Container Service for Kubernetes:Terway の conntrack 設定の最適化

conntrack テーブルサイズの確認

eBPF conntrack テーブルのサイズは、ノードのメモリ容量に依存します。

ノード上の conntrack テーブルのサイズを表示するには、次の手順を実行します。

1. terway-eniip Pod 名を取得します。

# kubectl describe node <nodename>  | grep terway-eniip
  kube-system                 terway-eniip-xxxx         350m (8%)     1100m (28%)  200Mi (3%)       256Mi (3%)     16h

2. conntrack テーブルのサイズを照会します。

# kubectl exec -it -nkube-system terway-eniip-xxxx -c policy -- cilium status --verbose
...
BPF Maps:   dynamic sizing: on (ratio: 0.002500)
  Name                          Size
  Auth                          524288
  Non-TCP connection tracking   65536
  TCP connection tracking       131072
  Endpoint policy               65535
...

パラメーター：

• dynamic sizing: on: eBPF マップは動的な上限を使用します。off に設定した場合、動的に調整するには bpf-map-dynamic-size-ratio を設定するか、固定サイズにするには bpf-ct-global-any-max、bpf-ct-global-tcp-max、および bpf-nat-global-max を設定します。

• ratio: 0.002500：総システムメモリに対する eBPF マップの最大サイズの割合です。

• Non-TCP connection tracking：非 TCP conntrack テーブルの最大エントリ数です。

• TCP connection tracking：TCP conntrack テーブルの最大エントリ数です。

conntrack エントリ数の確認

デフォルトでは、各ノードはポート 9962 で Prometheus メトリクスを公開します。

デフォルトの監視ポートの変更

このパラメーターを変更するには、「Terway 設定パラメーターのカスタマイズ」の cilium_args をご参照ください。

eBPF conntrack サイズの調整

eBPF conntrack と Linux conntrack は機能的に同じです。デフォルト設定はほとんどのシナリオに適しています。

次のシナリオでは、設定を変更してください。

• 長時間継続する接続が多数ある場合。

• Pod がインターネットに公開されていて、半開きの接続が多数発生する可能性がある場合。

これらのパラメーターを変更するには、「Terway 設定パラメーターのカスタマイズ」の cilium_args をご参照ください。

bpf-map-dynamic-size-ratio を 0.0025 に設定した場合のマップサイズ：

例

bpf-map-dynamic-size-ratio を 0.003 に、bpf-ct-timeout-regular-tcp を 1h に設定します:

10-terway.conf: |
{
  "cniVersion": "0.4.0",
  "name": "terway",
  "capabilities": {"bandwidth": true},
  "eniip_virtual_type": "IPvlan",
  "cilium_args": "--bpf-map-dynamic-size-ratio=0.003 --bpf-ct-timeout-regular-tcp=1h",
  "type": "terway"
}