UDS-Core项目在RKE2加固环境中CoreDNS监控问题的分析与解决方案

UDS-Core项目在RKE2加固环境中CoreDNS监控问题的分析与解决方案

uds-core A secure runtime platform for mission-critical capabilities 项目地址: https://gitcode.com/gh_mirrors/ud/uds-core

问题背景

在Kubernetes环境中，CoreDNS作为集群的核心DNS服务，其监控状态对于集群运维至关重要。UDS-Core项目在RKE2加固环境部署时，发现Prometheus无法正常采集CoreDNS的监控指标，这直接影响了集群监控的完整性。

问题根源分析

RKE2作为经过CIS加固的Kubernetes发行版，默认启用了严格的网络安全策略。这些策略会限制kube-system命名空间中的服务访问，包括CoreDNS服务。具体表现为：

1. RKE2的CIS配置文件会自动应用网络策略
2. 这些策略默认阻止大多数服务对kube-system命名空间的入站访问
3. Prometheus服务因此无法访问CoreDNS的监控端口(9153)

技术细节

CoreDNS默认暴露两个端口：

• 53端口：用于DNS查询(UDP/TCP)
• 9153端口：用于Prometheus指标采集(TCP)

在加固环境中，虽然CoreDNS服务正常运行，但Prometheus无法建立到9153端口的TCP连接，导致监控目标显示为"down"状态。

解决方案

通过创建针对性的NetworkPolicy可以解决此问题。推荐的策略配置如下：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-prometheus-to-kube-dns
  namespace: kube-system
spec:
  podSelector:
    matchLabels:
      k8s-app: kube-dns
  policyTypes:
    - Ingress
  ingress:
    - from:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: monitoring
          podSelector:
            matchLabels:
              app: prometheus
      ports:
        - protocol: TCP
          port: 9153

这个策略明确允许：

1. 来自monitoring命名空间
2. 带有app=prometheus标签的Pod
3. 访问kube-system中k8s-app=kube-dns的Pod
4. 仅限9153端口的TCP协议

实施建议

对于UDS-Core项目，可以考虑以下实施路径：

1. 将上述NetworkPolicy作为可选配置集成到Prometheus部署中
2. 通过特性开关控制其部署，仅在检测到RKE2环境时启用
3. 在文档中明确说明加固环境下的额外配置要求

安全考量

该解决方案在安全性和功能性之间取得了良好平衡：

• 保持了网络策略的最小权限原则
• 仅开放必要的监控端口
• 限制访问来源为特定的Prometheus实例
• 不影响其他安全策略的实施

总结

在Kubernetes安全加固环境中，网络策略的严格限制可能导致监控系统无法正常工作。通过精心设计的NetworkPolicy，可以在不降低安全性的前提下恢复必要的监控功能。对于UDS-Core项目而言，将这种解决方案纳入标准部署流程，可以提升产品在不同环境下的兼容性和用户体验。

uds-core A secure runtime platform for mission-critical capabilities 项目地址: https://gitcode.com/gh_mirrors/ud/uds-core