Advanced Container Networking Services for Azure Kubernetes Service (AKS) overview (Zaawansowane usługi sieci kontenerów na potrzeby Azure Kubernetes Service (AKS) omówienie)

Advanced Container Networking Services to pakiet usług zaprojektowanych w celu zwiększenia możliwości sieciowych klastrów Azure Kubernetes Service (AKS). Usługa Advanced Container Networking Services oferuje następujące kluczowe zestawy funkcji: Obserwowanie sieci kontenerów, Zabezpieczenia sieci kontenerów i Wydajność sieci kontenerów. Te funkcje zapewniają szczegółowe informacje na temat ruchu sieciowego, wzmacniają środki zabezpieczeń i optymalizują wydajność sieci dla konteneryzowanych aplikacji działających w usłudze AKS.

Wgląd w sieć kontenerów

Observability sieci kontenerów pomaga odpowiedzieć na trzy pytania: które obciążenia robocze komunikują się, gdzie ruch jest porzucony i co należy zbadać dalej. Użyj metryk, aby wykrywać zmiany kondycji sieci, a dzienników, aby zbadać powiązany ruch.

Zbieranie metryk i inspekcja ruchu na żądanie są dostępne na obsługiwanych płaszczyznach danych Cilium i innych niż Cilium. Przechowywane dzienniki i filtrowanie metryk na poziomie źródła wymagają Cilium. Wymagania dotyczące platformy i protokołu różnią się w zależności od możliwości; przewodniki, do których prowadzą linki, wyjaśniają je.

Najważniejsze korzyści wynikające z obserwacji sieci kontenerów obejmują:

• Zbieranie danych w obsługiwanych konfiguracjach sieci usługi AKS.
• Metryki sieci kontenerów, w tym metryki na poziomie węzła i metryki usługi Hubble w celu uzyskania szczegółowych informacji o sieci.
• Metryki Hubble dla komunikacji między zasobnikami i interakcji usług, w tym obserwacji systemu nazw domen (DNS) podczas konfigurowania widoczności DNS.
• Dzienniki sieci kontenerów , które przechwytują wybrane metadane przepływu na potrzeby rozwiązywania problemów, monitorowania i weryfikacji zasad.
• Integracja z usługą zarządzaną dla rozwiązania Prometheus w Azure Monitor i Azure Managed Grafana w celu uproszczonego przechowywania i wizualizacji metryk.

Wybierz, od czego zacząć

Metryki sieci kontenerów

Metryki sieci kontenerów ułatwiają wykrywanie problemów z siecią i identyfikowanie zaangażowanych obciążeń roboczych. Monitoruj ruch, spadki pakietów i zachowanie DNS. Przejdź z sygnałów kondycji na poziomie węzła do szczegółowych informacji na poziomie poda, aby zawęzić badanie.

W klastrach Cilium zbieraj potrzebne metryki u źródła, wybierając określone obciążenia, przestrzenie nazw lub ruch. Skoncentruj się na monitorowaniu krytycznych aplikacji i zmniejsz niepotrzebne zbieranie metryk, pomagając kontrolować koszty monitorowania. Gdy potrzebujesz bardziej szczegółowych informacji, selektywnie włącz metryki dla zewnętrznych miejsc docelowych i portów docelowych.

Przechowuj metryki i wykonuj zapytania za pomocą usługi zarządzanej Azure Monitor dla Prometheus lub własnego wystąpienia Prometheus. Wizualizuj kondycję sieci za pomocą Azure Managed Grafana lub istniejącego wdrożenia narzędzia Grafana.

Aby zapoznać się z obsługiwanymi platformami, dostępnymi metrykami i krokami konfiguracji, zobacz omówienie metryk sieci kontenera.

Dzienniki sieci kontenerów

Dzienniki sieci kontenerów ułatwiają zrozumienie sposobu komunikowania się aplikacji i rozwiązywania problemów z łącznością. Sprawdź, które obciążenia robocze komunikują się, do których miejsc docelowych docierają i gdzie ruch jest porzucany. Sprawdź ruch na żywo podczas zdarzenia przy użyciu dzienników na żądanie lub zbierz przechowywane dzienniki w celu późniejszego zbadania.

W klastrach Cilium przechwyć ruch, który ma znaczenie, i dostosuj zachowany szczegół. Filtruj przechowywane dzienniki, aby skoncentrować się na określonych obciążeniach lub ruchu, i dostosuj agregację dzienników przepływu, aby zrównoważyć szczegółowość analizy z ilością danych i kosztami.

Przekaż przechowywane dzienniki do Azure Monitor lub istniejącego backendu logowania na potrzeby analizy historycznej. Połącz dzienniki z metrykami sieci, aby przejść od wykrywania problemu do badania zaangażowanego ruchu.

Aby zapoznać się z wymaganiami dotyczącymi zbierania i przykładami, zobacz omówienie dzienników sieciowych kontenerów.

Zabezpieczenia sieci kontenerów

Bezpieczeństwo sieci kontenerowych podnosi poziom bezpieczeństwa klastrów usługi AKS, dzięki wprowadzeniu zaawansowanych funkcji bezpieczeństwa sieci. Wykorzystuje technologię eBPF do wymuszania zasad sieciowych na poziomie jądra, zapewniając wydajne i skuteczne mechanizmy kontroli zabezpieczeń dla konteneryzowanych aplikacji. Zabezpieczenia sieci kontenerowej są dostępne tylko w klastrach działających z Azure CNI zasilanym przez Cilium.

Filtrowanie na podstawie FQDN

Filtrowanie oparte na nazwach FQDN umożliwia tworzenie zasad sieci na podstawie w pełni kwalifikowanych nazw domen (FQDN), a nie adresów IP. Ta funkcja upraszcza zarządzanie zasadami, szczególnie w środowiskach dynamicznych, w których adresy IP często się zmieniają. Korzystając z nazw w pełni kwalifikowanych domen (FQDN), możesz zapewnić, że aplikacje komunikują się tylko z zaufanymi usługami zewnętrznymi, co zwiększa poziom bezpieczeństwa i zgodności.

Aby uzyskać więcej informacji, zobacz omówienie filtrowania opartego na FQDN.

Zasady warstwy 7

Zasady warstwy 7 umożliwiają kontrolę ruchu w warstwie aplikacji, umożliwiając definiowanie zasad na podstawie określonych protokołów aplikacji. Ta funkcja zapewnia szczegółową kontrolę nad ruchem sieciowym, umożliwiając wymuszanie zasad zabezpieczeń, które są zgodne z zachowaniem aplikacji. Za pomocą zasad warstwy 7 można monitorować i ograniczać ruch na podstawie metod HTTP, adresów URL, nagłówków i innych atrybutów na poziomie aplikacji.

Aby uzyskać więcej informacji, zobacz Omówienie zasad warstwy 7.

Szyfrowanie WireGuard

Szyfrowanie WireGuard korzysta z protokołu WireGuard w celu zapewnienia bezpiecznej, zaszyfrowanej komunikacji między punktami końcowymi zarządzanymi przez Cilium w klastrze AKS. Ta funkcja zapewnia ochronę danych przesyłanych przez sieć przed podsłuchiwaniem i manipulowaniem, co zwiększa ogólne bezpieczeństwo konteneryzowanych aplikacji.

Aby uzyskać więcej informacji, zobacz Omówienie szyfrowania WireGuard.

Szyfrowanie Cilium mTLS

Szyfrowanie Cilium mTLS zapewnia przezroczyste, wzajemne szyfrowanie TLS (mTLS) i uwierzytelnianie dla ruchu między zasobnikami w Kubernetes bez konieczności zmiany aplikacji ani wprowadzania dodatkowego stosu sieciowego.

Aby uzyskać więcej informacji, zobacz Omówienie szyfrowania Cilium mTLS.

Wydajność sieci kontenera

Wydajność sieci kontenera optymalizuje wydajność sieci dla konteneryzowanych aplikacji działających w klastrach usługi AKS. Wykorzystuje technologię eBPF, aby zwiększyć routing sieciowy i zmniejszyć opóźnienia, zapewniając, że aplikacje mogą efektywnie i skutecznie komunikować się. Wydajność sieci kontenerów jest dostępna tylko w klastrach z Azure CNI obsługiwane przez Cilium.

routing hosta eBPF

eBPF Host Routing wykorzystuje technologię rozszerzonego Berkeley Packet Filter (eBPF) do optymalizacji przepływu ruchu w klastrach AKS.

Aby uzyskać więcej informacji, zobacz omówienie routingu hosta eBPF.

Łączność sieciowa kontenera

Sieć między klastrami (wersja zapoznawcza)

Komunikacja sieciowa między klastrami umożliwia bezpośrednią komunikację między zasobnikami w wielu klastrach AKS, zapewniając bezproblemową łączność wschód-zachód, obserwowalność wielu klastrów oraz spójne egzekwowanie zasad zabezpieczeń. Wykorzystuje zarządzaną ofertę Cilium Cluster Mesh za pośrednictwem usługi Azure Kubernetes Fleet Manager do utworzenia płaskiej sieci podów obejmującej klastry bez sieci nakładkowych i bram.

Aby uzyskać więcej informacji, zobacz Przypadki użycia sieci między klastrami dla usługi Azure Kubernetes Fleet Manager.

Treści powiązane

• Konsekguruj usługi Advanced Container Networking Services w klastrze Azure Kubernetes Service (AKS)
• Cennik usług Advanced Container Networking Services