1个工具，助你提升K8S故障排查效率！
source link: http://mp.weixin.qq.com/s?__biz=MzIyMTUwMDMyOQ%3D%3D&%3Bmid=2247493580&%3Bidx=1&%3Bsn=0cacb6512ae04545dfdb7070c3c1e10e
Go to the source link to view the article. You can view the picture content, updated content and better typesetting reading experience. If the link is broken, please click the button below to view the snapshot at that time.
本周六（4月25日）下午2点，3大社区联动，来自AWS、F5以及Rancher的资深技术专家将围绕K8S 与你分享现代应用在云原生环境下的实践方案和经验，构建现代化应用、多集群管理、全自动化流量调度，你想要的知识点都在这里！
点击【阅读原文】或扫描以下二维码即可报名：
作为领先的多集群Kubernetes管理平台，Rancher使运维团队可以部署、管理和保护企业的Kubernetes集群。Rancher还为用户提供了一系列容器网络接口（CNI）选项可供选择，包括开源项目Calico（ https://www.projectcalico.org/ ）。Calico为Kubernetes Pod提供了原生Layer3路由功能，从而简化了网络架构，提高了网络性能，并提供了丰富的网络策略模型，可以轻松地阻止通信。因此，只有你指定的流量才能流动。
在部署Kubernetes过程一个常见的问题是获取对集群环境的可见性，以有效监控网络和安全问题并进行故障排除。可见性和故障排查（ https://www.tigera.io/tigera-products/visibility-and-troubleshooting/ ）是我们在Tigera上看到的3大Kubernetes用例之一。这在生产部署中尤其重要，因为宕机时间十分宝贵并且分布式应用很难进行故障排查。如果你是平台团队的一员，你还需要承受SLA的压力。如果你是DevOps团队的一员，则需要启动生产工作负载。对于两个团队来说，共同的目标都是尽快解决问题。
为什么K8S故障排查如此具有挑战性？
由于Kubernetes工作负载是动态的，因此连接问题十分难以解决。而常规的网络监控工具是为静态环境设计的。它们无法理解Kubernetes上下文并且当应用到Kubernetes时并不高效。如果没有特定的Kubernetes诊断工具，对于平台团队而言，进行故障排除会令人沮丧。例如，当pod-to-pod的连接被拒绝时，几乎无法确定哪个网络安全策略拒绝了流量。当然，你可以手动登录到节点并查看系统日志，但这并不可行也无法扩展到多个节点。
基于此，你十分需要一种方法来快速查明任何连接或安全问题的根源。或者更好的是，能够有一些具备预见性的工具，从而避免出现问题。随着Kubernetes部署规模的扩大，围绕可见性、监控和日志记录的限制可能导致无法诊断的系统故障，从而导致服务中断并影响客户满意度和你的业务。
流量日志以及流量可见性
对在生产上运行Rancher的用户，Calico Enterprise（ https://www.tigera.io/tigera-products/calico-enterprise/ ）网络流量日志可以为解决Kubernetes网络和安全问题提供了坚实的基础。例如，流量日志可用于运行queries以分析来自既定命名空间或工作负载标签的所有流量。但是，要有效地对Kubernetes环境进行故障排查，你需要带有Kubernetes特定数据的流量日志，例如pod、标签和命名空间，以及哪些策略接受或拒绝了连接。
Calico Enterprise Flow Visualizer
Rancher用户中有很大一部分属于DevOps团队。尽管传统的ITOps具有管理网络和安全策略，但我们看到DevOps团队正在寻找能够实现自给自足并加快CI/CD流程的解决方案。对于在生产环境中运行的Rancher用户，Calico Enterprise包含Flow Visualizer，这是一个功能强大的工具，可简化连接故障排查。这种方法可以直观地与网络流量进行交互并对其进行深入研究。DevOps可以使用此工具进行故障排查和策略创建，而ITOps可以使用RBAC建立策略层次结构以实施保护，因此DevOps团队不会覆盖任何企业范围的策略。
防火墙可以为安全团队创建可见空间
Kubernetes工作负载大量使用网络并产生大量东西流量。如果你在Kubernetes架构中部署常规的防火墙，则将无法可视化流量以及故障排查。防火墙并不了解Kubernetes流量所需的上下文（命名空间、Pod、标签、container id等）。这样就无法对网络问题进行故障排除，进行取证分析或报告安全控制措施是否合规。
为了获得所需的可见性，Rancher用户可以部署Calico Enterprise，将基于区域的防火墙规则转换为Kubernetes网络策略，该策略将集群划分为各个区域并应用正确的防火墙规则。然后，可以使用现有的防火墙和防火墙管理器来定义区域并在Kubernetes中创建规则，就像创建所有其他规则一样。可以将流量穿越区域发送到安全团队的安全信息和事件管理平台（SIEM），从而为它们提供与常规防火墙相同的可见性，以进行故障排除。
其他Kubernetes故障排除注意事项
对于使用Rancher平台的平台、网络、DevOps和安全团队，Tigera提供了其他可见性和监控工具，可帮助你更快地进行故障排除：
-
可以向所有监控的数据添加阈值和警报。例如，拒绝的流量激增会向你的DevOps团队或安全运维中心（SOC）发出警报，以进行进一步调查。
-
Filter使你能够按命名空间、pod和视图状态（例如允许或拒绝的流量）进行深入分析。
-
能够将日志存储在EFK（Elasticsearch、Fluentd和Kibana）堆栈中以供将来访问。
无论你是刚刚接触Kubernetes，还是仅仅想简单了解集群意外行为的“原因”，亦或是处于生产环境中部署了大规模的工作负载状态，使用正确的工具进行有效的故障排除将有助于你避免出现宕机和服务中断的情况。
推荐阅读
Rancher 2.4实现零宕机升级集群，无需担心组件出现短暂故障！
About Rancher Labs
Rancher Labs由CloudStack之父梁胜创建。旗舰产品Rancher是一个开源的企业级Kubernetes管理平台，实现了Kubernetes集群在混合云+本地数据中心的集中部署与管理。Rancher一向因操作体验的直观、极简备受用户青睐，被Forrester评为2018年全球容器管理平台领导厂商，被Gartner评为2017年全球最酷的云基础设施供应商。
目前Rancher在全球拥有超过三亿的核心镜像下载量，并拥有包括CCTV、中国联通、华为、中国平安、中国人寿、厦门航空、上汽集团、丰田、中联重科、迪斯尼、IBM、Cisco、Nvidia、辉瑞制药等全球著名企业在内的共40000家企业客户。
Rancher已于2020年2月完成了中国本土化和国产化，从2020年3月1日开始，Rancher在中国大陆及港澳台地区的业务，均由全中资公司云澈信息技术（深圳）有限公司承载，并面向中国企业客户提供中国企业版Rancher产品和中国版k3s边缘计算平台。
点击【阅读原文】，与AWS、F5和Rancher的技术大咖一起聊聊云原生实践
↓↓↓
Recommend
About Joyk
Aggregate valuable and interesting links.
Joyk means Joy of geeK