Container Service for Kubernetes:DNS 解決およびキャッシュポリシー

ホストベースのアプリケーション（非コンテナ化）

Elastic Compute Service (ECS) インスタンス上で直接実行されるアプリケーションは、ホストの /etc/resolv.conf を使用します。このファイルは Virtual Private Cloud (VPC) DNS サーバを指しています。

標準的なコンテナ化された Pod（dnsPolicy: ClusterFirst）

デフォルトでは、Pod は ClusterFirst ポリシーを使用します。すべての DNS クエリはクラスター内の CoreDNS サービスに送信されます。

NodeLocal DNSCache が有効な Pod

NodeLocal DNSCache が有効な場合、Pod は同一ノード上のローカルキャッシュエージェントにクエリを送信します。これにより、次の 2 つのメリットがあります。

• 遅延の低減：DNS クエリがローカルで解決され、CoreDNS へのネットワークホップをスキップできます。

• conntrack テーブル保護：クエリは conntrack エントリを作成せずにローカルエージェントを使用するため、conntrack 競合が減少し、UDP DNS による conntrack テーブルの枯渇を防ぎます。

クライアント側

これらの /etc/resolv.conf パラメーターは glibc リゾルバによって解釈されます。ClusterFirst Pod の代表的な構成は次のとおりです。

nameserver 10.x.x.x          # CoreDNS ClusterIP
search default.svc.cluster.local svc.cluster.local cluster.local
options ndots:5 timeout:5 attempts:2

デプロイメント環境ごとのデフォルト値は次のとおりです。

^①^ attempts パラメーターは、サーバーが SERVFAIL、NOTIMP、または REFUSED を返すか、結果なしで NOERROR を返した場合にのみ適用されます。詳細については、「Attempts parameter request details」をご参照ください。

^②^ VPC DNS サーバ（100.100.2.136 および 100.100.2.138）は ECS インスタンス上のデフォルト DNS サーバです。これらは PrivateZone および権限のあるドメイン名を解決します。

^③^ CoreDNS ClusterIP は、kube-system 名前空間内の kube-dns サービス IP です。内部サービス名を解決し、PrivateZone および権限のあるクエリを転送します。

^④^ NodeLocal DNSCache は、アドオンがデプロイされると、各ノードの 169.254.20.10 でリッスンします。

追加の /etc/resolv.conf オプションについては、「resolv.conf

非標準リゾルバ

上記の glibc デフォルト値は、コンテナが glibc を使用している場合にのみ適用されます。一般的な例外は次の 2 つです。

• Alpine (musl libc)：Alpine に組み込まれている musl ライブラリは glibc を置き換え、異なる動作をします（「musl libc」をご参照ください）。

  • single-request および single-request-reopen オプションを /etc/resolv.conf でサポートしません。

  • Alpine 3.3 以前は search パラメーターや検索ドメインをサポートしないため、サービス検出が中断されます。

  • 複数の DNS サーバに対して同時リクエストを送信するため、NodeLocal DNSCache の最適化が効果を発揮しません。

  • 古いカーネルでは、同じソケット上で A レコードと AAAA レコードの同時リクエストが conntrack 競合状態をトリガーし、断続的なパケット損失を引き起こす可能性があります。

• 組み込みリゾルバを持つ言語（Go、Node.js）：これらのランタイムはしばしば /etc/resolv.conf をバイパスし、システムリゾルバとは異なる方法で解決を行います。

クラスター内 DNS サーバ

デフォルトでは、CoreDNS は ECS の /etc/resolv.conf からアップストリームを読み取り、組み込みの forward プラグインで DNS リクエストを転送します。NodeLocal DNSCache は、同じ転送構成を持つ埋め込み型 CoreDNS インスタンスを実行します。

forward プラグインのパラメーター（完全なリファレンス）：

クライアント側

クライアント側のキャッシュは、コンテナイメージおよびアプリケーションによって異なります。

クラスター内 DNS サーバ

ACK における CoreDNS および NodeLocal DNSCache のキャッシュパラメーターは次のとおりです。

フォールトトレランスの強化

dnsPolicy: Default を使用すると、コンテナは ECS の /etc/resolv.conf から VPC DNS サーバ設定を継承しますが、rotate、single-request-reopen、timeout:2、および attempts:3 オプションは継承されません。これらのオプションがないと、ネットワークジッターにより断続的な DNS エラーが発生する可能性があります。

継承される構成：

apiVersion: v1
kind: Pod
metadata:
  name: example
  namespace: default
spec:
  containers:
  - image: registry.cn-hangzhou.aliyuncs.com/example-ns/example:v1
    name: example
  # Pod YAML の dnsPolicy 値は Default です。
  dnsPolicy: Default

# この時点でのコンテナ内の /etc/resolv.conf ファイル。
# cat /etc/resolv.conf
nameserver 100.100.2.136
nameserver 100.100.2.138

不足しているフォールトトレランスオプションを復元するために、dnsConfig を追加します。

apiVersion: v1
kind: Pod
metadata:
  name: example
  namespace: default
spec:
  containers:
  - image: registry.cn-hangzhou.aliyuncs.com/example-ns/example:v1
    name: example
  # Pod YAML の dnsPolicy 値は Default です。
  dnsPolicy: Default
  # 次のフォールトトレランス構成を追加します。
  dnsConfig:
    options:
    - name: timeout
      value: "2"
    - name: attempts
      value: "3"
    - name: rotate
    - name: single-request-reopen

# 変更後、Pod を再デプロイします。コンテナ内の /etc/resolv.conf に options パラメーターが追加されます。
# cat /etc/resolv.conf
nameserver 100.100.2.136
nameserver 100.100.2.138
options rotate single-request-reopen timeout:2 attempts:3

serve_stale を使用した高可用性

serve_stale を使用すると、アップストリーム DNS サーバが到達不能な場合でも、CoreDNS は期限切れのキャッシュエントリを返すことができるため、一時的な停止による解決エラーを防げます。

serve_stale は、CoreDNS unmanaged edition v1.12.1 以降でデフォルトで有効になっています。「RFC-8767」をご参照ください。

構成フォーマット

serve_stale [DURATION] [REFRESH_MODE]

• DURATION：有効期限が切れたエントリが提供可能となる期間。デフォルト：1h。この期間を超えて正常なリフレッシュが行われなかったエントリは、もはや提供されません。

• REFRESH_MODE：CoreDNS が期限切れエントリを処理する方法を制御します。

  • verify：まずアップストリームの到達可能性を確認し、利用可能な場合は最新のエントリを返し、そうでない場合は期限切れのエントリを返します。期限切れ応答の遅延は大きくなりますが、最新データが存在する場合に古いデータを提供することを回避できます。

  • immediate：期限切れのエントリを即座に返し、バックグラウンドでアップストリームからリフレッシュします。高速ですが、古いデータを提供する可能性があります。

例

CoreDNS unmanaged edition v1.12.1.2 以降のデフォルト構成：

cache 30 {
  ...
  serve_stale 30s verify
}

cache 30 {
  ...
  serve_stale 1h immediate
}