CNI : Container Network Interface
Infrastructure
CNI : Container Network Interface. « Interface réseau des conteneurs », par analogie avec le plombier qu'on appelle pour raccorder l'eau à chaque nouvel appartement, et qu'on rappelle pour la couper au départ du locataire.
Contrat : Une spécification et une bibliothèque qui fixent comment un environnement d'exécution appelle un greffon pour brancher un conteneur au réseau : ajout, suppression, vérification. Le greffon reçoit une configuration en JSON et renvoie les adresses attribuées.
Dans Kubernetes : Le kubelet délègue au greffon la création de l'interface de chaque pod et l'attribution de son adresse IP. Kubernetes, magnanime, exige que chaque pod joigne tous les autres sans NAT, puis laisse à d'autres le soin d'accomplir le miracle.
Greffons : Calico, Cilium, Flannel et consorts choisissent chacun leur mécanique : routage pur, tunnels VXLAN, programmes eBPF (extended Berkeley Packet Filter). Tous n'appliquent pas les NetworkPolicy ; en retenir un qui les ignore revient à rédiger le règlement intérieur d'un bâtiment sans portes.
Ce qui arrive si on s'en passe
Sans greffon CNI, le kubelet ne sait pas brancher les pods au réseau : ils restent bloqués au démarrage faute d'interface, et la grappe ressemble à un immeuble neuf où l'on aurait oublié de raccorder l'eau. Retenir un greffon qui n'applique pas les NetworkPolicy est plus insidieux : les politiques s'écrivent, sont acceptées sans erreur, et ne filtrent rien. Chaque pod joignant tous les autres sans NAT, un conteneur compromis atteint alors librement les bases de données et les services internes de la grappe. Le règlement est affiché dans le hall, conforme et signé ; il ne manque que les portes.
Explication de la marmotte
Un logiciel moderne est souvent découpé en petites boîtes indépendantes qui tournent côte à côte sur les mêmes machines. Chaque boîte a besoin d'une adresse pour parler aux autres, comme chaque appartement d'un immeuble a besoin d'un numéro et d'une boîte aux lettres. Il faut donc une règle commune qui dit comment brancher une nouvelle boîte au réseau quand elle démarre, et comment la débrancher quand elle s'arrête. Grâce à cette règle, on peut choisir librement l'outil qui fait les branchements sans changer le reste.
Où ce terme est utilisé
- Déployer des NetworkPolicy Kubernetes pas à pas (13 occurrences)
- Conteneurs, Kubernetes, CNI et service mesh (11 occurrences)
- Isolation réseau multi-tenant avec VPC et NetworkPolicy (5 occurrences)
- Durcir un serveur Linux avant la mise en production, checklist (2 occurrences)
- EBPF pour observabilité et enforcement Linux (2 occurrences)
- Monolithe ou microservices : choisir sans se mentir (2 occurrences)
- CCN-CERT Espagne : rôle, guides CCN-STIC et ENS (1 occurrence)
- Edge, MEC, Fog, Cloud-RAN et infrastructures distribuées (1 occurrence)
- Interfaces, pilotes et démarrage par le réseau (1 occurrence)
- Réseaux (1 occurrence)