Container Service for Kubernetes:Use the NodeLocal DNSCache add-on

Fonctionnement

NodeLocal DNSCache se compose de deux composants :

• DaemonSet (agent de mise en cache DNS) : s'exécute sur chaque nœud, crée une interface réseau virtuelle et écoute les requêtes DNS sur l'adresse 169.254.20.10 par défaut. Pour modifier l'adresse IP d'écoute, ouvrez un ticket.

• Deployment (contrôleur d'admission) : intercepte les demandes de création de pods via des webhooks d'admission et injecte automatiquement la configuration dnsConfig dans les spécifications des pods.

L'agent de mise en cache repose sur CoreDNS et assure uniquement les fonctions de proxy et de cache. N'activez pas de plugins tels que hosts ou rewrite sur cet agent ; configurez-les directement dans CoreDNS.

Flux des requêtes DNS après le déploiement de NodeLocal DNSCache :

Flux des requêtes DNS après le déploiement de NodeLocal DNSCache :

Consultez la rubrique Politiques de résolution DNS et politiques de mise en cache.

Prérequis

Avant de commencer, assurez-vous d'avoir :

• Créé un cluster ACK.

• Connecté kubectl au cluster.

Limites

• Les nœuds Windows ne sont pas pris en charge. Pour les pods exécutés sur des nœuds virtuels (y compris les pods ECI et ACS), la mise en cache DNS est prise en charge uniquement si NodeLocal DNSCache version 1.6.0 ou ultérieure et ack-virtual-node version 2.14.0 ou ultérieure sont installés.

• Si le cluster utilise Terway, la version 1.0.10.301 ou ultérieure est requise. Si Terway fonctionne en mode ENI inclusif avec IPvlan, configurez d'abord Terway pour le mode IPvlan.

• NodeLocal DNSCache agit uniquement comme un proxy de mise en cache transparent pour CoreDNS et n'expose pas l'extensibilité des plugins. Configurez les plugins tels que hosts ou rewrite directement dans CoreDNS.

• Configurez le protocole par défaut du plugin forward de CoreDNS avant d'utiliser NodeLocal DNSCache, sinon CoreDNS pourrait échouer à résoudre les domaines externes. Consultez la rubrique Bonnes pratiques pour les services DNS.

• L'installation n'est pas effectuée par défaut sur les nœuds maîtres. Si des pods s'exécutent sur des nœuds maîtres avec des tolérances (taints), ajoutez les tolérances correspondantes au DaemonSet node-local-dns dans le namespace kube-system.

Installation de NodeLocal DNSCache

1. Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur console ACKClusters.

2. Recherchez votre cluster et choisissez More > Operations > Manage Components dans la colonne Actions.

3. Sur la page Add-ons, cliquez sur l'onglet Networking et recherchez ACK NodeLocal DNSCache.

4. Cliquez sur Install. Dans la boîte de dialogue, cliquez sur OK.

Configuration de NodeLocal DNSCache

Pour acheminer les requêtes DNS des pods via NodeLocal DNSCache, définissez les serveurs nameservers dans la configuration dnsConfig du pod sur 169.254.20.10 et sur l'adresse IP du cluster kube-dns. Utilisez l'une des méthodes suivantes :

kubectl label namespace default node-local-dns-injection=enabled

dnsConfig:
  nameservers:
  - 169.254.20.10
  - 172.21.0.10
  options:
  - name: ndots
    value: "3"
  - name: attempts
    value: "2"
  - name: timeout
    value: "1"
  searches:
  - default.svc.cluster.local
  - svc.cluster.local
  - cluster.local
dnsPolicy: None

metadata:
  labels:
    node-local-dns-injection: "disabled"

apiVersion: v1
kind: Pod
metadata:
  name: alpine
  namespace: default
spec:
  containers:
  - image: alpine
    command:
      - sleep
      - "10000"
    imagePullPolicy: Always
    name: alpine
  dnsPolicy: None
  dnsConfig:
    nameservers: ["169.254.20.10","172.21.0.10"]
    searches:
    - default.svc.cluster.local
    - svc.cluster.local
    - cluster.local
    options:
    - name: ndots
      value: "3"
    - name: attempts
      value: "2"
    - name: timeout
      value: "1"

--cluster-dns=169.254.20.10 --cluster-dns=<kube-dns-ip> --cluster-domain=<search-domain>

sudo systemctl daemon-reload
sudo systemctl restart kubelet

Exemple : Configuration de NodeLocal DNSCache pour un Deployment

Activez NodeLocal DNSCache pour un Deployment dans le namespace default en utilisant la méthode 1 (injection automatique).

1. Ajoutez un libellé au namespace pour activer l'injection automatique de la configuration dnsConfig.

   Important

   Le contrôleur d'admission ignore les pods des namespaces kube-system et kube-public. N'activez pas l'injection pour ces namespaces.

   kubectl label namespace default node-local-dns-injection=enabled

2. Déployez une application exemple. Enregistrez ce fichier YAML sous le nom ubuntu-deployment.yaml :

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: ubuntu
     labels:
       app: ubuntu
   spec:
     replicas: 2
     selector:
       matchLabels:
         app: ubuntu
     template:
       metadata:
         labels:
           app: ubuntu
       spec:
         containers:
         - name: ubuntu
           image: ubuntu
           command: ["sh", "-c"]
           args: ["sleep 100000"]

   Appliquez le manifeste :

   kubectl apply -f ubuntu-deployment.yaml

   Résultat attendu :

   deployment.apps/ubuntu created

3. Vérifiez que le Deployment est en cours d'exécution.

   kubectl get deployment ubuntu

   Résultat attendu :

   NAME     READY   UP-TO-DATE   AVAILABLE   AGE
   ubuntu   2/2     2            2           7s

4. Vérifiez l'injection de la configuration dnsConfig. Obtenez le nom d'un pod :

   kubectl get pods

   Résultat attendu :

   NAME                      READY   STATUS    RESTARTS   AGE
   ubuntu-766448f68c-m****   1/1     Running   0          4m39s
   ubuntu-766448f68c-w****   1/1     Running   0          4m39s

   Vérifiez la configuration dnsConfig d'un pod :

   kubectl get pod ubuntu-766448f68c-m**** -o=jsonpath='{.spec.dnsConfig}'

   Résultat attendu :

   map[nameservers:[169.254.20.10 172.21.0.10] options:[map[name:ndots value:5]] searches:[default.svc.cluster.local svc.cluster.local cluster.local]]

   La présence de 169.254.20.10 dans le champ nameservers confirme l'injection de la configuration dnsConfig.

Mise à jour de NodeLocal DNSCache

1. Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.

2. Cliquez sur le nom de votre cluster. Dans le volet de navigation de gauche, choisissez Operations > Add-ons.

3. Sur la page Add-ons, recherchez NodeLocal DNSCache et cliquez sur Upgrade. Dans la boîte de dialogue, cliquez sur OK.

Les tolérances personnalisées sur le DaemonSet node-local-dns sont écrasées lors de la mise à jour. Reconfigurez-les ensuite. Si la mise à jour échoue, consultez la rubrique Dépannage des composants .

Désinstallation de NodeLocal DNSCache

1. Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.

2. Cliquez sur le nom de votre cluster. Dans le volet de navigation de gauche, choisissez Operations > Add-ons.

3. Sur la page Add-ons, recherchez NodeLocal DNSCache et cliquez sur Uninstall. Dans la boîte de dialogue, cliquez sur OK.

Configuration de Terway pour le mode IPvlan

Dans les clusters avec des versions anciennes de Terway, la configuration par défaut peut ne pas router correctement le trafic DNS vers 169.254.20.10. Mettez à jour la configuration avant d'installer NodeLocal DNSCache.

1. Ouvrez le ConfigMap de Terway pour modification :

   kubectl -n kube-system edit cm eni-config -o yaml

2. Vérifiez le ConfigMap :

   • Si eniip_virtual_type n'est pas défini sur IPVlan, aucune modification n'est nécessaire. Passez à la section Installation de NodeLocal DNSCache.

   • Si host_stack_cidrs est déjà présent, aucune modification n'est nécessaire. Passez à la section Installation de NodeLocal DNSCache.

3. Si eniip_virtual_type est défini sur IPVlan et que host_stack_cidrs est absent, ajoutez host_stack_cidrs et définissez-le sur 169.254.20.10/32. Enregistrez et quittez.

   10-terway.conf: |
    {
      "cniVersion": "0.3.0",
      "name": "terway",
      "eniip_virtual_type": "IPVlan",
      "host_stack_cidrs": ["169.254.20.10/32"],
      "type": "terway"
    }

4. Listez les pods du DaemonSet Terway :

   kubectl -n kube-system get pod | grep terway-eniip

   Résultat attendu :

   terway-eniip-7****         2/2     Running   0          30m
   terway-eniip-s****         2/2     Running   0          30m

5. Supprimez les pods pour appliquer la configuration mise à jour :

   kubectl -n kube-system delete pod terway-eniip-7**** terway-eniip-s****

6. Connectez-vous à un nœud du cluster et vérifiez la mise à jour :

   cat /etc/cni/net.d/*

   Résultat attendu :

   {
     "cniVersion": "0.3.0",
     "name": "terway-chainer",
     "plugins": [
       {
         "eniip_virtual_type": "IPVlan",
         "host_stack_cidrs": [
           "169.254.20.10/32"
         ],
         "type": "terway"
       },
       {
         "type": "cilium-cni"
       }
     ]
   }

   Une fois que tous les pods Terway sont en cours d'exécution, passez à la section Installation de NodeLocal DNSCache.

Étapes suivantes

• Découverte de services basée sur DNS

• Politiques DNS et résolution de noms de domaine

• Bonnes pratiques pour les services DNS