Jakie trudne zadania musiałeś rozwiązać w zakresie…

Optymalizacja wydajności interakcji sieciowej między usługami w mesh opartym na Istio. Konieczne było zidentyfikowanie i wyeliminowanie wąskich gardeł związanych z narzutem Service Proxy (Envoy), konfiguracją mTLS i silnikiem polityk. Obejmowało to analizę metryk Istio (czas trwania żądań, liczba błędów, opóźnienia), śledzenie rozproszonych żądań i dostrajanie konfiguracji Envoy.

Rozwiązanie problemów z routowaniem ruchu w dynamicznie skalowalnych klastrach Kubernetes. Przy skalowaniu usług pojawiały się opóźnienia w rozprzestrzenianiu EndpointSlices i nieprawidłowe równoważenie obciążenia. Rozwiązaniem było ustawienie bardziej agresywnych limitów czasowych pamięci podręcznej w kube-proxy i użycie bardziej zaawansowanych algorytmów równoważenia obciążenia na kontrolerze ingress (np. least_request).

Implementacja bezpiecznej interakcji między kontenerami w różnych podsieciach z rygorystycznymi zasadami polityk sieciowych (Network Policies). Konieczne było skonfigurowanie polityk tak, aby zezwalały tylko na niezbędny ruch między określonymi parami podów lub przestrzeniami nazw, blokując wszystko inne. Wymagało to głębokiego zrozumienia selektorów Network Policies i mechanizmów ich stosowania przez zewnętrzne wtyczki CNI (np. Calico).

Debugowanie problemów z rozwiązywaniem nazw DNS w kontenerach, szczególnie w środowiskach z wieloma serwerami DNS lub skomplikowanymi regułami przekierowań. Analiza ruchu na poziomie podów za pomocą tcpdump i sprawdzanie konfiguracji /etc/resolv.conf w kontenerach oraz konfiguracji CoreDNS w klastrze Kubernetes.

# Przykład analizy ruchu DNS w podzie
kubectl exec <nazwa-poda> -- tcpdump -i any udp port 53 -v

# Przykład NetworkPolicy pozwalającej na ruch między dwoma przestrzeniami nazw
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-frontend-to-backend
  namespace: frontend-namespace
spec:
  podSelector:
    matchLabels:
      app: frontend
  policyTypes:
    - Egress
  egress:
    - to:
      - podSelector:
          matchLabels:
            app: backend
        namespaceSelector:
          matchLabels:
            name: backend-namespace

Rozwiązanie problemów związanych z używaniem niestandardowych protokołów, które nie są obsługiwane "out of the box" na poziomie Service Mesh lub CNI, i wymagały niestandardowych ustawień proxy lub specjalistycznych rozwiązań. Na przykład organizacja komunikacji za pomocą protokołu innego niż HTTP/1.1 lub gRPC w Istio, co mogło wymagać napisania własnych filtrów Envoy.

Jakie trudne zadania musiałeś rozwiązać w zakresie interakcji sieciowej między kontenerami?