容器服务 Kubernetes 版 ACK：使用NodeLocal DNSCache组件

使用限制

• v1.6.0之前的NodeLocal DNSCache不支持ACK Serverless集群、以及托管版、专有版集群中部署的ECI类型的Pod。

• NodeLocal DNSCache不支持Windows节点。

• 如果集群网络类型为Terway，请更新Terway至v1.0.10.301及以上版本。如果是基于IPVLAN的Terway多IP模式，需要对Terway进行配置修改。更多信息，请参见修改Terway配置（Terway早期版本创建的集群）。

• 全局开启DNS Cache或为单个命名空间配置DNS Cache时，NodeLocal DNSCache组件默认忽略对ACK系统命名空间的注入。您可通过下方的操作查看系统命名空间的定义。

  查看ACK系统命名空间

  执行下方命令：

  kubectl get mutatingwebhookconfigurations ack-node-local-dns-admission-controller -o yaml | grep -A 30 namespaceSelector

  预期输出如下，namespaceSelector.matchExpressions.values中的命名空间的Pod不会自动注入DNS Cache。

  namespaceSelector:
      matchExpressions:
        ...
        values:
        - kube-system
        - kube-public
        - arms-prom
        - security-inspector
        - ack-csi-fuse
      matchLabels:
        node-local-dns-injection: enabled
    ...

• NodeLocal DNSCache不提供Hosts、Rewrite等插件能力，仅作为CoreDNS的透明缓存代理。如有需要，可在CoreDNS配置中修改。

• 使用NodeLocal DNSCache前，您需要对CoreDNS配置进行修改，否则可能导致集群外部域名解析异常。具体操作，请参见配置Forward插件与上游VPC DNS服务器的默认协议。

NodeLocal DNSCache

ACK NodeLocal DNSCache是基于社区开源项目NodeLocal DNSCache的一套DNS本地缓存解决方案。该方案主要由DNS本地缓存DaemonSet和DNSConfig动态注入控制器Deployment组成。关于NodeLocal DNSCache的缓存策略，请参见DNS解析及缓存策略说明。

• DNSConfig动态注入控制器Deployment，基于Admission Webhook机制拦截Pod创建的请求，自动注入使用DNS缓存的Pod DNSConfig信息。

  说明

  如果不启用DNSConfig动态注入控制器Deployment，您需要手动注入DNS域名相关配置至Pod配置中。具体操作，请参见为单个Pod手动启用DNS Cache。

• DNS缓存DaemonSet可以在每个节点上创建一个虚拟网络接口（默认监听IP 169.254.20.10，如需修改请提交工单咨询），配合Pod的DNSConfig和节点上的网络配置，Pod内产生的DNS请求会被该DaemonSet服务所代理。

  重要

  DaemonSet服务内同样基于CoreDNS提供服务，但其仅具有代理和缓存的功能，请勿启用额外的插件能力（如Hosts、Rewrite等）。

下方的图片展示了NodeLocal DNSCache的工作原理

虚拟节点上的DNS Cache

在v.1.6.0及更高版本中，NodeLocal DNSCache组件融合了BlazingDNS的能力，支持虚拟节点上的ECI或ACS Pod使用DNS Cache, 实现原理如下：

安装NodeLocal DNSCache组件

开启DNS Cache

kubectl get mutatingwebhookconfigurations ack-node-local-dns-admission-controller -o yaml | grep -A 30 namespaceSelector

namespaceSelector:
    matchExpressions:
      ...
      values:
      - kube-system
      - kube-public
      - arms-prom
      - security-inspector
      - ack-csi-fuse
    matchLabels:
      node-local-dns-injection: enabled
  ...

kubectl label namespace default node-local-dns-injection=enabled

dnsConfig:
  nameservers:
  - 169.254.20.10
  - 172.21.0.10 # kube-dns服务的ClusterIP地址
  options:
  - name: ndots
    value: "3"
  - name: attempts
    value: "2"
  - name: timeout
    value: "1"
  searches:
  - default.svc.cluster.local
  - svc.cluster.local
  - cluster.local
dnsPolicy: None

apiVersion: v1
kind: Pod
metadata:
  name: alpine
  namespace: default
spec:
  containers:
  - image: alpine
    command:
      - sleep
      - "10000"
    imagePullPolicy: Always
    name: alpine
  dnsPolicy: None
  dnsConfig:
    nameservers: ["169.254.20.10","172.21.0.10"]
    searches:
    - default.svc.cluster.local
    - svc.cluster.local
    - cluster.local
    options:
    - name: ndots
      value: "3"
    - name: attempts
      value: "2"
    - name: timeout 
      value: "1"

升级NodeLocal DNSCache

1. 登录容器服务管理控制台，在左侧导航栏选择集群列表。

2. 在集群列表页面，单击目标集群名称，然后在左侧导航栏，单击组件管理。

3. 在组件管理页面单击ACK NodeLocal DNSCache卡片下的升级，在弹出的对话框中单击确认。

   重要

   • 若您对ConfigMap node-local-dns进行过修改操作，升级时您的修改配置将会被覆盖。建议您在升级前对node-local-dns进行备份，当组件升级完成后，重新配置组件。

   • 若您对node-local-dns DaemonSet进行过污点容忍等修改操作，升级时污点容忍等操作将会被覆盖，升级后需要再次设置。

   • 如果升级NodeLocal DNSCache失败，您需要根据操作异常码查找对应的问题，查看问题原因和解决方案。详细描述，请参见组件异常问题排查。

卸载NodeLocal DNSCache

1. 登录容器服务管理控制台，在左侧导航栏选择集群列表。

2. 在集群列表页面，单击目标集群名称，然后在左侧导航栏，单击组件管理。

3. 在组件管理页面单击ACK NodeLocal DNSCache卡片下的卸载，在弹出的对话框中单击确认。

   重要

   卸载后所有解析流量会请求至CoreDNS，建议您参照DNS最佳实践进行配置以保证DNS的高可用性。

修改Terway配置（Terway早期版本创建的集群）

在Terway早期版本创建的集群中，默认Terway配置可能无法使用NodeLocal DNSCache。您可参照下方的步骤，对Terway配置进行检查与修改。

1. 执行以下命令，查看Terway配置文件。

   kubectl -n kube-system edit cm eni-config -o yaml

2. 检查Terway配置文件。

   • 检查配置文件中eniip_virtual_type字段是否开启IPVLAN模式。如果配置文件中此项不存在或不是IPVLAN，则您不需要按后续步骤进行配置，可以直接安装NodeLocal DNSCache。具体操作，请参见安装NodeLocal DNSCache组件。

   • 检查配置文件中是否已配置host_stack_cidrs字段。如果配置文件中已配置host_stack_cidrs 字段，则您不需要按后续步骤进行配置，可以直接安装NodeLocal DNSCache。具体操作，请参见安装NodeLocal DNSCache组件。

3. 在Terway配置文件中添加host_stack_cidrs字段，并输入网段169.254.20.10/32，保存并退出。

    10-terway.conf: |
     {
       "cniVersion": "0.3.0",
       "name": "terway",
       "eniip_virtual_type": "IPVlan",
       "host_stack_cidrs": ["169.254.20.10/32"], 
       "type": "terway"
     }

4. 执行以下命令，查看当前Terway的所有DaemonSet容器组。

   kubectl -n kube-system get pod | grep terway-eniip

   预期输出：

   terway-eniip-7****         2/2     Running   0          30m
   terway-eniip-s****         2/2     Running   0          30m

5. 执行以下命令，触发Terway容器组重建。

    kubectl -n kube-system delete pod terway-eniip-7**** terway-eniip-s****

6. 登录任意集群节点，执行以下命令，查看Terway配置文件。

   如果Terway配置文件包含添加的网段，则说明配置成功。

   cat /etc/cni/net.d/*

   预期输出：

    {
      "cniVersion": "0.3.0",
      "name": "terway-chainer",
      "plugins": [
        {
          "eniip_virtual_type": "IPVlan",
          "host_stack_cidrs": [ 
            "169.254.20.10/32",
          ],
          "type": "terway"
        },
        {
          "type": "cilium-cni"
        }
      ]
    }

   所有Terway Pod重建并正常后，您可以继续安装NodeLocal DNSCache了。