Container Service for Kubernetes:ネットワーク管理に関するよくある質問

コンテナネットワークに関するよくある質問

Terway 関連

• Terway の主なネットワークモードは何ですか？

• Terway が排他的な ENI モードと共有 ENI モードのどちらで実行されているかを確認する方法を教えてください。

• Terway のネットワーク高速化が DataPathv2 と IPvlan+eBPF のどちらを使用しているかを確認する方法を教えてください。

• DataPathv2 または IPvlan+eBPF モードの Terway は、ルーティング時に IPVS をバイパスしますか？

• 既存の ACK クラスターのネットワークプラグインを切り替えることはできますか？

• Terway モードで仮想スイッチを追加した後、クラスターがパブリックネットワークにアクセスできなくなりました。どうすればよいですか？

• Terway で使用している vSwitch の IP リソースが枯渇した場合、どうすればよいですか？

• Terway モードで、Pod の IP が仮想スイッチの CIDR ブロックの範囲外になっています。どうすればよいですか？

• Terway モードで vSwitch をスケーリングした後も、Pod に IP が割り当てられません。どうすればよいですか？

• Kubernetes クラスター用の Terway と Flannel ネットワークプラグインのどちらを選択すればよいですか？

• Terway IPvlan クラスターで内部負荷分散を有効にするにはどうすればよいですか？

• ACK 内の Terway ネットワークで特定の CIDR ブロックを Pod の許可リストに追加するにはどうすればよいですか？

• Terway ネットワークモードでサポートされる最大 Pod 数はいくつですか？

• Terway ネットワーク Pod のライフサイクルを確認するにはどうすればよいですか？

• Terway DataPath V2 データプレーンモード

• Terway コンポーネントのスペックアップ時の一般的な問題

• Terway モードで、「MAC アドレスが見つかりません」というエラーにより Pod の作成が失敗します。

Flannel 関連

• Kubernetes 1.16 以降のクラスターで Flannel イメージを手動でスペックアップした後に互換性の問題が発生した場合の解決方法を教えてください。

• Kubernetes クラスターのネットワークプラグインとして Terway と Flannel のどちらを選択すべきですか？

• Pod が一部の ECS ノードにのみ PING できるのはなぜですか？

• クラスターノードに NodeNetworkUnavailable Taint が付与されているのはなぜですか？

• クラスターで複数のルートテーブルを構成する必要があるのはどのような場合ですか？

• 「no IP addresses available in range」というエラーにより Pod の起動が失敗するのはなぜですか？

• ノードあたりの IP アドレス数、Pod CIDR、および Service CIDR を変更するにはどうすればよいですか？

kube-proxy

• kube-proxy の構成を変更するにはどうすればよいですか？

• kube-proxy で IPVS 負荷分散モードを変更するにはどうすればよいですか？

• kube-proxy で IPVS UDP セッション維持タイムアウトを変更するにはどうすればよいですか？

IPv6 関連

IPv6 デュアルスタックの一般的な問題をトラブルシューティングするにはどうすればよいですか？

その他

• Pod 起動後の遅延問題をトラブルシューティングするにはどうすればよいですか？

• Pod が自身が公開している Service にアクセスするにはどうすればよいですか？

• クラスターネットワークを計画するにはどうすればよいですか？

• ACK はポートマッピング用の hostPort をサポートしていますか？

• クラスターのネットワークタイプと関連付けられた vSwitch を確認するにはどうすればよいですか？

• クラスターで使用されているクラウドリソースを確認するにはどうすればよいですか？

• Linux ノードの接続トラッキング制限を増やすにはどうすればよいですか？

• サードパーティのネットワークプラグインをインストールおよび構成できますか？

• Pod CIDR が枯渇した際に「no IP addresses available in range set」エラーを解決するにはどうすればよいですか？

• クラスタードメインを構成する際に考慮すべき点は何ですか？

Service に関するよくある質問

SLB 関連

• ACK クラスターによって作成された CLB インスタンスの用途は何ですか？

• 外部トラフィックポリシーで Local と Cluster のどちらを選択すべきですか？

• Service と LoadBalancer の同期に関するイベントが表示されないのはなぜですか？

• CLB インスタンスが Pending 状態で停止している場合の対処方法を教えてください。

• vServer グループが更新されない場合の対処方法を教えてください。

• Service アノテーションが有効にならない場合の対処方法を教えてください。

• CLB 構成が変更されたのはなぜですか？

• クラスター内から CLB IP アドレスにアクセスできないのはなぜですか？

• CLB インスタンスはいつ削除されますか？

• 誤って CLB インスタンスを削除してしまった場合の対処方法を教えてください。

• Service を削除すると、関連付けられた CLB インスタンスも削除されますか？

• 古い CCM バージョンで CLB の名前変更を有効にするにはどうすればよいですか？

• Local モードでのノード重みはどのように計算されますか？

• クラスター内のすべての CLB インスタンスを一覧表示するにはどうすればよいですか？

• LoadBalancer Service の接続ドレインを有効にするにはどうすればよいですか？

CCM アップグレード

• CCM スペックアップが失敗した場合の対処方法を教えてください。

既存の SLB を使用する際のよくある質問

• 既存の CLB インスタンスの再利用が失敗するのはなぜですか？

• 既存の CLB インスタンスを再利用してもリスナーが作成されないのはなぜですか？

その他

• Service のエラーメッセージと解決方法

• CCM スペックアップが失敗した場合の対処方法を教えてください。

• Service のセッション維持を有効にするにはどうすればよいですか？

• NodePort Service のリスナーを構成するにはどうすればよいですか？

• NodePort Service にアクセスするにはどうすればよいですか？

• NodePort の範囲を構成するにはどうすればよいですか？

• ACK 専用クラスターで CCM スペックアップに必要な権限を追加するにはどうすればよいですか？

Ingress に関するよくある質問

構成

• Ingress はどの SSL/TLS バージョンをサポートしていますか？

• Ingress では、L7 リクエストヘッダーはデフォルトで透過されますか？

• Ingress-Nginx はバックエンドの HTTPS サービスへのトラフィック転送をサポートしていますか？

• Ingress L7 はクライアントの送信元 IP アドレスを透過しますか？

• Nginx Ingress Controller は HSTS をサポートしていますか？

• Ingress-Nginx はどの書き換え構成をサポートしていますか？

• Nginx Ingress Controller のネットワークタイプを構成する

• ACK コンポーネント管理で Nginx Ingress Controller コンポーネントをスペックアップすると、どのような変更が発生しますか？

• マーケットプレイスからデプロイした ack-ingress-nginx で既存の SLB を使用するにはどうすればよいですか？

• Ingress-nginx リスナーをレイヤー 4 からレイヤー 7 (HTTPS/HTTP) に変更するにはどうすればよいですか？

• Nginx Ingress に関するよくある質問

アクセスと接続性

• クラスター内でクラスターの LoadBalancer 外部アドレスにアクセスできません。

• Ingress Controller 自体にアクセスできません。

• クラスターで TLS 証明書を追加または変更した後も、デフォルトまたは古い証明書が使用され続けます。

• Nginx Ingress の異常をトラブルシューティングする

• Ingress を介して公開された gRPC サービスに接続できません。

• バックエンド HTTPS サービスに接続できません。

• Ingress Pod で送信元 IP アドレスが保持されません。

グレースケール関連

• グレースケールルールが有効になっていません。

• トラフィックディストリビューションがグレースケールルールと一致しない、または予期しないトラフィックがグレースケールサービスに入ります。

エラーメッセージ

• Ingress リソースを作成する際に「failed calling webhook」エラーが発生します。

• HTTPS アクセス時に SSL_ERROR_RX_RECORD_TOO_LONG エラーが発生します。

• 一般的な HTTP エラーコードが表示されます。

• net::ERR_HTTP2_SERVER_REFUSED_STREAM エラーが表示されます。

• 「The param of ServerGroupName is illegal」というエラーが表示されます。

• Ingress 作成時に「certificate signed by unknown authority」エラーが発生します。

その他の問題

• Ingress Pod のヘルスチェックが失敗し、再起動が発生します。

• TCP および UDP サービスを追加する

• Ingress ルールが有効になっていません。

• ルートディレクトリへの書き換え後に、一部のリソースが読み込まれない、またはページが空白になります。

• スペックアップ後に SLS ログ解析が失敗します。修正するにはどうすればよいですか？

DNS に関するよくある質問

CoreDNS Pod に exec で入ることができないのはなぜですか？

CoreDNS が非推奨の API を使用しているのはなぜですか？

CoreDNS ログに「dns: buffer size too small」と表示されます。

ネットワークの基本情報

ワークロードをパブリックネットワーク経由でアクセスするにはどうすればよいですか？

ACK クラスター内の Pod がクライアントの送信元 IP アドレスを取得するにはどうすればよいですか？

• WAF を使用していない場合で、クラスターが SLB 経由でサービスを公開している場合は、Service の YAML ファイルを確認し、externalTrafficPolicy が Local モードに設定されていることを確認してください。これにより、クライアントの送信元 IP アドレスを取得できます。クラスターが Ingress 経由でサービスを公開している場合は、nginx-ingress-lb の externalTrafficPolicy を確認し、externalTrafficPolicy が Local モードに設定されていることを確認してください。

• WAF を使用している場合は、「WAF の使用」をご参照ください。

ACK クラスター内のトラフィックに対してスロットリング保護を実装するにはどうすればよいですか？

ACK クラスター内のトラフィックを正確に制御したい場合や、ネットワーク負荷が高い、サービスが過負荷になっている、リソースが不足している、ネットワーク攻撃を受けているなどの状況では、サービスメッシュ (ASM) を使用してトラフィック制限を適用してください。これにより、バックエンドサービスの安定性を保護し、コストを削減し、エンドユーザーのエクスペリエンスを向上させることができます。「スロットリング保護」をご参照ください。