高級容器網(wǎng)絡(luò)服務(wù)：全面提升Azure Kubernetes服務(wù)的安全性與運維能力

隨著云原生技術(shù)的普及，容器和Kubernetes已經(jīng)成為現(xiàn)代應(yīng)用部署的核心?；谖⒎?wù)的容器化工作負載不僅更易于擴展，具有更強的可移植性，而且資源使用效率更高。借助Kubernetes管理這些工作負載，企業(yè)能夠在多樣化的計算資源上部署先進的人工智能和機器學(xué)習(xí)應(yīng)用，從而顯著提升大規(guī)模運營效率。隨著應(yīng)用架構(gòu)的演進，企業(yè)對精細化安全控制和深度可觀測性的需求不斷增長。而容器的短暫性特性有時無法滿足日益增長的需求，AKS的高級容器網(wǎng)絡(luò)服務(wù)正好解決這一問題。

我們很高興宣布，Azure Kubernetes服務(wù)（AKS）的高級容器網(wǎng)絡(luò)服務(wù)正式上線！這是一套專為云原生環(huán)境量身打造的解決方案，旨在全面提升Kubernetes和容器化環(huán)境的安全性和可觀測性。通過高級容器網(wǎng)絡(luò)服務(wù)，您將獲得無縫集成的體驗，不僅能保持強大的安全防護，還能深入洞察網(wǎng)絡(luò)流量和應(yīng)用性能，確保容器化應(yīng)用的安全性，同時滿足性能和可靠性需求，讓您自信地管理和擴展基礎(chǔ)設(shè)施。

高級容器網(wǎng)絡(luò)服務(wù)的兩大功能：安全性和可觀測性。

01

容器網(wǎng)絡(luò)可觀測性

容器網(wǎng)絡(luò)可觀測性配備了與網(wǎng)絡(luò)相關(guān)的監(jiān)視和診斷工具，為容器化工作負載提供可見性。它可以解鎖AKS群集上的Hubble指標(biāo)、Hubble的命令行界面（CLI）和Hubble用戶界面（UI），為容器化工作負載提供深入、可操作的見解，讓您能夠檢測并確定AKS中網(wǎng)絡(luò)相關(guān)問題的根本原因。這些功能可確保容器化應(yīng)用程序安全且合規(guī)，使您能夠自信地管理基礎(chǔ)結(jié)構(gòu)。

容器網(wǎng)絡(luò)可觀測性功能包括：

節(jié)點級指標(biāo)：這些指標(biāo)可按節(jié)點統(tǒng)計流量、丟棄的數(shù)據(jù)包數(shù)、連接數(shù)等信息。指標(biāo)以Prometheus格式存儲，可在Grafana中查看。

Hubble指標(biāo)（DNS和Pod級指標(biāo)）：這些Prometheus指標(biāo)包括Kubernetes上下文（如源和目標(biāo)pod名稱和命名空間信息），從而可以在更細粒度的級別上定位網(wǎng)絡(luò)相關(guān)問題。指標(biāo)涵蓋流量、丟棄的數(shù)據(jù)包數(shù)、TCP重置數(shù)、L4/L7數(shù)據(jù)包流等。此外，還有DNS指標(biāo)（目前僅適用于非Cilium數(shù)據(jù)平面），包括DNS錯誤數(shù)和DNS請求缺少響應(yīng)數(shù)。

Hubble流日志：通過流日志可深入了解群集的網(wǎng)絡(luò)活動。與Pod之間的所有通信都會記錄，方便您隨時調(diào)查連接問題。流日志有助于回答以下問題：服務(wù)器是否收到了客戶端的請求？客戶端請求與服務(wù)器響應(yīng)之間的往返延遲是多少？

Hubble CLI：Hubble命令行接口（CLI）可以使用可自定義的篩選和格式檢索整個群集中的流日志。

Hubble UI：Hubble UI是一個用戶友好的基于瀏覽器的界面，用于瀏覽群集網(wǎng)絡(luò)活動。它基于流日志創(chuàng)建服務(wù)連接圖，并顯示所選命名空間的流日志。用戶負責(zé)預(yù)配和管理運行Hubble UI所需的基礎(chǔ)結(jié)構(gòu)。

02

容器網(wǎng)絡(luò)安全

容器網(wǎng)絡(luò)安全功能可以增強對跨容器的網(wǎng)絡(luò)流量的控制。使用基于Cilium的策略，與傳統(tǒng)的基于IP的方法相比，提供了更精細、更用戶友好的網(wǎng)絡(luò)安全管理方法。

容器網(wǎng)絡(luò)安全中提供的第一項功能：完全限定域名篩選（FQDN）。FQDN篩選提供了一種高效且用戶友好的方法來管理網(wǎng)絡(luò)策略。通過基于域名而不是IP地址來定義這些策略，組織可以顯著簡化策略管理流程。這種方法消除了需要在IP地址改變時頻繁更新的需求，從而減輕了管理負擔(dān)并充分降低了配置錯誤的風(fēng)險。

在Kubernetes群集中，Pod IP地址經(jīng)常發(fā)生變化，這使得使用IP地址的安全策略保護Pod變得非常困難。FQDN篩選允許您使用域名而不是IP地址創(chuàng)建Pod級別策略，這樣就無需在IP地址發(fā)生變化時更新策略。

下來我們將深入探討如何借助FQDN篩選，幫助您打造更為可靠的容器網(wǎng)絡(luò)安全防護。

03

FQDN篩選和安全代理DNS代理

該解決方案由兩個主要組件構(gòu)成：Cilium代理和安全代理DNS代理。兩者的結(jié)合，使得FQDN篩選能夠無縫集成到Kubernetes集群中，實現(xiàn)對外部通信的高效且易于管理的控制。

Cilium代理

Cilium代理是集群中的關(guān)鍵網(wǎng)絡(luò)組件，它作為DaemonSet在集群中運行Azure CNI powered by Cilium。其主要職責(zé)包括處理集群中Pod的網(wǎng)絡(luò)連接、負載均衡以及網(wǎng)絡(luò)策略。對于啟用了FQDN策略的Pod，Cilium代理會將數(shù)據(jù)包重定向到DNS代理進行名稱解析，并根據(jù)從DNS代理獲得的FQDN到IP的映射更新網(wǎng)絡(luò)策略。

安全代理DNS代理

安全代理中的DNS代理以DaemonSet的形式運行在啟用了高級容器網(wǎng)絡(luò)服務(wù)的Azure CNI powered by Cilium集群中。它負責(zé)為Pod進行DNS解析，解析成功后將FQDN到IP的映射更新至Cilium代理。通過這種方式，網(wǎng)絡(luò)安全策略能夠在DNS層面上得到有效保障。

將安全代理DNS代理與Cilium代理分別部署為獨立的DaemonSet（如：acns-security-agent），即使Cilium代理出現(xiàn)故障或升級，Pod也能持續(xù)進行DNS解析。此外，通過Kubernetes的maxSurge升級功能，DNS代理在升級期間也能保持正常運行。這一設(shè)計確保了客戶關(guān)鍵工作負載的網(wǎng)絡(luò)連接不會因DNS解析問題而受到影響。

04

客戶應(yīng)用場景

在高級容器網(wǎng)絡(luò)服務(wù)的預(yù)覽階段，已有多家客戶已開始部署該服務(wù)，主要應(yīng)用場景：

排查應(yīng)用性能下降和DNS解析超時問題：通過DNS錯誤和相關(guān)指標(biāo)，幫助快速定位并解決應(yīng)用性能問題。

解決Pod間或外部端點的間歇性連接中斷：通過查看Pod指標(biāo)（如丟包數(shù)、TCP錯誤、重傳次數(shù)等），幫助集群管理員快速識別并修復(fù)連接問題。

使用流日志調(diào)試網(wǎng)絡(luò)連接問題：流日志提供全方位的網(wǎng)絡(luò)可見性，幫助運維人員迅速定位和解決網(wǎng)絡(luò)故障。

增強集群安全性并提高策略的靈活性：通過使用FQDN代替IP地址設(shè)置Cilium網(wǎng)絡(luò)策略，不僅簡化了策略管理，還能確保策略在IP地址更改時繼續(xù)有效，大大提高了網(wǎng)絡(luò)安全的可維護性。

在H&M集團，平臺工程是我們的核心實踐，依托云原生內(nèi)部開發(fā)平臺，賦能自主產(chǎn)品團隊構(gòu)建和托管微服務(wù)。深度網(wǎng)絡(luò)可觀測性和強大的安全性是我們成功的關(guān)鍵。實時流日志加速了我們排查連接問題的能力，而FQDN篩選確保了與可信外部域的安全通信。

——Magnus Welson，

H&M集團容器平臺工程經(jīng)理

高級容器網(wǎng)絡(luò)服務(wù)提供的高級可觀測性，在我們調(diào)查日本煙草國際（JT International）一個AKS集群中的高影響問題時，給予了極大的幫助。借助該服務(wù)提供的洞察，我們能夠?qū)栴}精準(zhǔn)定位到DNS性能問題，并確認(rèn)我們采取的補救措施已成功解決問題。

——Andrew Wytyczak-Partyka，

Codewave CEO，Alexandru Popovici，日本煙草國際DevOps與安全經(jīng)理

在Ferrovial，在我們的企業(yè)Kubernetes平臺（Kubecore）上，借助高級容器網(wǎng)絡(luò)服務(wù)，我們能夠通過實時網(wǎng)絡(luò)流量工具調(diào)試應(yīng)用程序中的連接問題，獲得完整的詳細信息。同時，工作負載級別的DNS錯誤和指標(biāo)為我們提供了深入的網(wǎng)絡(luò)可視性，幫助我們更快地排查應(yīng)用性能下降的原因。

——Victor Fernandez，

Ferrovial高級云架構(gòu)師