CNI(Container Network Interface)

1. CNI란 무엇인가요?

CNI(Container Network Interface)는 컨테이너 런타임과 네트워크 구현체 사이의 인터페이스 표준입니다. CNCF(Cloud Native Computing Foundation)에서 정의하였으며, 주로 Kubernetes, Docker, Containerd 등의 런타임에서 컨테이너 네트워크 설정을 위해 사용됩니다.

특징

• 컨테이너 생성/삭제 시 네트워크를 동적으로 설정
• IP 주소 할당, 라우팅, NAT, 방화벽 등 네트워크 기능 설정 가능
• 플러그인 기반 구조로 다양한 네트워크 모델과 연동 가능

2. 왜 CNI가 필요한가요?

컨테이너는 기본적으로 격리된 환경에서 동작하기 때문에 네트워크 설정이 자동화되고 일관성 있어야 합니다. 특히 Kubernetes처럼 수천 개의 컨테이너가 생성/소멸되는 환경에서는 CNI의 역할이 필수적입니다.

역할	설명
IP 할당	각 Pod에 고유한 IP 주소 부여
라우팅 설정	Pod 간 통신 및 외부와의 통신 경로 설정
플러그인 관리	다양한 네트워크 구현체와 연동 (예: Calico, Flannel)
멀티 네트워크 지원	Pod에 여러 개의 NIC 부착 가능 (Multus CNI 활용)

3. CNI의 구성요소

CNI는 크게 런타임, CNI 플러그인, CNI 설정 파일, 네트워크 구성 스크립트로 구성됩니다.

구성 요소	설명
CNI 플러그인	실제 네트워크 작업(IP 할당, 라우팅 등)을 수행하는 실행 파일
설정 파일	/etc/cni/net.d/에 JSON 형식으로 존재. 어떤 플러그인을 어떻게 쓸지 정의
런타임	Docker, containerd, CRI-O 등이 CNI를 호출
ADD/DEL 명령	컨테이너 생성 시 ADD, 삭제 시 DEL 명령을 플러그인에 전달

4. 주요 CNI 플러그인 종류

이름	특징
Flannel	가장 간단하고 널리 사용됨. Overlay 방식 기반
Calico	고성능, L3 기반 라우팅, 네트워크 정책 지원
Cilium	eBPF 기반 고성능 네트워크, 보안정책 통합
Weave	가시성과 암호화 기능 강화
Canal	Flannel + Calico 조합
Multus	하나의 Pod에 다중 네트워크 인터페이스 부여
Kube-OVN	SDN 기반, OVN(Open Virtual Network) 활용

5. CNI 동작 방식

기본 흐름:

1. 컨테이너 생성 요청 발생
2. 런타임이 CNI 설정(JSON) 로드
3. ADD 명령을 CNI 플러그인에 전달
4. 플러그인이 IP 주소 할당, 라우팅, 가상 인터페이스 설정
5. 컨테이너에 네트워크 인터페이스가 부착됨
6. 삭제 시 DEL 명령 호출

6. CNI 선택 기준

고려 요소	설명
규모	노드 수가 많다면 Calico, Cilium 추천
보안	네트워크 정책이 중요하면 Cilium 또는 Calico
성능	로우레벨 성능이 필요하다면 eBPF 기반 Cilium
간단한 구성	테스트나 소규모 클러스터에서는 Flannel

7. 보안과 네트워크 정책

CNI는 기본적으로 보안 정책을 자체적으로 지원하지 않음, 하지만 Calico, Cilium은 네트워크 정책을 내장하여 다음과 같은 기능을 지원합니다:

• Pod 간 트래픽 제한 (Namespace, Label 기반)
• 이중 허용/차단 정책 (Allow/Deny)
• L3/L4 레벨까지 제어 가능
• Audit 및 로깅

8. Kubernetes에서의 CNI 구성 예시

• Kubernetes에서는 NetworkPolicy 객체를 통해 정책을 CNI와 연결합니다.

9. 정리

항목	설명
정의	컨테이너 런타임과 네트워크 사이의 인터페이스 표준
핵심 기능	IP 할당, 라우팅, 플러그인 기반 네트워크 구성
동작 방식	런타임에서 CNI 플러그인을 호출해 네트워크 설정
대표 플러그인	Flannel, Calico, Cilium, Multus 등
Kubernetes와의 연동	Pod에 네트워크 자동 구성 및 정책 적용
보안 정책	Calico/Cilium으로 네트워크 레벨 접근 제어 가능