Kādas sarežģītas uzdevumus jums nācās risināt…

Istio balstīta mesh tīkla optimizācija starp pakalpojumiem. Bija nepieciešams identificēt un novērst šaurās vietas, kas saistītas ar Service Proxy (Envoy) pārmērību, mTLS konfigurāciju un politikas dzinēju. Tas ietvēra Istio metriku analīzi (pieprasījumu ilgumu, kļūdu skaitu, aizkavēšanos), izplatīto pieprasījumu izsekošanu un Envoy konfigurācijas optimizāciju.

Dinamiskās mērogošanas Kubernetes klasteru trafika maršrutēšanas problēmu risināšana. Mainot pakalpojumu apjomu, radās aizkavējumi EndpointSlices izplatīšanā un nepareiza slodzes sadale. Tas tika atrisināts, konfigurējot agresīvākus kešatmiņas laika ierobežojumus kube-proxy un izmantojot uzlabotus slodzes sadales algoritmus ingress kontrolierī (piemēram, least_request).

Droša un uzticama savstarpēja mijiedarbība starp konteineriem dažādās segmentācijās ar stingriem tīkla politiku noteikumiem (Network Policies). Bija nepieciešams konfigurēt politikas tā, lai atļautu tikai nepieciešamo trafiku starp specifiskiem podiem vai namespace, bloķējot visu pārējo. Tas prasīja dziļu izpratni par Network Policies selektoriem un to piemērošanas mehānismiem, kā arī to īstenošanu ar trešo pušu CNI spraudņiem (piemēram, Calico).

DNS problēmu diagnosticēšana konteineros, īpaši vidēs ar vairākiem DNS serveriem vai sarežģītām pārsūtīšanas noteikumiem. Bija nepieciešams analizēt trafiku podu līmenī, izmantojot tcpdump, un pārbaudīt /etc/resolv.conf konfigurāciju konteineros, kā arī CoreDNS konfigurāciju Kubernetes klasterī.

# DNS trafika analīzes piemērs podā
kubectl exec <pod-name> -- tcpdump -i any udp port 53 -v

# NetworkPolicy piemērs, kas ļauj trafiku starp diviem namespace
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-frontend-to-backend
  namespace: frontend-namespace
spec:
  podSelector:
    matchLabels:
      app: frontend
  policyTypes:
    - Egress
  egress:
    - to:
      - podSelector:
          matchLabels:
            app: backend
        namespaceSelector:
          matchLabels:
            name: backend-namespace

Īpaša uzmanība jāpievērš nestandarta protokolu izmantošanai, kas nav atbalstīti "no kastes" līmenī Service Mesh vai CNI, un prasa pielāgotus iestatījumus, piemēram, rakstot savus Envoy filtrus, ja protokols atšķiras no HTTP/1.1 vai gRPC.

Kādas sarežģītas uzdevumus jums nācās risināt konteineru tīkla savienojuma jomā?