Kokias sudėtingas užduotis jums teko spręsti…

„Istio pagrindu veikianti mesh tinklo optimizacija tarp paslaugų. Reikėjo nustatyti ir pašalinti našumo kliūtis, susijusias su Service Proxy (Envoy) pertekliaus, mTLS konfigūracijos ir politikos variklio. Tai apėmė Istio metrikų analizę (užklausų trukmė, klaidų skaičius, delsimas), paskirstytų užklausų sekimą ir Envoy konfigūracijos tobulinimą.

Sprendžiant dinamiškai skalbiamų Kubernetes klasterių srauto maršrutizavimo problemas. Keičiant paslaugų mastą, atsirasdavo delsimas EndpointSlices platinime ir neteisingas apkrovos paskirstymas. Tai buvo išspręsta naudojant agresyvesnius cache timeout nustatymus kube-proxy ir pažangius apkrovos paskirstymo algoritmus ingress kontroleryje (pvz., least_request).

Saugus ir patikimas tarpusavio sąveikos įgyvendinimas tarp konteinerių skirtinguose segmentuose, taikant griežtas tinklo politikos taisykles (Network Policies). Reikėjo konfigūruoti politiką taip, kad leistų tik būtiną srautą tarp specifinių podų ar namespace'ų, blokuojant viską kitą. Tai reikalavo išsamiai suprasti Network Policies selektorius ir jų taikymo mechanizmus, taip pat naudoti trečiųjų šalių CNI plėtinius (pvz., Calico).

DNS problemų derinimas konteineriuose, ypač aplinkose su keliais DNS serveriais ar sudėtingomis peradresavimo taisyklėmis. Reikėjo analizuoti srautą podų lygyje naudojant tcpdump ir patikrinti /etc/resolv.conf konfigūraciją konteineriuose, taip pat CoreDNS konfigūraciją Kubernetes klasteryje.

# DNS srauto analizės pavyzdys pod'e
kubectl exec <pod-name> -- tcpdump -i any udp port 53 -v

# NetworkPolicy pavyzdys, leidžiantis srautą tarp dviejų namespace'ų
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-frontend-to-backend
  namespace: frontend-namespace
spec:
  podSelector:
    matchLabels:
      app: frontend
  policyTypes:
    - Egress
  egress:
    - to:
      - podSelector:
          matchLabels:
            app: backend
        namespaceSelector:
          matchLabels:
            name: backend-namespace

Sprendžiant sudėtingus protokolų naudojimo klausimus, kurie nėra palaikomi "iš dėžutės" lygio Service Mesh ar CNI, ir reikalauja pritaikytų nustatymų, pavyzdžiui, specialių Envoy filtrų rašymo, gali būti reikalinga kurti savo filtrus arba naudoti specializuotus sprendimus.

Kokias sudėtingas užduotis jums teko spręsti konteinerių tinklo sąveikos srityje?