Какви сложни задачи трябваше да решите в областта на…

Оптимизация на производителността на мрежовото взаимодействие между услугите в mesh-мрежа на базата на Istio. Трябваше да се идентифицират и отстранят тесните места, свързани с overhead на Service Proxy (Envoy), настройката на mTLS и policy engine. Това включваше анализ на метриките на Istio (продължителност на заявките, брой грешки, закъснения), трасировка на разпределени заявки и настройка на Envoy.

Решаване на проблеми с маршрутизирането на трафика в динамично мащабируеми Kubernetes клъстери. При промяна на мащаба на услугите възникваха закъснения при разпространението на EndpointSlices и неправилно разпределение на натоварването. Това беше решено чрез настройка на по-агресивни тайм-аутове за кеширане в kube-proxy и използване на по-усъвършенствани алгоритми за баланс на натоварването на ingress контролера (например, least_request).

Реализация на безопасно взаимодействие между контейнери в различни подсети с строги правила за мрежови политики (Network Policies). Необходимо беше да се настроят политиките така, че да разрешават само необходимия трафик между специфични двойки подове или namespace-и, като същевременно блокират целия останал. Това изискваше дълбоко разбиране на селекторите на Network Policies и механизмите за тяхното прилагане от странични CNI плъгини (например, Calico).

Дебъгване на проблеми с разрешаването на имена (DNS) в контейнерите, особено в среди с няколко DNS сървъра или сложни правила за пренасочване. Трябваше да се анализира трафикът на ниво подове с помощта на tcpdump и да се проверява конфигурацията на /etc/resolv.conf в контейнерите, както и конфигурацията на CoreDNS в Kubernetes клъстера.

# Пример за анализ на DNS трафика в под
kubectl exec <pod-name> -- tcpdump -i any udp port 53 -v

# Пример за NetworkPolicy за разрешаване на трафик между два namespace
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-frontend-to-backend
  namespace: frontend-namespace
spec:
  podSelector:
    matchLabels:
      app: frontend
  policyTypes:
    - Egress
  egress:
    - to:
      - podSelector:
          matchLabels:
            app: backend
        namespaceSelector:
          matchLabels:
            name: backend-namespace

Решаване на сложностите, свързани с използването на нестандартни протоколи, които не се поддържат "от кутията" на ниво Service Mesh или CNI, и изискващи персонализирани настройки на proxy или специализирани решения. Например, организация на взаимодействие по протокол, различен от HTTP/1.1 или gRPC, вътре в Istio, което може да изисква писане на собствени Envoy филтри.

Какви сложни задачи трябваше да решите в областта на мрежовото взаимодействие между контейнери?