如何在EKS上启用节点本地DNS缓存？

Question

我正在尝试在EKS群集上实现Nodelocaldn。 我已经部署了

我需要一些帮助，在这里，

1. Kubernetes官员Doc说 - 如果在IPVS模式下使用Kube-Proxy，则需要修改cluster-DNS flag进行kubelet，以使用该节点上的Nodelocal DNScache正在听。否则，无需修改-cluster-DNS标志的值，因为NodeLocal DNScace在Kube-DNS服务IP上都倾听。

我如何在EKS中找到我的Kube-Proxy运行方式？

2. 我如何验证DNS请求是否要归因于Nodelocaldns？

Answer 1

在EKS上启用节点 - local-dns-cache只需运行以下2个命令：

1. helm repo add deliveryhero https://charts.deliveryhero.io.io/
2. helm helm升级 - 安装Node-local-dns-cache veliverhero/node-local-dns

上面的自动化完成了安装和配置：

1. 它在缓存模式下安装了运行的核心核心。
   （缓存模式：有效的DNS查找将被缓存30秒，向上
   达到9984个条目的容量。 Invalid DNS names will be cached for 5 seconds.)（Perma链接源）
2. 它有效地重新配置了流量以利用新安装的DNS CACHE。

它如何工作？ （简短答案）
jfm（Just F'n Magic），聪明的骇客和可靠的安装UX（用户体验），这要归功于工程师交付英雄。

它如何以及为什么起作用？ （长答案）
好吧，你好，疲倦的旅行者！您说您不信任由计算机向导源提供的解决方案，这些解决方案可以自动起作用？好吧，很好，我们可以介绍其工作原理的科学，以便您可以信任它。

• 在正常情况下：
  • pod的/etc/resolv.conf将在Kube-System名称空间中具有Kube-DNS服务的群集。
  • 该文件可以通过将标志传递给kubelet进行配置。
  • 通常，您需要将Kubelet的配置更新到Update /etc/Resolv.conf，以指向新配置的DNS缓存，这是有问题的 /相对较难的，因为通常您无法轻松地使用Kubectl轻松调整该缓存。
• 官方的Kubernetes文档中存在着关于这项工作的解释。不幸的是，这很难理解，所以我会解释它，以便更容易求助：
  • 使用iptables的kubernetes发行版可以使用一个聪明的黑客，使我想起了MITM（中间的人）攻击，该攻击是使用无用的ARP来拦截流量的。在这种情况下
  • config.dnsserver = 172.20.0.10的默认头盔值匹配EKS的kube-dns服务的默认群集IP。
  • daemonset具有net_admin的True和SecurityContext的主机网络，它允许其绑定EC2 Worker节点上的IP地址。
  • 聪明的黑客工作的方式是EKS节点本地DNS缓存绑定172.20.0.10，这与Kube-DNS服务是相同的IP。因为它正在对相同的IP进行Local -Host特权绑定，所以能够做3件花哨的事情：
    1. 截距通往Kube-DNS服务的流量，并将其路由到它的节点 - 局部-DNS-cache
    2. 仍然允许自己路由到Kube-DNS服务，并将其用作上游DNS服务器。
    3. 由于IP不变，因此您不需要重新配置kubelet即可使用它，并有效卸载了MITM截距，该截距可以像以前一样使用Kube-DNS服务。
• 通常，不需要在上述Helm Install命令中传递标志/头盔值覆盖，因为Helm Chart的默认值假定使用EKS的常见配置默认值。 （EKS需要遗留iptables，默认为iptables和172.20.0.10是EKS簇上Kube-DNS的默认群集IP。） 或帐户。
• 有效 Fargate节点不支持DAEMONSET，因此他们的DNS流量仍将直接进入原始的Kube-DNS服务。
• 现在，您知道EKS对Node Local DNS缓存的实现基本上是友好的MITM公用事业服务，官方文档链接将变得更有意义。 （注意：我认为169.254.20.10是解决方法实现细节的一部分，它允许Kube-DNS用作上游DNS服务器，或者是支持基于IPV的非IPTABLES实现。）
  ）
  

Q2：如何验证DNS请求是否要到Nodelocaldns？
A2：由于其解决方案的实现详细信息是基于巧妙的黑客攻击，因此很难使用普通方法来验证节点本地DNS缓存。
以下内容在验证方面应该足够：

# Run from Laptop
# (The 1st command makes a utility pod run in the background)
# (3rd command runs `time dig zombo.com` from the 
# perspective of the pod running in the background)
kubectl run -it netshoot --image docker.io/nicolaka/netshoot -- /bin/bash -c "sleep 1000000000" &

kubectl get pod

kubectl exec -it netshoot -- time dig zombo.com
# ^-- Think of this as a quick and dirty benchmarking tool
#     You can run it before and after
#     then compare performance.

更新：如果您需要/想优化核心，则还应打开Coredns自动升级（配置节点比例Autoscaler，其中coredns replicas基于节点计数。 EKS默认值，但您可以使其成为簇的默认值。）

{
  "autoScaling": {
    "enabled": true,
    "minReplicas": 2,
    "maxReplicas": 100
  },
  "affinity": {
    "nodeAffinity": {
      "requiredDuringSchedulingIgnoredDuringExecution": {
        "nodeSelectorTerms": [
          {
            "matchExpressions": [
              {
                "key": "kubernetes.io/os",
                "operator": "In",
                "values": ["linux"]
              },
              {
                "key": "kubernetes.io/arch",
                "operator": "In",
                "values": ["amd64", "arm64"]
              }
            ]
          }
        ]
      }
    },
    "podAntiAffinity": {
      "requiredDuringSchedulingIgnoredDuringExecution": [
        {
          "labelSelector": {
            "matchExpressions": [
              {
                "key": "k8s-app",
                "operator": "In",
                "values": ["kube-dns"]
              }
            ]
          },
          "topologyKey": "kubernetes.io/hostname"
        }
      ]
    }
  }
}