NodeLocal DNSCache einrichten

In diesem Dokument wird beschrieben, wie Sie NodeLocal DNSCache verwenden, um die DNS-Lookup-Latenz zu reduzieren und die Leistung Ihrer Anwendung in Ihrem GKE-Cluster (Google Kubernetes Engine) zu verbessern.

NodeLocal DNSCache ist ein GKE-Add-on, das die DNS-Leistung verbessert, indem es einen DNS-Cache direkt auf jedem Clusterknoten als DaemonSet ausführt. Wenn Ihre Pods eine DNS-Anfrage stellen, wird die Anfrage zuerst an den lokalen Cache auf demselben Knoten gesendet. Durch die lokale Verarbeitung von Anfragen werden die durchschnittlichen DNS-Lookup-Zeiten erheblich verkürzt und die Last auf den zentralen DNS-Anbieter Ihres Clusters reduziert, z. B. kube-dns oder Cloud DNS for GKE. Eine detaillierte Erläuterung der DNS-Architektur und der Vorteile von NodeLocal DNSCache finden Sie unter Service Discovery.

In GKE Autopilot-Clustern ist NodeLocal DNSCache standardmäßig aktiviert und kann nicht deaktiviert werden. In GKE Standard-Clustern mit Version 1.34.1-gke.3720000 und höher ist NodeLocal DNSCache standardmäßig aktiviert, kann aber deaktiviert werden.

Dieses Dokument richtet sich an GKE-Nutzer, einschließlich Entwickler, Administratoren und Architekten. Weitere Informationen zu gängigen Rollen und Beispielaufgaben in Cloud de Confiance by S3NSfinden Sie unter Häufig verwendete GKE-Nutzerrollen und -Aufgaben.

In diesem Dokument wird davon ausgegangen, dass Sie mit den folgenden Themen vertraut sind:

• Kubernetes Dienst.
• Multi-Cluster Dienste.
• Service Discovery
• Cloud DNS

Architektur

NodeLocal DNSCache ist ein GKE-Add-on, das Sie neben kube-dns ausführen können.

GKE implementiert NodeLocal DNSCache als DaemonSet das auf jedem Knoten in Ihrem Cluster einen DNS-Cache ausführt.

Wenn ein Pod eine DNS-Anfrage stellt, wird die Anfrage an den DNS-Cache gesendet, der auf demselben Knoten wie der Pod ausgeführt wird. Wenn der Cache die DNS-Anfrage nicht auflösen kann, leitet er die Anfrage basierend auf dem Abfrageziel und dem konfigurierten DNS-Anbieter an einen der folgenden Orte weiter:

• kube-dns: Alle Abfragen für die Cluster-DNS-Domain (cluster.local) werden an kube-dns weitergeleitet. Die node-local-dns-Pods verwenden den kube-dns-upstream Dienst, um auf kube-dns Pods zuzugreifen.
• Benutzerdefinierte Stub-Domains oder Upstream-Nameserver: Abfragen werden direkt von NodeLocal DNSCache-Pods weitergeleitet.
• Cloud DNS: Alle anderen Abfragen werden an den lokalen Metadatenserver weitergeleitet, der auf demselben Knoten wie die Abfrage ausgeführt wird. Der lokale Metadatenserver greift auf Cloud DNS zu.

Wenn Sie NodeLocal DNSCache in einem vorhandenen Cluster aktivieren, erstellt GKE alle Clusterknoten mit GKE-Version 1.15 und höher gemäß dem Knoten-Upgrade Prozessneu.

Nachdem GKE die Knoten neu erstellt hat, fügt GKE den Knoten automatisch das Label addon.gke.io/node-local-dns-ds-ready=true hinzu. Sie dürfen dieses Label den Clusterknoten nicht manuell hinzufügen.

Vorteile von NodeLocal DNSCache

NodeLocal DNSCache bietet folgende Vorteile:

• Kürzere durchschnittliche DNS-Lookup-Zeit
• Verbindungen von Pods zu ihrem lokalen Cache erstellen keine conntrack Tabelleneinträge. Dieses Verhalten verhindert unterbrochene und abgelehnte Verbindungen, die durch erschöpfte conntrack-Tabellen und Race-Bedingungen verursacht werden.
• Sie können NodeLocal DNSCache mit Cloud DNS for GKE verwenden.
• DNS-Abfragen für externe URLs (URLs, die nicht auf Clusterressourcen verweisen) werden direkt an den lokalen Metadaten server weitergeleitet, wobei kube-dns umgangen wird.
• Die lokalen DNS-Caches übernehmen automatisch Stub-Domains und Upstream-Name server, die im Abschnitt Benutzerdefinierte Resolver für Stub Domains hinzufügen angegeben sind.

Anforderungen und Einschränkungen

• NodeLocal DNSCache verbraucht Rechenressourcen auf jedem Knoten Ihres Clusters.
• NodeLocal DNSCache wird mit Windows Server-Knotenpools nicht unterstützt.
• Für NodeLocal DNSCache ist eine GKE Version ab 1.15 erforderlich.
• NodeLocal DNSCache greift über TCP auf kube-dns-Pods zu.
• NodeLocal DNSCache greift über TCP und UDP auf GKE-Versionen 1.18 oder höher auf upstreamServers und stubDomains zu. Der DNS-Server muss über TCP und UDP erreichbar sein.
• DNS-Einträge werden für die folgenden Zeiträume im Cache gespeichert:
  • Die Gültigkeitsdauer (TTL) des Eintrags oder 30 Sekunden, wenn die TTL mehr als 30 Sekunden beträgt.
  • 5 Sekunden, wenn die DNS-Antwort NXDOMAIN ist.
• NodeLocal DNSCache-Pods überwachen Port 53, 9253, 9353 und 8080 auf den Knoten. Wenn Sie einen anderen hostNetwork-Pod ausführen oder hostPorts mit diesen Ports konfigurieren, schlägt NodeLocal DNSCache fehl und DNS-Fehler treten auf. NodeLocal DNSCache-Pods verwenden nicht den hostNetwork Modus, wenn sie GKE Dataplane V2 verwenden und nicht verwenden Cloud DNS for GKE.
• Der lokale DNS-Cache wird nur in Knotenpools mit GKE-Versionen ab 1.15 ausgeführt. Wenn Sie NodeLocal DNSCache in einem Cluster mit Knoten aktivieren, auf denen niedrigere Versionen laufen, verwenden Pods auf diesen Knoten kube-dns.

Hinweis

Führen Sie die folgenden Aufgaben aus, bevor Sie beginnen:

• Aktivieren Sie die Google Kubernetes Engine API.
Google Kubernetes Engine API aktivieren
• Wenn Sie die Google Cloud CLI für diese Aufgabe verwenden möchten, installieren und dann initialisieren Sie die gcloud CLI. Wenn Sie die gcloud CLI bereits installiert haben, rufen Sie die neueste Version mit dem gcloud components update Befehl ab. Ältere gcloud CLI-Versionen unterstützen möglicherweise nicht die Ausführung der Befehle in diesem Dokument.

• Prüfen Sie, ob Sie einen vorhandenen Autopilot- oder Standard-Cluster haben. Erstellen Sie gegebenenfalls einen Autopilot Cluster. Für Autopilot-Cluster ist NodeLocal DNSCache standardmäßig aktiviert und kann nicht überschrieben werden.

NodeLocal DNSCache aktivieren

Bei Standardclustern ist NodeLocal DNSCache ab Version 1.34.1-gke.3720000 standardmäßig aktiviert. Wenn Ihr Cluster eine frühere Version als 1.34.1-gke.3720000 hat, können Sie NodeLocal DNSCache in neuen oder vorhandenen Clustern mit der Google Cloud CLI aktivieren. Sie können NodeLocal DNSCache auch nur in neuen Clustern mit der Cloud de Confiance Console aktivieren.

gcloud container clusters update CLUSTER_NAME \
    --location=COMPUTE_LOCATION \
    --update-addons=NodeLocalDNS=ENABLED

Für diese Änderung müssen die Knoten neu erstellt werden, was zu Unterbrechungen bei Ihren laufenden Arbeitslasten führen kann. Details zu dieser spezifischen Änderung finden Sie in der entsprechenden Zeile in der Tabelle Manuelle Änderungen, mit denen die Knoten mit einer Knoten Upgrade-Strategie und unter Berücksichtigung der Wartungs richtlinien neu erstellt werden. Weitere Informationen zu Knoten-Updates finden Sie unter Unterbrechungen durch Knoten-Updates planen.

kubectl get pods -n kube-system -o wide | grep node-local-dns

node-local-dns-869mt    1/1   Running   0   6m24s   10.128.0.35   gke-test-pool-69efb6b8-5d7m   <none>   <none>
node-local-dns-htx4w    1/1   Running   0   6m24s   10.128.0.36   gke-test-pool-69efb6b8-wssk   <none>   <none>
node-local-dns-v5njk    1/1   Running   0   6m24s   10.128.0.33   gke-test-pool-69efb6b8-bhz3   <none>   <none>

gcloud container clusters create CLUSTER_NAME  \
    --location=COMPUTE_LOCATION \
    --addons=NodeLocalDNS=DISABLED

gcloud container clusters update CLUSTER_NAME \
    --location=COMPUTE_LOCATION \
    --update-addons=NodeLocalDNS=DISABLED

spec:
  egress:
  - ports:
    - port: 53
      protocol: TCP
    - port: 53
      protocol: UDP
    to:
    - ipBlock:
        cidr: KUBE_DNS_SVC_CLUSTER_IP/32
  podSelector: {}
  policyTypes:
    - Egress

kubectl get svc -n kube-system kube-dns -o jsonpath="{.spec.clusterIP}"

dnslookup: write to 'a.b.c.d': Operation not permitted

;; connection timed out; no servers could be reached

spec:
 dnsPolicy: "None"
 dnsConfig:
   nameservers:
     - KUBE_DNS_UPSTREAM
   searches:
     - NAMESPACE.svc.cluster.local
     - svc.cluster.local
     - cluster.local
     - c.PROJECT_ID.internal
     - google.internal
   options:
     - name: ndots
       value: "5"

[ERROR] plugin/errors: 2 <hostname> A: read tcp <node IP: port>-><kubedns IP>:53: i/o timeout

kubectl edit configmap kube-dns-autoscaler --namespace=kube-system

linear: '{"coresPerReplica":256, "nodesPerReplica":16,"preventSinglePointFailure":true}'

linear: '{"coresPerReplica":256, "nodesPerReplica":8,"max": 15,"preventSinglePointFailure":true}'

linear: '{"coresPerReplica":256, "nodesPerReplica":8,"max": 15,"min": 5,"preventSinglePointFailure":true}'