/etc/resolv.conf за Kubernetes pods, опция ndots:5, как това може да повлияе отрицателно на производителността на приложението

Наскоро стартирахме Kubernetes 1.9 на AWS с помощта на Kops. Вчера, докато плавно пуснах нов трафик към най-големия от нашите Kubernetes клъстери, започнах да забелязвам необичайни грешки при разрешаване на DNS имена, регистрирани от нашето приложение.

Има доста много за това в GitHub каза, така че реших и аз да го разбера. В крайна сметка разбрах, че в нашия случай това се дължи на повишеното натоварване на kube-dns и dnsmasq. Най-интересното и ново за мен беше самата причина за значителното увеличение на трафика на DNS заявки. Постът ми е за това и какво да направя по въпроса.

Резолюцията на DNS вътре в контейнера - както във всяка Linux система - се определя от конфигурационния файл /etc/resolv.conf. Kubernetes по подразбиране dnsPolicy този ClusterFirst, което означава, че всяка DNS заявка ще бъде препратена към dnsmasq, тичане в подс kube-dns вътре в клъстера, който от своя страна ще препрати заявката към приложението kube-dns, ако името завършва със суфикс на клъстер, или в противен случай към DNS сървър от по-високо ниво.

досие /etc/resolv.conf вътре във всеки контейнер по подразбиране ще изглежда така:

nameserver 100.64.0.10
search namespace.svc.cluster.local svc.cluster.local cluster.local 
eu-west-1.compute.internal
options ndots:5

Както можете да видите, има три директиви:

1. Сървърът за имена е IP адресът на услугата kube-dns
2. Посочени са 4 домейна за локално търсене search
3. Има вариант ndots:5

Интересната част от тази конфигурация е как домейните и настройките за локално търсене ndots:5 разбирайте се заедно. За да разберете това, трябва да разберете как работи DNS резолюцията за неквалифицирани имена.

Какво е пълно име?

Напълно квалифицирано име е име, за което няма да се извършва локално търсене и името ще се счита за абсолютно по време на разрешаването на името. По конвенция DNS софтуерът счита името за напълно квалифицирано, ако завършва с точка (.), и не е напълно квалифицирано в противен случай. Това е google.com. напълно дефинирани и google.com - Не.

Как се обработва неквалифицирано име?

Когато дадено приложение се свърже с отдалечения хост, посочен в името, разрешаването на DNS име обикновено се извършва чрез системно извикване, напр. getaddrinfo(). Но ако името е неквалифицирано (не завършва с .), чудя се дали системното извикване ще се опита първо да разреши името като абсолютно име или първо да премине през домейните за локално търсене? Зависи от варианта ndots.

От ръководството resolv.conf:

ndots:n

устанавливает порог для количества точек, которые должны появиться в имени, прежде чем будет сделан начальный абсолютный запрос. Значение по умолчанию для n равно 1, что означает, что если в имени есть какие-либо точки, имя будет сначала опробовано как абсолютное имя, прежде чем к нему будут добавлены какие-либо элементы списка поиска.

Това означава, че ако за ndots дадена стойност 5 и името съдържа по-малко от 5 точки, системното извикване ще се опита да го разреши последователно, като първо премине през всички локални домейни за търсене и, ако не успее, в крайна сметка ще го разреши като абсолютно име.

Защо така ndots:5 може ли да повлияе отрицателно на производителността на приложението?

Както можете да си представите, ако вашето приложение използва много външен трафик, за всяка установена TCP връзка (или по-точно за всяко разрешено име), то ще издаде 5 DNS заявки, преди името да бъде правилно разрешено, защото първо ще премине през 4 домейн за локално търсене и накрая ще издаде заявка за абсолютна резолюция на име.

Следващата диаграма показва общия трафик на нашите 3 kube-dns модула преди и след като превключихме няколкото имена на хостове, конфигурирани в нашето приложение, към напълно квалифицирани.

Следващата диаграма показва латентността на приложението преди и след като превключихме няколко имена на хостове, конфигурирани в нашето приложение, на пълни имена (вертикалната синя линия е внедряването):

Решение #1 - Използвайте напълно квалифицирани имена

Ако имате няколко статични външни имена (т.е. дефинирани в конфигурацията на приложението), към които създавате голям брой връзки, може би най-простото решение е да ги превключите към напълно квалифицирани, като просто ги добавите. накрая.

Това не е окончателно решение, но помага за бързо, макар и не чисто, подобряване на ситуацията. Приложихме тази корекция, за да разрешим нашия проблем, резултатите от който бяха показани на екранните снимки по-горе.

Решение #2 - персонализиране ndots в dnsConfig

В Kubernetes 1.9 функционалността се появи в алфа режим (бета версия v1.10), което ви позволява да контролирате по-добре DNS параметрите чрез свойството на pod в dnsConfig. Освен всичко друго, той ви позволява да конфигурирате стойността ndots за конкретна шушулка, т.е.

apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: dns-example
spec:
  containers:
    - name: test
      image: nginx
  dnsConfig:
    options:
      - name: ndots
        value: "1"

източници

• Какво представлява квалификацията на DNS име
• Kubernetes: DNS за услуги и подове

Прочетете и други статии в нашия блог:

• Разбиране на контекстния пакет в Golang
• Три лесни трика за свиване на Docker изображения
• Архивиране на състоянието в Kubernetes
• Архивиране на голям брой разнородни уеб проекти
• Telegram бот за Redmine. Как да направим живота по-лесен за себе си и другите

Източник: www.habr.com