AKS中ACNS功能与NetworkPolicy的DNS策略冲突问题分析

AKS中ACNS功能与NetworkPolicy的DNS策略冲突问题分析

AKS Azure Kubernetes Service 项目地址: https://gitcode.com/gh_mirrors/ak/AKS

问题背景

在Azure Kubernetes Service(AKS)环境中，当启用高级容器网络服务(ACNS)功能并同时配置允许DNS出口的NetworkPolicy时，会出现Cilium代理崩溃的情况。这一现象主要发生在ACNS的安全功能中的FQDN策略被启用时。

技术细节

该问题的核心在于ACNS功能与NetworkPolicy的DNS策略处理机制之间存在冲突。具体表现为：

1. ACNS功能特性：ACNS的安全组件仅支持基于DNS的策略规则，当遇到非DNS策略时会处理异常。

2. 冲突场景：当两个NetworkPolicy同时应用于同一个端点时，如果其中一个包含DNS规则而另一个不包含，Cilium代理会尝试为第一个策略创建DNS重定向，然后错误地尝试为第二个策略重用相同的重定向。

3. 崩溃原因：在策略重新计算过程中，由于ACNS当前仅支持基于DNS的策略，当遇到不含DNS规则的NetworkPolicy时，会因DNS策略为nil而导致Cilium代理崩溃。

问题表现

在问题发生时，运维人员可以观察到以下现象：

• Cilium代理Pod进入CrashLoopBackOff状态
• 系统日志中会出现"Trying to configure zero proxy port"的错误提示
• 伴随内存地址无效或空指针引用的运行时错误

解决方案

微软团队已经针对此问题发布了修复补丁，并已逐步推送到所有区域。对于仍在使用旧版本的用户，临时解决方案是：

1. 移除包含DNS出口规则的NetworkPolicy
2. 等待系统自动恢复或手动重启受影响的Cilium代理

最佳实践建议

为避免类似问题，建议AKS用户：

1. 在启用ACNS功能时，仔细规划NetworkPolicy的设计
2. 避免在同一端点应用混合类型的网络策略(同时包含DNS和非DNS规则)
3. 定期更新AKS集群以确保获得最新的稳定性修复
4. 在应用新策略前，先在测试环境验证其与ACNS功能的兼容性

总结

这一案例展示了Kubernetes网络插件与高级网络功能集成时可能出现的复杂交互问题。通过理解底层机制和遵循最佳实践，可以有效避免生产环境中的稳定性问题。随着ACNS功能的不断成熟，预期此类兼容性问题将逐步减少。

AKS Azure Kubernetes Service 项目地址: https://gitcode.com/gh_mirrors/ak/AKS