NSX-T 可以通过 K8s 的容器网络接口 （Container Network Interface） 来向容器提供虚拟化的网络服务，PKS 的用户可以方便地通过命令行来创建和管理由 NSX-T 提供的虚拟网络服务对象，如：分布式防火墙、逻辑交换机、网络安全策略等等，例如：
- 创建命名空间 ：在创建容器 Namespace 的同时，NSX-T 会自动创建一个分布式路由器和逻辑交换机，从网络层面上把这个 Namespace 隔离开来。
- 网络策略：创建网络策略命令会在分布式防火墙上创建一组对应的安全策略，根据安全策略定义的规则来阻止指定的网络流量。
- 应用部署：具体的应用部署之后，NSX-T 就会根据安全策略中的规则来控制对于应用容器的流量访问，PKS 自来的 traceflow 功能可以方便地查看两个窗口或服务之间的流量关系。
- 网络策略：删除相关的网络策略后，就会在相关的分布式防墙上删除相应的网络策略。
- 负载均衡器 Ingress：NSX-T 也为容器应用提供了负载均衡服务 Ingress，Ingress 具有层7的网络路由功能。
通过 NSX-T 和 Ingress 负载均衡器相配合，可以实现层 7 的路由功能，在演示中我们看到 Ingress 服务可以通过 URL 的后缀 coffee （10.40.14.35/coffee） 或 tea （10.40.14.35/tea）来把访问请求导向具体的容器服务，因为 Ingress 支持这种基于 HTTP 协议的负载均衡服务。
接下来请大家点击阅读原文看一段关于 PKS 中 NSX-T 虚拟化网络功能的演示，主要包括了以下几个场景：
- 创建命名空间：在 PKS 集群中创建 namespace bar，可以看到 NSX-T 在后台自动创建了一个逻辑路由器和交换机来为命名空间 bar 提供一个独立的网段；
- 利用网络策略来控制网络通讯：创建网络策略来阻止带有 db 和 nginx 标签的 Pod 之间的通讯， NSX-T 提供的 Traceflow 工具可以让管理员直观地看到多个 Pod 指定端口之间的通讯被阻止了；
- 通过 Ingress 控制器来均衡负载：部署一个 Ingress 控制器来分配 coffee 和 tea 服务之间的工作负载，Ingress 具有层 7 的网绺路由能力，能够通过 URL 上的服务名字 （coffee 或 tea） 来把网络包专递给相应的服务。
