Weave Net 多子网自动分配（Multi-Subnet IPAM）：用 WEAVE_CIDR 与 --ipalloc-default-subnet 实现跨子网寻址与隔离-北京尧图网络

网络云原生【免费下载链接】weaveSimple, resilient multi-host containers networking and more.项目地址https://gitcode.com/gh_mirrors/weave4/weave点击查看免费下载本文聚焦 Weave Net当前仓库weave4/weave的 IPAM 核心能力之一——自动地址分配跨越多个子网。默认情况下 Weave Net 会把所有容器放入覆盖整个分配范围的单一子网而通过WEAVE_CIDR环境变量、--ipalloc-default-subnet启动参数你可以让容器按需落在不同子网实现基于子网的网络隔离并在同一分配范围内混合使用自动分配与手工指定地址。读完本文你将掌握多子网分配的完整配置语法、默认子网约束技巧以及底层weave脚本与weaver主程序的实现逻辑。为什么需要多子网分配IP 子网subnet在 Weave Net 中用来定义或限制路由范围。默认情况下Weave Net 将全部容器放入一个横跨整个分配范围universe的子网使得每一个接入 Weave 的容器都能与其它容器互通。这一点在 Allocating IP AddressesIPAM 总览中也有说明默认分配范围为10.32.0.0/12。当你需要应用隔离时可以让不同应用的容器运行在不同的子网上同一应用内的容器互通不同应用的容器彼此隔离。这正是“isolation-through-subnets”策略的基础——把传统物理网络的子网隔离手法原样搬到容器网络上。用 WEAVE_CIDR 指定容器所属子网要在创建容器时请求某个特定子网中的地址只需在docker run时设置环境变量WEAVE_CIDR取值形如net:subnethost1$ docker run -e WEAVE_CIDRnet:10.2.7.0/24 -ti weaveworks/ubuntu这里net:前缀告诉 Weave Net请从10.2.7.0/24这个子网里自动分配一个地址地址仍由 IPAM 自动挑选只是限定在指定子网内。一次请求多个子网地址手工地址WEAVE_CIDR可以一次给出多个以空格分隔的地址请求支持net:subnet从指定子网自动分配一个地址ip:cidr手工指定一个具体地址该地址必须在自动分配范围之外或在自动分配范围中由你预留的部分net:default从默认子网自动分配地址详见下文。例如下面的命令让容器同时获得10.2.7.0/24、10.2.8.0/24两个子网中各一个自动分配的地址再手工挂上一个10.3.9.1/24的地址host1$ docker run -e WEAVE_CIDRnet:10.2.7.0/24 net:10.2.8.0/24 ip:10.3.9.1/24 -ti weaveworks/ubuntu注意每个子网的.0网络地址与.-1广播地址不会被分配使用这符合 RFC 1122 对主机寻址的要求。从脚本源码看 WEAVE_CIDR 的解析路径仓库根目录的 weave 脚本是weave命令的实际入口多子网参数在collect_cidr_args()weave 脚本 L875-L883中解析collect_cidr_args() { CIDR_ARGS CIDR_ARG_COUNT0 while [ $1 net:default ] || is_cidr $1 || is_cidr ${1#ip:} || is_cidr ${1#net:} ; do CIDR_ARGS$CIDR_ARGS ${1#ip:} CIDR_ARG_COUNT$((CIDR_ARG_COUNT 1)) shift 1 done }可以看到脚本接受三种参数形态裸 CIDR如10.3.9.1/24、ip:前缀、net:前缀以及特殊的net:default。随后ipam_cidrs()weave 脚本 L900-L952分派它们带net:前缀的参数走IPAM 自动分配net:default映射到POST /ip/container_id即默认子网net:subnet映射到POST /ip/container_id/subnet裸地址 /ip:参数走手工指定执行PUT /ip/container_id/cidr若与已有地址冲突会告警但继续执行若完全没有传入地址脚本默认退化为net:defaultweave 脚本 L925即“不指定子网就分配默认子网地址”。需要说明的是WEAVE_CIDR机制依赖 Weave 的 Docker proxy/plugin 拦截容器创建流程将环境变量中的 CIDR 参数注入上述分配逻辑若使用 CNI 插件则请参考手动指定 IP 地址中的 static allocator 方案。约束默认子网--ipalloc-range 与 --ipalloc-default-subnet当网络里有多个子网时通常需要约束默认子网——即不提供WEAVE_CIDR时分配器挑选的子网——使其不与其它子网重叠。这通过--ipalloc-default-subnet完成host1$ weave launch --ipalloc-range 10.2.0.0/16 --ipalloc-default-subnet 10.2.3.0/24这里--ipalloc-range 10.2.0.0/16声明整个分配范围universe即将来所有自动分配都发生在10.2.0.0/16内且该值必须与网络内所有主机一致参考 Choosing an Allocation Range--ipalloc-default-subnet 10.2.3.0/24当没有显式指定子网时分配器默认从10.2.3.0/24里挑地址。于是你可以放心地把其它子网如10.2.7.0/24、10.2.8.0/24留给需要隔离的应用默认容器都落在10.2.3.0/24互不干扰。符号写法 net:default在指定地址时默认子网可以用net:default符号表示。例如下面这条命令会让容器同时获得默认子网与10.2.2.0/24子网中的地址host1$ docker run -e WEAVE_CIDRnet:default net:10.2.2.0/24 -ti weaveworks/ubuntu这在 Isolating Applications on a Weave Network 中也被用于“多子网默认子网”的组合分配。源码级约束检查--ipalloc-default-subnet与--ipalloc-range的强耦合关系在 prog/weaver/main.go 中有清晰的校验逻辑参数定义main.go L195-L197--ipalloc-range为 “IP address range reserved for automatic allocation, in CIDR notation”--ipalloc-default-subnet为 “subnet to allocate within by default, in CIDR notation”前置条件main.go L62-L83若设置了--ipalloc-default-subnet却没有--ipalloc-rangeEnabled()直接Log.Fatal(--ipalloc-default-subnet specified without --ipalloc-range.)——两者必须成对出现重叠校验main.go L643-L653在createAllocator中默认子网经ipam.ParseCIDRSubnet解析后必须与分配范围Overlaps否则直接退出IP address allocation default subnet %s does not overlap with allocation range %s。也就是说默认子网必须是分配范围的子集不能越界——这从实现层面保证了“默认子网一定落在 universe 内”。混合自动分配与手工分配用范围差预留地址段容器可以在同一范围内混合使用“自动分配的地址”和“手工挑选的地址”。不过你会遇到一个实际问题自动分配器可能已经把你想要的具体地址占用了。解决办法是让--ipalloc-range小于--ipalloc-default-subnet从而在默认子网中留出一段“自动分配器永远不会碰”的地址空间。官方示例host1$ weave launch --ipalloc-range 10.9.0.0/17 --ipalloc-default-subnet 10.9.0.0/16配合这一配置所有容器都在10.9.0.0/16子网内运行但自动分配只使用10.9.0.0/16的低半段10.9.0.0/17即分配范围 universe 所覆盖的部分上半段10.9.128.0/17位于默认子网内但在分配范围外留给手工分配自动分配器绝不会踏足。随后你既可以直接docker run自动拿到低半段地址也可以docker run -e WEAVE_CIDRip:10.9.200.1/16 ...手工指定上半段地址。注意ip:手工指定走的是PUT /ip/container_id/cidr路径且脚本会对冲突地址给出告警weave 脚本 L943-L949。多子网分配的实践要点同一分配范围、多个默认子网要隔离应用先在每个主机上用相同参数启动weave launch --ipalloc-range 10.2.0.0/16 --ipalloc-default-subnet 10.2.1.0/24然后不同应用分别用WEAVE_CIDRnet:子网启动完整 ping 验证示例见 Isolating Applications on a Weave Network默认子网必须在分配范围内这是weaver启动时的硬性校验规划网段时务必让--ipalloc-default-subnet⊆--ipalloc-rangenet:依赖 IPAM 开启从脚本实现看若 IPAM 未启用却使用net:请求分配会返回错误提示 “IP address allocation must be enabled to use net:”weave 脚本 L935-L938地址保留每个子网的网络地址.0与广播地址.255等.-1不会被分配不要与 AWS VPC 模式混用脚本在 AWSVPC 模式下禁止为容器指定具体 IP 或子网weave 脚本 L910-L913。延伸阅读Allocating IP AddressesIPAM 总览初始化策略seed/consensus/observer、quorum 机制、分配范围选择与数据持久化Isolating Applications on a Weave Network基于多子网的完整应用隔离实操含 ping 验证输出Manually Specifying the IP Address of a Containerip:手工指定地址在 proxy / plugin / CNI 三种接入方式下的用法IP addresses and routesCIDR 记法与路由基础Starting, Stopping and Removing Peers多主机网络扩容与维护。赞分享网络云原生【免费下载链接】weaveSimple, resilient multi-host containers networking and more.项目地址https://gitcode.com/gh_mirrors/weave4/weave点击查看免费下载相关推荐Podman 网络子网配置完全指南--subnet 选项与 Quadlet Subnet 深度解析Podman 网络子网配置完全指南 subnet 选项与 Quadlet Subnet 深度解析导读在 Podman 中 subnet Quadle容器运行时云原生CLIreact-native-meteor性能优化指南提升实时应用响应速度的10个技巧react native meteor性能优化指南提升实时应用响应速度的10个技巧 react native meteor是一款为React Native应用k3d IPAM管理网络地址分配与子网配置完整教程k3d IPAM管理网络地址分配与子网配置完整教程 k3d作为轻量级的Kubernetes发行版其网络配置能力对于开发者来说至关重要。本文将详细介绍k3d的云原生容器编排上一篇RPG Maker MV/MZ插件生态从性能优化到动态系统的技术实践下一篇如何用llama-cpp-python轻松部署本地AI大语言模型创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考

Weave Net 多子网自动分配（Multi-Subnet IPAM）：用 WEAVE_CIDR 与 --ipalloc-default-subnet 实现跨子网寻址与隔离

相关推荐

正则表达式量词完全指南：`+`、`*`、`?` 与 `{n}` 的匹配次数控制（zh.javascript.info）

智能家居B端交付系统的三大架构瓶颈与轻量化破局方案

题解：洛谷 P8901 [USACO22DEC] Circular Barn S（废）

更多资讯

Sapling 的 Indexed Log：一份从 Revlog 到 Append-Only 索引存储的设计解析

CouchDB 集群内部 RPC 机制深度解析：rexi 分布式调用框架的原理、源码与配置

PufferLib Bat 环境耳方向性（Ear Directivity）研究：从蝙蝠声学生物学到低成本 per-ear 增益模型的实现指南

12.【Linux系统编程】动静态库制作与使用

Webiny event-handler-aws 的 AwsLambdaContext 与 AwsLambdaEvent：基于 DI 的 Lambda 运行时抽象实战指南

现代 JavaScript 教程实战：用 cubic-bezier 让 CSS 尺寸动画“跳脱“边界（飞机缩放回弹动画）

今日更新

PHP htmlentities()函数用法讲解

AI Agent工程实战：从七要素到七个决策点的系统设计指南

AI入局芯片设计验证：验证收敛50倍加速的真相与应对

本周精选

CMOS设计三大物理效应：体效应、沟道长度调制与亚阈值导电

微信小程序在线阅读毕设全解析：Java后端+MySQL+避坑实战

Android音频问题五层分析法：从App到Codec的系统化诊断

本月热门

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

2026 大模型集体涨价：用 Python 做企业 Token 成本测算与选型避坑（附配置）

读完文章，想聊聊您的网站？