Container Service for Kubernetes:Best practices for the Nginx Ingress Controller

• Melhorar o desempenho e a estabilidade do Nginx Ingress Controller

  • Usar um número adequado de réplicas e limites de recursos

  • Usar nós dedicados para melhorar o desempenho e a estabilidade do Nginx Ingress

  • Otimizar o desempenho do Nginx Ingress

  • Configurar HPA para dimensionar automaticamente o Nginx Ingress Controller

  • Configurar um hook preStop adequado para serviços de backend

• Melhorar a observabilidade do Nginx Ingress Controller

• Recursos avançados do Nginx Ingress Controller

  • Usar vários Nginx Ingress Controllers

  • Acessar o Nginx Ingress Controller de dentro de um cluster

  • Usar WAF

  • Usar o Nginx Ingress Controller para implantações blue-green ou liberações graduais de aplicações

  • Usar o Nginx Ingress Controller para fazer proxy de requisições não HTTP

• Referências

Usar um número adequado de réplicas e limites de recursos

Por padrão, o Nginx Ingress Controller possui 2 réplicas, seja criado com o cluster ou instalado pelo centro de componentes. Ajuste o número de réplicas conforme necessário. Distribua o Nginx Ingress Controller em diferentes nós para evitar contenção de recursos e pontos únicos de falha. Também é possível usar nós dedicados para o Nginx Ingress Controller, garantindo desempenho e estabilidade. Para mais informações, consulte Usar nós dedicados para melhorar o desempenho e a estabilidade do Nginx Ingress. Recomendamos não definir limites de recursos para o Nginx Ingress Controller, evitando interrupções de tráfego causadas por erros de falta de memória (OOM). Caso seja obrigatório definir limites, configure o limite de CPU para pelo menos 1.000 millicores e o limite de memória para no mínimo 2 GiB.

Usar nós dedicados para melhorar o desempenho e a estabilidade do Nginx Ingress

• Se houver requisitos elevados de estabilidade para o Ingress Controller, atribua nós dedicados a ele para evitar contenção de recursos. Para mais informações, consulte Implantar um Nginx Ingress Controller de alta disponibilidade.

• Para cenários de alta carga, configure o Ingress Controller para suportar aplicações com grande volume de processamento. Para mais informações, consulte Configurar um Nginx Ingress Controller para cenários de alta carga.

Otimizar o desempenho do Nginx Ingress

A otimização de desempenho do Nginx Ingress Controller divide-se em parâmetros do sistema e parâmetros do Nginx:

• Parâmetros do sistema: Os sistemas operacionais na Alibaba Cloud possuem alguns parâmetros comuns já otimizados por padrão. Outros parâmetros que exigem ajuste incluem o backlog máximo do sistema e o intervalo máximo de portas disponíveis. Após essa otimização, o Nginx consegue lidar com requisições de alta concorrência, e as conexões de backend não falham devido ao esgotamento de portas.

• Parâmetros do Nginx:

  • Ajuste o número máximo de conexões por worker para garantir que o Nginx Ingress Controller suporte requisições de alta concorrência.

  • Aumente o tempo limite de conexão: Por padrão, o Nginx Ingress Controller usa conexões persistentes para enviar requisições aos pods da aplicação de backend. Para permitir que uma única conexão processe mais requisições e reduza a sobrecarga, aumente o tempo limite de conexão.

  • Defina o tempo limite de conexão persistente: Garanta que o tempo limite de conexão persistente do serviço de backend não seja menor que o do Nginx Ingress Controller. O valor padrão em clusters ACK é 900s.

O componente Nginx Ingress possui otimizações integradas que oferecem desempenho ideal na maioria dos cenários. Se houver requisitos específicos, otimize ainda mais os parâmetros do sistema e do Nginx usando os campos relevantes no ConfigMap. Para mais informações sobre ConfigMaps, consulte ConfigMaps.

Configurar HPA para dimensionar automaticamente o Nginx Ingress Controller

Na maioria dos casos, o Nginx Ingress Controller lida bem com picos de tráfego. Se ele não atender às necessidades em cenários de alta carga, configure o Horizontal Pod Autoscaler (HPA) para dimensionar o Nginx Ingress Controller. Para mais informações, consulte Usar Horizontal Pod Autoscaling (HPA).

O código a seguir apresenta um exemplo de arquivo YAML:

apiVersion: autoscaling/v2beta1
kind: HorizontalPodAutoscaler
metadata:
  name: nginx-ingress-controller-hpa
  namespace: kube-system
spec:
   scaleTargetRef:
     apiVersion: apps/v1
     kind: Deployment
     name: nginx-ingress-controller
   minReplicas: 2
   maxReplicas: 5
   metrics:
    - type: Resource
      resource:
        name: cpu
        targetAverageUtilization: 50

Configurar um hook preStop adequado para serviços de backend

Durante uma atualização contínua de um serviço de backend, o Nginx Ingress Controller remove os endpoints dos pods em encerramento e mantém as conexões das requisições em processamento. Se um pod do serviço de backend sair imediatamente após receber o sinal de encerramento, as requisições em andamento podem falhar. Devido a questões de temporização, parte do tráfego ainda pode ser encaminhada ao pod encerrado, causando perda de tráfego.

Para evitar perda de tráfego durante atualizações contínuas, recomendamos configurar um hook preStop nos pods do serviço de backend. Dessa forma, os pods continuam em execução por um período após a remoção de seus endpoints, prevenindo interrupções de tráfego.

apiVersion: apps/v1
kind: Deployment
spec:
  template:
    spec:
      containers:
      - name: app
        lifecycle:
          # Configure a preStop hook to wait for 30 seconds before exiting.
          # The sleep command must exist in the container.
          preStop:
            exec:
              command:
              - sleep
              - 30

Usar SLS e Alibaba Cloud Prometheus para melhorar a observabilidade

Usar vários Nginx Ingress Controllers

Em algumas aplicações, pode ser necessário implantar múltiplos Nginx Ingress Controllers em um cluster para finalidades como isolamento de redes públicas e privadas. Para mais informações, consulte Implantar vários controladores Ingress.

Acessar o Nginx Ingress Controller de dentro de um cluster

Dentro de um cluster, o tráfego destinado ao endereço IP externo de um serviço LoadBalancer — correspondente ao IP público do Nginx Ingress Controller — geralmente é roteado via iptables ou IPVS. Se externalTrafficPolicy estiver definido como Local e não houver um pod correspondente do Nginx Ingress no nó, ocorrerá uma falha de conexão de rede. Por padrão, o Nginx Ingress Controller em um cluster ACK utiliza um serviço LoadBalancer no modo Local. Portanto, pode ocorrer falha de conexão ao acessar o endereço SLB vinculado ao Nginx Ingress Controller de dentro do cluster. Recomendamos usar o ClusterIP do serviço ou o nome de domínio interno (nginx-ingress-lb.kube-system) para acessar o Nginx Ingress Controller. Evite acessar o Nginx Ingress Controller a partir dele mesmo, pois isso também pode causar falhas de conexão devido a problemas de hairpin. Para mais informações sobre a solução desse problema, consulte Falha ao acessar o endereço SLB exposto por um serviço LoadBalancer em um cluster Kubernetes.

Usar WAF

Usar o Nginx Ingress Controller para implantações blue-green ou liberações graduais de aplicações

Utilize o recurso de liberação gradual no console do Container Service for Kubernetes (ACK) ou adicione manualmente uma anotação para aproveitar a funcionalidade de liberação gradual oferecida pelo Nginx Ingress Controller. Para mais informações, consulte Usar Nginx Ingress para implementar liberações graduais e implantações blue-green.

Usar o Nginx Ingress Controller para fazer proxy de requisições não HTTP