Namespace只是K8s提供的逻辑隔离机制，与网络子网无直接绑定关系。所有Pod的IP在集群内全局唯一，无论所属哪个Namespace，都处于同一个二层或三层网络环境中，可直接通过IP互通。
• 若有特殊隔离需求，也可借助CNI插件（如Calico）为不同Namespace配置独立子网，但这不属于默认行为，需要额外配置网络策略实现。

内容的提问来源于stack exchange，提问作者Vinit Shandilya