Container Service for Kubernetes：Konfigurasikan pengontrol NGINX Ingress dalam skenario beban tinggi

Deskripsi parameter

Tabel berikut menjelaskan parameter utama dalam ConfigMap.

Konfigurasikan rotasi log otomatis

Secara default, pod pengontrol NGINX Ingress mencatat log ke /dev/stdout. Saat file log bertambah besar, lebih banyak sumber daya dikonsumsi untuk mencatat log baru. Anda dapat mengurangi konsumsi sumber daya pencatatan log dengan memutar log secara berkala. Metode ini menyimpan log dari periode waktu tertentu ke file terpisah dan membersihkan catatan log asli.

1. Masuk ke node ECS tempat pod pengontrol NGINX Ingress diterapkan menggunakan SSH. Untuk informasi lebih lanjut, lihat Hubungkan ke Instance Linux Menggunakan Pasangan Kunci SSH.

2. Tambahkan file nginx-log-rotate.sh ke direktori /root.

   Node containerd

   #!/bin/bash
   # Tentukan jumlah maksimum file log yang disimpan. Anda dapat mengubah angka berdasarkan kebutuhan Anda.
   keep_log_num=5
   
   #Dapatkan ID semua kontainer ingress-nginx yang sedang berjalan
   ingress_nginx_container_ids=$(crictl ps | grep nginx-ingress-controller | grep -v pause | awk '{print $1}')
   if [[ -z "$ingress_nginx_container_ids" ]]; then
    echo "error: failed to get ingress nginx container ids"
    exit 1
   fi
   
   # Buat pod pengontrol NGINX Ingress tidur selama periode waktu acak antara 5 dan 10 detik.
   sleep $(( RANDOM % (10 - 5 + 1 ) + 5 ))
   for id in $ingress_nginx_container_ids; do
    crictl exec $id bash -c "cd /var/log/nginx; if [[ \$(ls access.log-* | wc -l) -gt $keep_log_num ]]; then rm -f \$(ls -t access.log-* | tail -1); fi ; mv access.log access.log-\$(date +%F:%T) ; kill -USR1 \$(cat /tmp/nginx/nginx.pid)"
   done	
   

   Node Docker

   #!/bin/bash
   # Tentukan jumlah maksimum file log yang disimpan. Anda dapat mengubah angka berdasarkan kebutuhan Anda.
   keep_log_num=5
   
   #Dapatkan ID semua kontainer ingress-nginx yang sedang berjalan
   ingress_nginx_container_ids=$(docker ps | grep nginx-ingress-controller | grep -v pause | awk '{print $1}')
   if [[ -z "$ingress_nginx_container_ids" ]]; then
    echo "error: failed to get ingress nginx container ids"
    exit 1
   fi
   
   # Buat pod pengontrol NGINX Ingress tidur selama periode waktu acak antara 5 dan 10 detik.
   sleep $(( RANDOM % (10 - 5 + 1 ) + 5 ))
   for id in $ingress_nginx_container_ids; do
    docker exec $id bash -c "cd /var/log/nginx; if [[ \$(ls access.log-* | wc -l) -gt $keep_log_num ]]; then rm -f \$(ls -t access.log-* | tail -1); fi ; mv access.log access.log-\$(date +%F:%T) ; kill -USR1 \$(cat /tmp/nginx/nginx.pid)"
   done	
   	

3. Jalankan perintah berikut untuk menambahkan izin eksekusi ke file nginx-log-rotate.sh:

   chmod 755 /root/nginx-log-rotate.sh

4. Tambahkan konten berikut ke akhir file /etc/crontab:

   */15 * * * *  root /root/nginx-log-rotate.sh

   Catatan

   Contoh ini menggunakan ekspresi cron untuk memutar log setiap 15 menit. Anda dapat menyesuaikan frekuensinya berdasarkan kebutuhan Anda.

Aktifkan kompresi brotli

Meskipun kompresi data mengonsumsi waktu CPU tambahan, paket data terkompresi mengurangi penggunaan bandwidth, yang meningkatkan throughput jaringan. Brotli adalah algoritma kompresi open source yang dikembangkan oleh Google. Dibandingkan dengan algoritma kompresi gzip yang umum digunakan (yang digunakan secara default oleh pengontrol NGINX Ingress), Brotli biasanya mencapai rasio kompresi 15% hingga 30% lebih tinggi untuk data teks seperti sumber daya web. Namun, peningkatan spesifik tergantung pada detail skenario. Untuk mengaktifkan kompresi Brotli dalam pengontrol NGINX Ingress, Anda perlu mengonfigurasi parameter berikut:

• enable-brotli: Menentukan apakah akan mengaktifkan algoritma kompresi Brotli. Nilai valid: true dan false.

• brotli-level: Tingkat kompresi. Nilai valid: 1 hingga 11. Nilai default: 4. Tingkat kompresi yang lebih tinggi memerlukan lebih banyak sumber daya CPU.

• brotli-types: Jenis Multipurpose Internet Mail Extensions (MIME) yang menggunakan kompresi Brotli secara real-time.

Anda dapat mengaktifkan kompresi Brotli dengan menambahkan konfigurasi berikut ke ConfigMap:

data:
  enable-brotli: "true"
  brotli-level: "6"
  brotli-types: "text/xml image/svg+xml application/x-font-ttf image/vnd.microsoft.icon application/x-font-opentype application/json font/eot application/vnd.ms-fontobject application/javascript font/otf application/xml application/xhtml+xml text/javascript application/x-javascript text/plain application/x-font-truetype application/xml+rss image/x-icon font/opentype text/css image/x-win-bitmap"

Optimasi kinerja HTTPS

Untuk meningkatkan kinerja HTTPS pengontrol NGINX Ingress, Anda dapat mengonfigurasi parameter berikut: caching sesi SSL, OCSP stapling, data awal TLS 1.3, dan prioritas cipher suite.

• Caching Sesi SSL dan Timeout

  Anda dapat mengurangi overhead handshake SSL dengan menyetel ukuran caching sesi SSL bersama dan periode waktu untuk menggunakan kembali sesi yang disimpan dalam cache.

  • Konfigurasi ConfigMap:

    data:
      ssl-session-cache-size: "10m"
      ssl-session-timeout: "10m"

  • Konfigurasi nginx.conf di sisi NGINX. Anda dapat menyesuaikan konfigurasi berdasarkan kebutuhan bisnis Anda.

    ssl_session_cache shared:SSL:120m;   # 1m dapat menyimpan 4.000 sesi.
    ssl_session_timeout 1h;              # Periode timeout sesi adalah 1 jam.

• Aktifkan OCSP Stapling

  OCSP stapling mengurangi waktu yang diperlukan untuk verifikasi sertifikat klien.

  data:
    enable-ocsp: "true"

• Dukungan untuk Data Awal TLS 1.3 (0-RTT)

  Fitur data awal TLS 1.3, juga dikenal sebagai zero round trip-time (0-RTT), memungkinkan klien mengirim data sebelum handshake selesai. Ini mengurangi waktu respons.

  data:
    ssl-early-data: "true"
    ssl-protocols: "TLSv1.3"

• Ubah Prioritas Cipher Suite (Non-Manual)

  Anda dapat mengubah prioritas cipher suite untuk mengurangi latensi jaringan. ACK telah mengoptimalkan prioritas cipher suite untuk konfigurasi pengontrol NGINX Ingress.

  ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';
  ssl_prefer_server_ciphers on;    # Prioritaskan konfigurasi cipher di sisi server.