Container Service for Kubernetes:Use Alibaba Cloud Linux 2 (EOL)

IP Virtual Server (IPVS)

Cenário 1: Instâncias com alta contagem de vCPUs e grande volume de IPs virtuais

Em instâncias com mais de 64 vCPUs operando no modo IPVS, o temporizador de estimativa do IPVS calcula periodicamente a taxa de transmissão de cada conexão. Sob um elevado número de conexões simultâneas, esse cálculo monopoliza a CPU por longos períodos, atrasando o recebimento de pacotes e resultando em tempos de ping de 200 ms.

O ACK agenda o temporizador de estimativa para um nó dedicado e adiciona uma entrada sysctl para desativá-lo, eliminando a latência causada pelo temporizador.

Cenário 2: Atualizações contínuas

Durante uma atualização contínua, se a tupla-5 de um novo pacote TCP SYN corresponder a um registro conntrack existente no IPVS, o IPVS descartará o pacote em vez de encaminhá-lo ao novo destino. Isso provoca retransmissão de SYN e um pico de latência de 1 segundo.

O ACK resolve essa questão liberando conexões TIME_WAIT da tabela conntrack quando existem novas entradas e substituindo-as por novas conexões. O tráfego de rede passa para os novos servidores reais com latência próxima de zero.

CoreDNS

Cenário: Alto volume de consultas DNS preenchendo a tabela conntrack

Quando aplicações enviam consultas DNS para endereços ou portas estáticas, as entradas conntrack entram em modo de fluxo. Como o DNS utiliza UDP — um protocolo sem estado — essas entradas se acumulam rapidamente. Se não forem removidas a tempo, a tabela conntrack enche e degrada o desempenho do NAT.

O ACK aplica duas correções:

• As entradas conntrack UDP só entram em modo de fluxo após uma conexão persistir por mais de 2 segundos, evitando acúmulo rápido devido a consultas de curta duração.

• A validade das entradas conntrack UDP foi reduzida de 180 segundos para 120 segundos.

No ambiente de testes, essas alterações reduziram o número de entradas conntrack UDP em 50%.

Rede de containers

O plugin de rede Terway oferece suporte ao driver IPVLAN, que melhora o desempenho de rede em comunicações de pacotes curtos em 40% comparado à interface bridge tradicional e ao roteamento baseado em políticas (PBR).

Para workloads que exigem acesso frequente à Internet, configure o algoritmo de controle de congestionamento BBR nos containers para aumentar a estabilidade da largura de banda e acelerar o download de imagens da Internet.

Segurança de containers

A Alibaba Cloud estabeleceu parcerias com as comunidades Kata Containers e Clear Linux. O ACK otimiza o tempo de inicialização de containers runV para garantir que o Kata Containers funcione conforme esperado em instâncias bare metal do ECS. Além disso, o ACK fornece clusters que executam containers em sandbox, oferecendo uma experiência semelhante à dos clusters padrão. Implante aplicações em ambientes leves de sandbox para isolar workloads entre tenants ou executar aplicações não confiáveis com impacto mínimo no desempenho.

AutoScaler

Quando o cluster está sobrecarregado, o AutoScaler escala horizontalmente as instâncias ECS para lidar com a demanda. O Alibaba Cloud Linux 2 reduz o tempo de inicialização das instâncias ECS em média 60% em comparação ao CentOS 7. Assim, novos nós ficam disponíveis mais rapidamente e a capacidade computacional escala antes que picos de tráfego causem degradação do serviço.

Monitoramento e controle de recursos

O kernel do Alibaba Cloud Linux 2 oferece visibilidade e controle granular de recursos para containers, incluindo métricas de Pressure Stall Information (PSI), kswapd por cgroup e prioridade de memória. Em clusters ACK, utilize CGroup Controllers para configurar esses recursos e fazer ajustes dinâmicos usando ferramentas como BufferIO Control, TCP, CPUSet, Mem e NUMA. Essa abordagem melhora a utilização de recursos e reduz a interferência entre aplicações colocalizadas.

Aceleração de IA e dados

O Alibaba Cloud Linux 2 otimiza leituras e gravações em fluxo para arquivos de modelos grandes, acelerando treinos de IA e workloads de computação de alto desempenho em instâncias de grande porte. Resultados de benchmarks do ambiente de staging:

Visibilidade de recursos

Quando vários containers compartilham um host, a contenção de recursos torna-se difícil de observar. O Alibaba Cloud Linux 2 aprimora a implementação de cgroups do kernel para expor o uso de recursos por container. Comandos como top, cpuinfo e meminfo refletem os recursos reais disponíveis para cada container, e não os totais do host, tornando o planejamento de recursos mais preciso.

Otimizações de kernel e armazenamento

• Reduz a sobrecarga de desempenho do OverlayFS, minimizando o overhead da camada de armazenamento causado pela containerização.

• No kernel Linux 4.19, a maioria dos sysctls possui namespace isolado. Defina valores diferentes de timeout TCP e timeout de retransmissão por pod para atender aos requisitos de cada aplicação — algo impossível no CentOS 7.