{"id":37372,"date":"2019-10-31T22:17:16","date_gmt":"2019-10-31T19:17:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/etc-resolv-conf-dlya-kubernetes-pods-optsiya-ndots-5-kak-eto-mozhet-negativno-skazatsya-na-proizvoditelnosti-prilozheniya\/"},"modified":"2019-10-31T22:17:16","modified_gmt":"2019-10-31T19:17:16","slug":"etc-resolv-conf-dlya-kubernetes-pods-optsiya-ndots-5-kak-eto-mozhet-negativno-skazatsya-na-proizvoditelnosti-prilozheniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/administrirovanie\/etc-resolv-conf-dlya-kubernetes-pods-optsiya-ndots-5-kak-eto-mozhet-negativno-skazatsya-na-proizvoditelnosti-prilozheniya","title":{"rendered":"\/etc\/resolv.conf \u0434\u043b\u044f Kubernetes pods, \u043e\u043f\u0446\u0438\u044f ndots:5, \u043a\u0430\u043a \u044d\u0442\u043e \u043c\u043e\u0436\u0435\u0442 \u043d\u0435\u0433\u0430\u0442\u0438\u0432\u043d\u043e \u0441\u043a\u0430\u0437\u0430\u0442\u044c\u0441\u044f \u043d\u0430 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"\/etc\/resolv.conf<\/p>\n

<\/p>\n

Ned\u00e1vno jsme spustili Kubernetes 1.9 na AWS pomoc\u00ed Kops. V\u010dera, b\u011bhem plynul\u00e9ho nasazov\u00e1n\u00ed nov\u00e9ho provozu na na\u0161em nejv\u011bt\u0161\u00edm Kubernetes clusteru, jsem za\u010dal zaznamen\u00e1vat neobvykl\u00e9 chyby v DNS rozli\u0161en\u00ed, kter\u00e9 na\u0161e aplikace logovala.<\/p>\n

<\/a><\/noindex><\/p>\n

Na GitHubu se o tom u\u017e n\u011bjakou dobu mluv\u00ed<\/a><\/noindex>, proto jsem se tak\u00e9 rozhodl to prozkoumat. Nakonec jsem pochopil, \u017ee v na\u0161em p\u0159\u00edpad\u011b to zp\u016fsobila zv\u00fd\u0161en\u00e1 z\u00e1t\u011b\u017e na kube-dns<\/code> a dnsmasq<\/code>. Nejd\u016fle\u017eit\u011bj\u0161\u00ed a nejnov\u011bj\u0161\u00ed v\u011bc\u00ed pro m\u011b byla samotn\u00e1 p\u0159\u00ed\u010dina zna\u010dn\u00e9ho n\u00e1r\u016fstu provozu DNS dotaz\u016f. O tom a o tom, co s t\u00edm d\u011blat, je m\u016fj p\u0159\u00edsp\u011bvek.<\/p>\n

<\/p>\n

Rozli\u0161en\u00ed DNS uvnit\u0159 kontejneru \u2014 jako v jak\u00e9mkoliv syst\u00e9mu Linux \u2014 se ur\u010duje konfigura\u010dn\u00edm souborem \/etc\/resolv.conf<\/code>. V\u00fdchoz\u00ed nastaven\u00ed Kubernetes dnsPolicy<\/code> to ClusterFirst<\/code>, co\u017e znamen\u00e1, \u017ee jak\u00fdkoliv DNS dotaz bude p\u0159esm\u011brov\u00e1n na dnsmasq<\/code>, b\u011b\u017e\u00edc\u00ed v podu kube-dns<\/code> uvnit\u0159 clusteru, kter\u00fd pot\u00e9 p\u0159esm\u011bruje dotaz na aplikaci kube-dns<\/code>, pokud jm\u00e9no kon\u010d\u00ed suffixem clusteru, nebo jinak na DNS server vy\u0161\u0161\u00ed \u00farovn\u011b.<\/p>\n

<\/p>\n

Soubor \/etc\/resolv.conf<\/code> Uvnit\u0159 ka\u017ed\u00e9ho kontejneru to bude vypadat takto:<\/p>\n

<\/p>\n

nameserver 100.64.0.10\nsearch namespace.svc.cluster.local svc.cluster.local cluster.local \neu-west-1.compute.internal\noptions ndots:5<\/code><\/pre>\n
<\/p>\n
Jak m\u016f\u017eete vid\u011bt, jsou zde t\u0159i direktivy:<\/p>\n
<\/p>\n
    \n
  1. Server jmen \u2014 to je IP adresa slu\u017eby kube-dns<\/code><\/li>\n
  2. Jsou uvedeny 4 m\u00edstn\u00ed vyhled\u00e1vac\u00ed dom\u00e9ny search<\/code><\/li>\n
  3. Je zde volba ndots:5<\/code><\/li>\n<\/ol>\n
    <\/p>\n
    Zaj\u00edmavou \u010d\u00e1st\u00ed t\u00e9to konfigurace je, jak se m\u00edstn\u00ed vyhled\u00e1vac\u00ed dom\u00e9ny a nastaven\u00ed ndots:5<\/code> spolu sn\u00e1\u0161ej\u00ed. Abychom to pochopili, je t\u0159eba se pod\u00edvat na to, jak funguje rozli\u0161en\u00ed DNS pro ne\u00fapln\u00e1 jm\u00e9na.<\/p>\n
    <\/p>\n
    Co je to \u00fapln\u00e9 jm\u00e9no?<\/h3>\n
    <\/p>\n
    \u00dapln\u011b kvalifikovan\u00e9 jm\u00e9no je jm\u00e9no, u kter\u00e9ho nebude provedeno m\u00edstn\u00ed vyhled\u00e1v\u00e1n\u00ed, a jm\u00e9no bude pova\u017eov\u00e1no za absolutn\u00ed b\u011bhem rozli\u0161en\u00ed jmen. Podle dohody pova\u017euje DNS software jm\u00e9no za \u00fapln\u011b kvalifikovan\u00e9, pokud kon\u010d\u00ed te\u010dkou (.), A ne\u00fapln\u011b kvalifikovan\u00e9 v opa\u010dn\u00e9m p\u0159\u00edpad\u011b. Tedy google.com.<\/code> je \u00fapln\u011b kvalifikov\u00e1no, zat\u00edmco google.com<\/code> nen\u00ed. <\/p>\n
    <\/p>\n
    Jak se zpracov\u00e1v\u00e1 ne\u00fapln\u00e9 jm\u00e9no?<\/h3>\n
    <\/p>\n
    Kdy\u017e se aplikace p\u0159ipojuje k vzd\u00e1len\u00e9mu hostiteli, jeho\u017e jm\u00e9no je uvedeno, obvykle se rozli\u0161en\u00ed DNS prov\u00e1d\u00ed pomoc\u00ed syst\u00e9mov\u00e9ho vol\u00e1n\u00ed, jako je getaddrinfo()<\/code>. A pokud je jm\u00e9no ne\u00fapln\u00e9 (nekon\u010d\u00ed na .), je zaj\u00edmav\u00e9, zda se syst\u00e9mov\u00e9 vol\u00e1n\u00ed nejprve pokus\u00ed rozli\u0161it jm\u00e9no jako absolutn\u00ed, nebo projde nejprve m\u00edstn\u00edmi vyhled\u00e1vac\u00edmi dom\u00e9nami? To z\u00e1vis\u00ed na mo\u017enosti ndots<\/code>.<\/p>\n
    <\/p>\n
    Z manu\u00e1lu k resolv.conf<\/code>:<\/p>\n
    <\/p>\n
    ndots:n\n\nnastavuje pr\u00e1h pro po\u010det te\u010dek, kter\u00e9 se mus\u00ed objevit v n\u00e1zvu, ne\u017e dojde k proveden\u00ed po\u010d\u00e1te\u010dn\u00edho absolutn\u00edho dotazu. V\u00fdchoz\u00ed hodnota pro n je 1, co\u017e znamen\u00e1, \u017ee pokud n\u00e1zev obsahuje n\u011bjak\u00e9 te\u010dky, bude nejprve vyzkou\u0161eno jako absolutn\u00ed jm\u00e9no, ne\u017e k n\u011bmu budou p\u0159id\u00e1ny jak\u00e9koli prvky seznamu hled\u00e1n\u00ed.<\/code><\/pre>\n
    <\/p>\n
    To znamen\u00e1, \u017ee pokud je pro ndots<\/code> nastavena hodnota 5 a n\u00e1zev obsahuje m\u00e9n\u011b ne\u017e 5 te\u010dek, syst\u00e9mov\u00fd vol\u00e1n\u00ed se pokus\u00ed jej vy\u0159e\u0161it postupn\u011b, nejprve projde v\u0161echny m\u00edstn\u00ed vyhled\u00e1vac\u00ed dom\u00e9ny a v p\u0159\u00edpad\u011b ne\u00fasp\u011bchu na konci nakonec jej vy\u0159e\u0161\u00ed jako absolutn\u00ed jm\u00e9no.<\/p>\n
    <\/p>\n
    Pro\u010d to ndots:5<\/code> m\u016f\u017ee negativn\u011b ovlivnit v\u00fdkon aplikace?<\/h3>\n
    <\/p>\n
    Jak vid\u00edte, pokud va\u0161e aplikace pou\u017e\u00edv\u00e1 hodn\u011b extern\u00edho provozu, pro ka\u017ed\u00e9 nav\u00e1zan\u00e9 TCP spojen\u00ed (nebo p\u0159esn\u011bji, pro ka\u017ed\u00e9 vy\u0159e\u0161en\u00e9 jm\u00e9no) vygeneruje 5 DNS dotaz\u016f, ne\u017e bude n\u00e1zev spr\u00e1vn\u011b vy\u0159e\u0161en, proto\u017ee nejprve projde 4 m\u00edstn\u00edmi vyhled\u00e1vac\u00edmi dom\u00e9nami a nakonec se provede dotaz na vy\u0159e\u0161en\u00ed absolutn\u00edho jm\u00e9na.<\/p>\n
    <\/p>\n
    Na n\u00e1sleduj\u00edc\u00edm diagramu je zobrazen celkov\u00fd provoz na na\u0161ich 3 modulech kube-dns p\u0159ed a po p\u0159epnut\u00ed n\u011bkolika n\u00e1zv\u016f hostitel\u016f nastaven\u00fdch v na\u0161\u00ed aplikaci na pln\u011b kvalifikovan\u00e9.<\/p>\n
    <\/p>\n
    \"\/etc\/resolv.conf<\/p>\n
    <\/p>\n
    Na n\u00e1sleduj\u00edc\u00edm diagramu je zobrazeno zpo\u017ed\u011bn\u00ed aplikace p\u0159ed a po p\u0159epnut\u00ed n\u011bkolika n\u00e1zv\u016f hostitel\u016f nastaven\u00fdch v na\u0161\u00ed aplikaci na pln\u00e9 (vertik\u00e1ln\u00ed modr\u00e1 \u010d\u00e1ra je nasazen\u00ed):<\/p>\n
    <\/p>\n
    \"\/etc\/resolv.conf<\/p>\n
    <\/p>\n
    \u0158e\u0161en\u00ed \u010d. 1 \u2014 pou\u017e\u00edt pln\u011b kvalifikovan\u00e9 n\u00e1zvy<\/h3>\n
    <\/p>\n
    Pokud m\u00e1te m\u00e1lo statick\u00fdch extern\u00edch n\u00e1zv\u016f (tj. definovan\u00fdch v konfiguraci aplikace), ke kter\u00fdm vytv\u00e1\u0159\u00edte velk\u00e9 mno\u017estv\u00ed p\u0159ipojen\u00ed, nejjednodu\u0161\u0161\u00ed \u0159e\u0161en\u00ed m\u016f\u017ee b\u00fdt p\u0159epnout je na pln\u011b kvalifikovan\u00e9, jednodu\u0161e p\u0159id\u00e1n\u00edm. na konci.<\/p>\n
    <\/p>\n
    Toto nen\u00ed kone\u010dn\u00e9 \u0159e\u0161en\u00ed, ale pom\u00e1h\u00e1 rychle, by\u0165 ne \u010dist\u011b, vylep\u0161it situaci. Tento patch jsme aplikovali na \u0159e\u0161en\u00ed na\u0161eho probl\u00e9mu, jeho\u017e v\u00fdsledky byly zobrazeny na v\u00fd\u0161e uveden\u00fdch sn\u00edmc\u00edch obrazovky.<\/p>\n
    <\/p>\n
    \u0158e\u0161en\u00ed \u010d. 2 \u2014 p\u0159izp\u016fsoben\u00ed ndots<\/code> v dnsConfig<\/code><\/h3>\n
    <\/p>\n
    V Kubernetes 1.9 byl v alfa re\u017eimu p\u0159edstaven funk\u010dn\u00ed prvek (beta verze v1.10), kter\u00fd umo\u017e\u0148uje lep\u0161\u00ed kontrolu nad parametry DNS prost\u0159ednictv\u00edm vlastnosti podu v dnsConfig<\/code>. Mezi jin\u00fdm umo\u017e\u0148uje nastavit hodnotu ndots<\/code> pro konkr\u00e9tn\u00ed pod, tj.<\/p>\n
    <\/p>\n
    apiVersion: v1\nkind: Pod\nmetadata:\n  namespace: default\n  name: dns-example\nspec:\n  containers:\n    - name: test\n      image: nginx\n  dnsConfig:\n    options:\n      - name: ndots\n        value: \"1\"<\/code><\/pre>\n
    <\/p>\n
    Zdroje<\/h3>\n
    <\/p>\n