Overzicht van Advanced Container Networking Services voor Azure Kubernetes Service (AKS)

Advanced Container Networking Services is een reeks services die zijn ontworpen om de netwerkmogelijkheden van Azure Kubernetes Service (AKS) clusters te verbeteren. Advanced Container Networking Services biedt de volgende belangrijke functiesets: Container Network Observability, Container Network Security en Container Network Performance. Deze functies bieden uitgebreide inzichten in netwerkverkeer, versterken de beveiligingsmaatregelen en optimaliseren netwerkprestaties voor toepassingen in containers die worden uitgevoerd in AKS.

Waarneembaarheid van containernetwerk

Container Network Observability helpt u bij het beantwoorden van drie vragen: welke workloads communiceren, waar verkeer wordt geblokkeerd en wat er vervolgens moet worden onderzocht. Gebruik metrische gegevens om wijzigingen in de netwerkstatus op te sporen en logboeken te gebruiken om het betrokken verkeer te onderzoeken.

Metrische gegevensverzameling en stroominspectie op aanvraag zijn beschikbaar voor ondersteunde Cilium- en niet-Cilium-gegevensvlakken. Voor opgeslagen logboeken en het filteren van metrische gegevens op bronniveau is Cilium vereist. Platform- en protocolvereisten variëren per functionaliteit; in de gekoppelde handleidingen worden deze uitgelegd.

Belangrijke voordelen van Waarneembaarheid van containernetwerk zijn:

• Verzamelen in alle ondersteunde AKS-netwerkconfiguraties.
• Metrische gegevens van containernetwerk, inclusief metrische gegevens op knooppuntniveau en hubble-metrische gegevens voor gedetailleerde netwerkinzichten.
• Hubble-metrieken voor pod-naar-pod-communicatie en service-interacties, inclusief Domain Name System (DNS)-waarnemingen wanneer DNS-zichtbaarheid is geconfigureerd.
• Containernetwerklogboeken die geselecteerde stroommetagegevens vastleggen voor probleemoplossing, bewaking en beleidsverificatie.
• Integratie met de beheerde service voor Prometheus in Azure Monitor en Azure Managed Grafana voor vereenvoudigde opslag en visualisatie van metrische gegevens.

Kies waar je begint

Metrische gegevens van containernetwerk

Metrische gegevens van containernetwerken helpen u bij het detecteren van netwerkproblemen en het identificeren van de betrokken workloads. Controleer verkeer, pakketverlies en DNS-gedrag. Stap over van statussignalen op knooppuntniveau naar inzichten op podniveau om uw onderzoek gerichter te maken.

Verzamel op Cilium-clusters de metrische gegevens die u nodig hebt bij de bron door specifieke workloads, naamruimten of verkeer te selecteren. Richt u op het bewaken van kritieke toepassingen en verminder onnodige metrics-inname, waardoor u de bewakingskosten kunt beheren. Wanneer u meer inzicht nodig hebt, schakelt u selectief metrische gegevens in voor externe bestemmingen en bestemmingspoorten.

Metrische gegevens opslaan en opvragen met Azure Monitor beheerde service voor Prometheus of uw eigen Prometheus-exemplaar. Visualiseer de netwerkstatus met Azure Managed Grafana of uw bestaande Grafana-implementatie.

Zie het overzicht van de metrische gegevens van het containernetwerk voor ondersteunde platforms, beschikbare metrische gegevens en configuratiestappen.

Containernetwerklogboeken

Containernetwerklogboeken helpen u te begrijpen hoe uw toepassingen communiceren en verbindingsproblemen op te lossen. Bekijk welke workloads communiceren, welke bestemmingen ze bereiken en waar verkeer wordt geblokkeerd. Inspecteer liveverkeer tijdens een incident met logboeken op aanvraag of verzamel opgeslagen logboeken voor later onderzoek.

Leg op Cilium-clusters het verkeer vast dat belangrijk is en bepaal hoeveel details u bewaart. Filter opgeslagen logboeken om u te richten op specifieke workloads of verkeer en pas de aggregatie van stroomlogboeken aan om onderzoeksdetail af te wegen tegen gegevensvolume en kosten.

Stuur opgeslagen logboeken door naar Azure Monitor of uw bestaande back-end voor logboekregistratie voor historische analyse. Combineer logboeken met metrische netwerkgegevens om van het detecteren van een probleem over te gaan naar het onderzoeken van het betrokken verkeer.

Zie het overzicht van containernetwerklogboeken voor verzamelingsvereisten en voorbeelden.

Containernetwerkbeveiliging

Container Network Security verbetert de beveiligingspostuur van AKS-clusters door geavanceerde netwerkbeveiligingsfuncties te bieden. Het maakt gebruik van eBPF-technologie om netwerkbeleid af te dwingen op kernelniveau, waardoor efficiënte en effectieve beveiligingscontroles voor toepassingen in containers worden gegarandeerd. Container Network Security is alleen beschikbaar op clusters met Azure CNI Powered by Cilium.

Filteren op basis van FQDN

Met filteren op basis van FQDN kunt u netwerkbeleid maken op basis van FQDN's (Fully Qualified Domain Names) in plaats van IP-adressen. Deze mogelijkheid vereenvoudigt beleidsbeheer, met name in dynamische omgevingen waar IP-adressen regelmatig veranderen. Door FQDN's te gebruiken, kunt u ervoor zorgen dat uw toepassingen alleen communiceren met vertrouwde externe services, waardoor de beveiliging en naleving worden verbeterd.

Zie het overzicht van filteren op basis van FQDN voor meer informatie.

Laag 7-beleid

Met laag 7-beleid kunt u verkeer op toepassingslaag beheren, zodat u beleidsregels kunt definiëren op basis van specifieke toepassingsprotocollen. Deze functie biedt gedetailleerde controle over netwerkverkeer, zodat u beveiligingsbeleid kunt afdwingen dat overeenkomt met het gedrag van de toepassing. Met laag 7-beleid kunt u verkeer bewaken en beperken op basis van HTTP-methoden, URL's, headers en andere kenmerken op toepassingsniveau.

Zie het overzicht van het laag 7-beleid voor meer informatie.

WireGuard-versleuteling

WireGuard Encryption maakt gebruik van het WireGuard-protocol om beveiligde, versleutelde communicatie te bieden tussen door Cilium beheerde eindpunten binnen uw AKS-cluster. Deze functie zorgt ervoor dat gegevens die via het netwerk worden verzonden, worden beschermd tegen afluisteren en knoeien, waardoor de algehele beveiliging van uw toepassingen in containers wordt verbeterd.

Zie het overzicht van WireGuard-versleuteling voor meer informatie.

Cilium mTLS-versleuteling

Cilium mTLS-versleuteling biedt transparante, wederzijdse TLS-versleuteling (mTLS) en verificatie voor pod-naar-pod-verkeer in Kubernetes zonder dat toepassingswijzigingen nodig zijn of een extra netwerkstack hoeft te introduceren.

Zie het overzicht van Cilium mTLS-versleuteling voor meer informatie.

Prestaties van containernetwerk

Container Network Performance optimaliseert de netwerkprestaties voor toepassingen in containers die worden uitgevoerd in AKS-clusters. Het maakt gebruik van eBPF-technologie om netwerkroutering te verbeteren en latentie te verminderen, zodat toepassingen efficiënt en effectief kunnen communiceren. Container Network Performance is alleen beschikbaar op clusters met Azure CNI Powered by Cilium.

hostrouting met eBPF

eBPF-hostroutering maakt gebruik van uitgebreide eBPF-technologie (Berkeley Packet Filter) om de verkeersstroom in AKS-clusters te optimaliseren.

Zie het overzicht van eBPF-hostroutering voor meer informatie.

Containernetwerkconnectiviteit

Netwerken tussen clusters (Preview)

Netwerken tussen clusters maken directe pod-naar-pod-communicatie mogelijk voor meerdere AKS-clusters, waardoor naadloze connectiviteit tussen oost-west, waarneembaarheid van meerdere clusters en consistente beveiligings afdwinging mogelijk is. Het maakt gebruik van een beheerd aanbod van Cilium Cluster Mesh via Azure Kubernetes Fleet Manager om een plat podnetwerk te maken tussen clusters zonder overlays of gateways.

Zie Gebruiksscenario's voor netwerken tussen clusters voor Azure Kubernetes Fleet Manager voor meer informatie.

Verwante inhoud

• Advanced Container Networking Services instellen op uw Azure Kubernetes Service (AKS)-cluster
• Prijzen van Advanced Container Networking Services