¿Qué tareas complejas ha tenido que resolver en el ámbito de la interacción en red entre contenedores?

Optimización del rendimiento de la interacción en red entre servicios en una malla basada en Istio. Era necesario identificar y eliminar cuellos de botella relacionados con el overhead del Service Proxy (Envoy), la configuración de mTLS y el motor de políticas. Esto incluía analizar métricas de Istio (duración de solicitudes, número de errores, latencias), trazado de solicitudes distribuidas y ajuste de la configuración de Envoy.

Solución a problemas de enrutamiento de tráfico en clústeres de Kubernetes de escalado dinámico. Al escalar servicios, surgían retrasos en la propagación de EndpointSlices y una distribución de carga incorrecta. Se resolvió ajustando los tiempos de espera de caché en kube-proxy y utilizando algoritmos de balanceo más avanzados en el controlador de ingreso (por ejemplo, least_request).

Implementación de interacción segura entre contenedores en diferentes subredes con reglas estrictas de políticas de red (Network Policies). Era necesario configurar las políticas para permitir solo el tráfico necesario entre pares específicos de pods o espacios de nombres, bloqueando todo lo demás. Esto requería un profundo entendimiento de los selectores de Network Policies y los mecanismos de aplicación por plugins CNI externos (por ejemplo, Calico).

Depuración de problemas con la resolución de nombres (DNS) dentro de los contenedores, especialmente en entornos con múltiples servidores DNS o reglas complejas de redirección. Se analizaba el tráfico a nivel de pods usando tcpdump y se verificaba la configuración de /etc/resolv.conf en los contenedores, así como la configuración de CoreDNS en el clúster de Kubernetes.

# Ejemplo de análisis de tráfico DNS dentro de un pod
kubectl exec <nombre-del-pod> -- tcpdump -i any udp port 53 -v

# Ejemplo de NetworkPolicy para permitir tráfico entre dos espacios de nombres
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-frontend-to-backend
  namespace: frontend-namespace
spec:
  podSelector:
    matchLabels:
      app: frontend
  policyTypes:
    - Egress
  egress:
    - to:
      - podSelector:
          matchLabels:
            app: backend
        namespaceSelector:
          matchLabels:
            name: backend-namespace

Solución a dificultades relacionadas con el uso de protocolos no estándar, que no son soportados "de fábrica" en Service Mesh o CNI, y que requerían configuraciones personalizadas de proxy o soluciones especializadas. Por ejemplo, organizar la interacción mediante un protocolo diferente a HTTP/1.1 o gRPC dentro de Istio, lo que pudo haber requerido escribir filtros personalizados para Envoy.