כדי לבדוק את החיבורים המותרים והדחויים, לאמת את מדיניות הרשת ב-Kubernetes ולפתור בעיות בתעבורת נתונים חסומה באשכולות משתמשים ב-Google Distributed Cloud, אתם יכולים להפעיל את רישום היומן של מדיניות הרשת ב-Kubernetes. במאמר הזה מוסבר איפה נשמרים היומנים בצומתי האשכול ובאיזה כלי להשתמש כדי לייצא אותם. במאמר שימוש ברישום ביומן של מדיניות רשת ב-Kubernetes מוסבר איך להגדיר אילו אירועים יירשמו ביומן ואיך היומנים יפורמטו.
סקירה כללית
כללי מדיניות של רשת הם חומות אש ברמת ה-Pod. הם מציינים את תנועת הנתונים ברשת שמותר ל-Pods לשלוח ולקבל. ביומני מדיניות רשת ב-Kubernetes מתועדים אירועים שקשורים למדיניות הרשת. אפשר לתעד את כל האירועים או להגדיר תיעוד סלקטיבי על סמך הקריטריונים הבאים:
- חיבורים מותרים.
- חיבורים שנדחו.
- חיבורים שמותרים לפי כללי מדיניות ספציפיים.
- חיבורים שנדחו לפודים במרחבי שמות ספציפיים.
לפני שמתחילים
רישום ביומן של מדיניות רשת ב-Kubernetes נתמך באשכולות משתמשים שמשתמשים ב-Dataplane V2. כדי להפעיל את Dataplane V2 כשיוצרים אשכול משתמשים חדש, משתמשים בשדה enableDataplaneV2 בקובץ התצורה של אשכול המשתמשים.
הפעלת הרישום ביומן
רישום ביומן של מדיניות רשת ב-Kubernetes לא מופעל כברירת מחדל. במאמר הגדרת רישום ביומן של מדיניות רשת ב-Kubernetes מוסבר איך להפעיל את הרישום ביומן ולבחור אילו אירועים לרשום ביומן.
גישה ליומנים
יומני מדיניות רשת ב-Kubernetes שנוצרים בכל צומת באשכול זמינים באופן מקומי בצומתי האשכול בנתיב /var/log/network/policy_actiontimestamp.log. קובץ יומן חדש עם חותמת זמן נוצר כשקובץ היומן הנוכחי מגיע לגודל של 10MB. המערכת שומרת עד חמישה קובצי יומן קודמים.
ייצוא יומנים
מומלץ להשתמש ב-Fluent Bit כדי לייצא יומנים מהצמתים של האשכול. Fluent Bit הוא מעבד ומעביר יומנים בקוד פתוח, שתומך בייצוא ל-Cloud Logging ולכיורי נתונים רבים אחרים.