检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
CCE集群IPVS转发模式下conn_reuse_mode问题说明 发布时间:2022/01/27 CCE集群在IPVS模式下,通过Service方式访问集群内部服务,偶现1秒延时的情况,引起该问题的主要原因为社区IPVS连接复用Bug。 详情请参见CCE集群IPVS转发模式下conn_reuse_mode问题说明。
插件实现,用于负责集群内网络通信。 Kubernetes虽然不负责搭建网络模型,但要求集群网络满足以下要求: Pod能够互相通信,且Pod必须通过非NAT网络连接,即收到的数据包的源IP就是发送数据包Pod的IP。 节点之间可以在非NAT网络地址转换的情况下通信。 Pod通信 同一个节点中的Pod通信
当节点无法连接互联网时,请参照如下方法排查。 排查项一:节点是否绑定弹性IP 登录ECS控制台,查看节点对应的弹性云服务器是否已绑定弹性IP。 若弹性IP一栏有IP地址,表示已绑定弹性IP。若没有,请为弹性云服务器绑定弹性IP。 图1 节点是否已绑定弹性IP 排查项二:节点是否配置网络ACL 登录VPC控制台,单击左侧导航栏的“访问控制
可创建的最大Pod数量说明。 云服务器组 云服务器组是对云服务器的一种逻辑划分,同一云服务器组中的云服务器遵从同一策略。 反亲和性策略:同一云服务器组中的云服务器分散地创建在不同主机上,提高业务的可靠性。 选择已创建的云服务器组,或单击“新建云服务器组”创建,创建完成后单击刷新按钮。
RS(IPVS的后端)上。 当net.ipv4.vs.conn_reuse_mode=1时,IPVS则会对新连接进行重新负载。 IPVS连接复用参数带来的问题 问题1 当net.ipv4.vs.conn_reuse_mode=0时,对于端口复用的连接,IPVS不会主动进行新的调度
类型进行压缩。 Brotli支持压缩所有类型。 Gzip支持压缩的类型如下: text/xml text/plain text/css application/javascript application/x-javascript application/rss+xml application/atom+xml
避免IPVS缺陷导致的DNS概率性解析超时 问题描述 当集群使用IPVS作为kube-proxy负载均衡模式时,您可能会在CoreDNS缩容或重启时遇到DNS概率性解析超时的问题。 该问题由社区Linux内核缺陷导致,具体信息请参见https://github.com/torva
echo "node ${ETH0_IP} works well"; fi; 参考命令中1.1.1.1为示例IP,该IP仅用于触发发送ARP报文。可直接使用,也可替换为任意合法IP。 若回显为如下则表示节点存在隐患(10.2.0.35为示例节点eth0网卡IP,具体以实际回显为准): WARNING
仅使用独享型ELB时,Ingress支持配置gzip数据压缩。 多个Ingress使用同一个ELB实例的同一个对外端口时,建议每个Ingress的gzip数据压缩配置相同,否则将以第一个创建的Ingress配置为准。详情请参见多个Ingress使用同一个ELB对外端口的配置说明。 配置gzip数据压缩 您可以使
容器访问公网有如下方法可以实现。 给容器所在节点绑定弹性公网IP(容器网络模型为VPC网络或容器隧道网络)。 给Pod IP绑定弹性公网IP(仅支持云原生2.0网络模型集群,在VPC控制台中手动为Pod的弹性网卡或辅助弹性网卡绑定弹性公网IP。不推荐使用,因为Pod被重调度后IP会变化导致新的Pod无法访问公网)。
排查项一:节点能否连接互联网 登录ECS控制台。 查看节点对应的弹性云服务器是否已绑定弹性IP或者配置NAT网关。 如图1,若弹性IP一栏有IP地址,表示已绑定弹性IP;若没有,请为弹性云服务器绑定弹性IP。 图1 节点是否已绑定弹性IP 排查项二:节点是否配置网络ACL 登录VPC控制台。
连接集群。 约束与限制 自定义EIP仅支持Ingress更新场景下配置,且Ingress的annotation中包含kubernetes.io/elb.eip-id。 自定义的EIP必须是未绑定状态。 配置自定义EIP后,如果ELB上的已有EIP是由CCE创建ELB时自动创建的且
允许所有IP访问:不设置访问控制。 白名单:仅所选IP地址组可以访问ELB地址。 黑名单:所选IP地址组无法访问ELB地址。 证书来源:支持TLS密钥和ELB服务器证书。 TLS密钥:创建密钥证书的方法请参见创建密钥。 ELB服务器证书:使用在ELB服务中创建的证书。 服务器证书:
IPVS缺陷导致节点上升级CoreDNS后出现概率性解析超时 故障现象 在集群使用IPVS转发的场景下,节点上升级CoreDNS后,可能出现概率性丢包,导致域名解析失败。 问题根因 该问题由IPVS缺陷导致,社区已在IPVS v5.9-rc1版本中修复该问题,详情请参见ipvs:
ingress: - ip: *.*.*.* - ip: 192.168.0.15 表1 关键参数说明 参数 参数类型 描述 kubernetes.io/elb.custom-eip-id String 自定义EIP的ID,您可以前往EIP控制台查看。该EIP必须是处于可绑定状态。
ELB IPv4私网地址检查异常处理 检查项内容 检查集群内负载均衡类型的Service所关联的ELB实例是否包含IPv4私网IP。 解决方案 解决方案一:删除关联无IPv4私网地址ELB的负载均衡型Service。 解决方案二:为无IPv4私网IP地址的ELB绑定一个私网IP。步骤如下:
权轮询、IP hash等。Nginx Ingress在原生的Nginx能力基础上,支持使用一致性哈希方法进行负载均衡。 Nginx默认支持的IP hash方法使用的是线性的hash空间,根据IP的hash运算值来选取后端的目标服务器。但是这种方法在添加删除节点时,所有IP值都需要
节点在新的镜像发布前请参考漏洞公告,完成节点漏洞修复。 节点不暴露到公网 如非必需,节点不建议绑定EIP,以减少攻击面。 在必须使用EIP的情况下,应通过合理配置防火墙或者安全组规则,限制非必须的端口和IP访问。 在使用cce集群过程中,由于业务场景需要,在节点上配置了kubeconfig
为IPv6双栈网卡的Pod配置共享带宽 使用场景 默认情况下具有IPv6双栈网卡的Pod只具备IPv6私网访问能力,如果需要访问公网,则需要为该IPv6双栈网卡的Pod配置共享带宽。 约束限制 仅支持CCE Turbo集群,且需要满足以下条件: 集群已开启IPv6双栈。 集群版本为v1
内部访问:包括集群内访问(通过集群虚拟IP)和节点访问(通过节点私有IP)两种方式。 表1 内部访问类型说明 内部访问类型 说明 端口如何填写 集群内访问(通过集群虚拟IP) 用于“工作负载之间的互访”,例如某个后端工作负载需要和前端工作负载互访,就需要选择该类型来实现内部互访。 集群虚拟IP,即Cluster