Quelles tâches complexes avez-vous dû résoudre dans…

Optimisation des performances de l’interaction réseau entre services dans un mesh basé sur Istio. Il fallait identifier et éliminer les goulots d’étranglement liés à l’overhead du Service Proxy (Envoy), à la configuration mTLS et au moteur de politiques. Cela comprenait l’analyse des métriques Istio (durée des requêtes, nombre d’erreurs, latences), le traçage des requêtes distribuées et l’ajustement de la configuration d’Envoy.

Résolution des problèmes de routage du trafic dans des clusters Kubernetes à scalabilité dynamique. Lors de l’augmentation de l’échelle des services, des retards dans la propagation des EndpointSlices et une répartition de charge incorrecte apparaissaient. La solution a été d’ajuster des délais d’expiration de cache plus agressifs dans kube-proxy et d’utiliser des algorithmes de répartition de charge plus avancés dans le contrôleur d’entrée (par exemple, least_request).

Mise en œuvre d’une interaction sécurisée entre conteneurs dans différents sous-réseaux avec des règles strictes de politiques réseau (Network Policies). Il était nécessaire de configurer ces politiques pour n’autoriser que le trafic nécessaire entre des paires spécifiques de pods ou d’espaces de noms, tout en bloquant tout le reste. Cela nécessitait une compréhension approfondie des sélecteurs de Network Policies et des mécanismes d’application par des plugins CNI tiers (par exemple, Calico).

Débogage des problèmes de résolution DNS dans les conteneurs, notamment dans des environnements avec plusieurs serveurs DNS ou des règles de redirection complexes. L’analyse du trafic au niveau des pods avec tcpdump et la vérification de la configuration de /etc/resolv.conf dans les conteneurs, ainsi que la configuration de CoreDNS dans le cluster Kubernetes, étaient nécessaires.

# Exemple d’analyse du trafic DNS dans un pod
kubectl exec <nom-du-pod> -- tcpdump -i any udp port 53 -v

# Exemple de NetworkPolicy pour autoriser le trafic entre deux espaces de noms
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-frontend-to-backend
  namespace: frontend-namespace
spec:
  podSelector:
    matchLabels:
      app: frontend
  policyTypes:
    - Egress
  egress:
    - to:
      - podSelector:
          matchLabels:
            app: backend
        namespaceSelector:
          matchLabels:
            name: backend-namespace

Résolution des difficultés liées à l’utilisation de protocoles non standard, non supportés "out of the box" par Service Mesh ou CNI, nécessitant des configurations proxy personnalisées ou des solutions spécialisées. Par exemple, organiser l’interaction via un protocole différent de HTTP/1.1 ou gRPC dans Istio, ce qui pouvait nécessiter la création de filtres Envoy personnalisés.

Quelles tâches complexes avez-vous dû résoudre dans le domaine de l'interaction réseau entre les conteneurs?