Docker Swarm fuq VPN: ix-xogħlijiet jaħdmu, is-sejħiet tas-servizzi jfallu

Ix-xogħlijiet jaħdmu fiż-żewġ siti u s-sejħiet bejn is-servizzi jiskadu. L-overlay jeħtieġ rotot minn nod għal nod, indirizzi mhux tradotti u spazju għal 50 bajt ta' VXLAN.

Tliet maniġers u ħames ħaddiema f'żewġ siti, magħqudin b'tunnel, u docker service ls turi xogħlijiet jaħdmu fuq iż-żewġ naħat waqt li s-sejħiet bejn is-servizzi jiskadu. Xejn fil-logs ta' Swarm ma jidher ħażin. Din il-kombinazzjoni hija s-sinjal ta' problema fil-pjan tad-dejta: il-pjan ta' kontroll sab in-nodi, u l-frejms inkapsulati qatt ma għamlu l-vjaġġ.

Il-mesh irid ikun hemm qabel l-overlay

L-overlay ta' Swarm jimbotta frejms inkapsulati direttament bejn l-indirizzi tan-nodi, li jfisser li kull nod jeħtieġ indirizz li kull nod ieħor jista' jilħaq mingħajr traduzzjoni, fuq l-interface li jipprovdi t-tunnel. Tunnel li jġorr biss klijenti lejn port ippubblikat mhuwiex biżżejjed. Is-saff ta' taħt irid jirrotta minn nod għal nod fiż-żewġ direzzjonijiet.

Ittestja dan qabel ma tmiss Swarm. Minn kull nod, iċċekkja r-rotta lejn l-indirizz tat-tunnel ta' sieħeb, agħmel ping u mbagħad ittestja l-port tal-kontroll. Jekk il-ping jaħdem u l-port le, it-tunnel huwa tajjeb u filtru qiegħed fit-triq.

ip -brief address
ip route get 10.20.0.12
ping -c3 10.20.0.12
nc -vz 10.20.0.12 2377

Jekk ir-rotta tindika lejn l-interface fiżika minflok tun0 jew wg0, l-overlay se jinkapsula lejn indirizz li s-sit 'il bogħod ma jistax jilħaq, u s-sintomu se jidher bħal telf ta' pakketti.

Iċċekkja liema indirizz jippubbliċizza kull nod

Id-daemon jippubbliċizza indirizz wieħed, u s-sħab jużawh għall-pjan tad-dejta. Fuq host b'ħafna netwerks huwa faċli tippubbliċizza l-indirizz LAN jew pubbliku waqt li t-tunnel iġorr xi ħaġa oħra. Spezzjonah minflok tassumi, u ffissah meta tingħaqad b'--advertise-addr meta l-valur prestabbilit ikun ħażin. Nod li jippubbliċizza indirizz li jista' jilħaq biss hu stess xorta jingħaqad mas-swarm, u l-falliment jidher aktar tard bħala servizzi li ma jistgħux jitkellmu bejn is-siti.

Il-bidla tal-indirizz ippubblikat aktar tard mhijiex editjar tal-konfigurazzjoni, għax in-nod irid joħroġ u jerġa' jingħaqad.

Irreġistra l-indirizz ippubblikat għal kull nod fin-noti tiegħek, għax jispjega ħafna mill-fallimenti asimmetriċi.

Masquerade huwa l-ħati tas-soltu

Meta gateway joqgħod bejn in-nodi u t-tunnel, l-iżball komuni huwa li tapplika masquerade għal kull ma joħroġ mill-interface fiżika. Dan jerġa' jikteb l-indirizzi interni tal-overlay ukoll, allura kull sieħeb jidher li ġie mill-gateway u s-sħab VXLAN jieqfu jirrikonoxxu lil xulxin. Ir-riżultat huwa traffiku inkapsulat nieqes jew f'direzzjoni waħda waqt li l-ping ordinarju għadu jaħdem.

Irrotta l-prefiss tal-overlay mill-gateway u ħallih mhux tradott. Jekk it-traduzzjoni hija tassew meħtieġa għal prefiss ieħor, illimitalha hemm u qatt għall-firxa li tuża l-overlay.

ip route add 172.16.0.0/22 via 10.20.0.1
iptables -t nat -I POSTROUTING -o tun0 -s 172.16.0.0/22 -j ACCEPT

Iċċekkja l-ordni tar-regoli kif ukoll it-test, għax MASQUERADE wiesa' aktar kmieni fil-katina jegħleb eċċezzjoni dejqa aktar tard.

VXLAN jeħtieġ spazju fil-pakkett

VXLAN iżid 50 bajt mal-frejms li jġorr. Saff ta' taħt ta' 1500 bajt li jġorr frejm intern ta' 1500 bajt jipproduċi pakkett inkapsulat li l-ebda triq se twassal, u l-falliment jidher bħal skoperta tas-servizzi intermitenti u mhux bħala problema ta' daqs. Jew neżżel l-MTU tat-tunnel fiż-żewġt itruf jew issettja l-MTU tal-overlay sabiex is-sewwieq jippubbliċizza tagħbija utli li taqbel.

docker network create --driver overlay --attachable --opt com.docker.network.driver.mtu=1400 swarm-overlay

In-netwerk ingress jinħoloq awtomatikament, għalhekk tibdilu jfisser tneħħih u terġa' toħolqu minflok ma tedittjah fil-post.

Jekk issewwi biss naħa waħda tat-tunnel, l-iżgħar MTU xorta jibqa' dak li jgħodd.

Ħares lejn il-pjan tad-dejta, mhux il-logs

Aqbad il-port VXLAN fiż-żewġt itruf. Frejms li joħorġu minn naħa u jaslu fuq l-oħra jfissru li s-saff ta' taħt huwa tajjeb u l-problema hija ġewwa l-overlay. Frejms li joħorġu u qatt ma jaslu jfissru rotta jew filtru. Frejms li lanqas joħorġu jfissru li l-indirizz tas-sors huwa ħażin.

Fallimenti fl-iskoperta tas-servizzi li jgħaddu wara ftit sekondi normalment jindikaw il-baġit tal-pakketti jew triq li tħabbat, mhux il-kworum tar-raft.

Żomm il-qbid minn tieqa li taħdem, għax tqabblu ma' dak miksur huwa aktar mgħaġġel milli terġa' taqra l-konfigurazzjoni.

Artikli relatati