사례2건

2건 중 1~2번째

1. IL-0185 Kubespray 로 만든 클러스터의 첫 번째 control plane 노드 디스크가 I/O 오류로 읽기 전용이 되면서 노드가 죽었다

   Hans H. Kim2023

   증상

   Kubernetes 클러스터의 master 노드에서 디스크 장애가 났다. 커널 로그에 "[HAWKEYE] kernel:: [22329228.540857] blk_update_request: I/O error, dev sda, sector 795030104 op 0x0:(READ) flags 0x0 phys_seg 1 prio class 0, at" 오류가 찍혔다.

   노드 NotReady

   촉발

   하드웨어 장애로 master 1번 노드의 sda 디스크에 I/O 오류가 나고 읽기 전용 상태가 됐다.

   원인

   하드웨어 고장

   구성 요소

   Kubesprayetcd노드 루트 디스크컨피그맵과 시크릿

   기여 요인

   단일 장애점

   감지

   커널 로그에 sda 디스크의 blk_update_request I/O 오류가 찍히면서 디스크 장애를 알았다.

   조치

   • Kubespray inventory 의 kube_control_plane 순서를 바꿔 node-2 가 첫 번째 control plane 노드가 되게 했다.
   • 하드웨어 장애가 난 1번 장비를 클러스터에서 제거했다.
   • kubectl edit cm -n kube-public cluster-info 로 cluster-info ConfigMap 의 옛 control plane IP 를 살아 있는 장비의 IP 로 바꾸고 certificate-authority-data 값도 바꿨다.
   • 새 노드에 kubelet 을 비롯한 컴포넌트를 설치하고 kubeadm join --control-plane --skip-phases control-plane-join/etcd 로 control plane 노드를 추가했다.
   • etcd 노드를 따로 추가했다.

   교훈

   Kubespray 는 첫 번째 control plane 노드에 특별한 권한을 주기 때문에, master 세 대로 HA 를 구성해도 1번 노드의 장애 복구는 매우 까다롭다. 복구하려면 inventory 순서를 바꿔 1번 역할부터 다른 노드로 넘겨야 한다. control plane 노드가 죽으면 etcd 쿼럼이 위험해지므로 다른 노드가 더 망가지기 전에 etcd 를 되살려야 한다.

   사례 보기
2. IL-0186 스토리지 구성 요소가 노드에 넣은 iptables REDIRECT 규칙 때문에 워커 노드 하나의 파드가 외부 HTTP 와 HTTPS 로 나가지 못했다.

   Hans H. Kim2023

   증상

   쿠버네티스 클러스터의 특정 워커 노드에서 80 포트와 443 포트로 가는 통신이 되지 않았다. 그 노드의 파드는 외부와 HTTP, HTTPS 로 통신할 수 없었다.

   요청 오라우팅

   촉발

   스토리지 작업용 구성 요소를 설치한 서버가 특정 노드에, 80 포트와 443 포트로 가는 트래픽을 로컬 포트로 리다이렉트하는 iptables nat 규칙을 자동으로 넣었다.

   원인

   설정 변경

   구성 요소

   노드 iptables 규칙

   기여 요인

   –

   조치

   • 스토리지 담당자에게 요청해 문제의 iptables 규칙을 지웠다.

   교훈

   쿠버네티스에서는 kube-proxy 가 iptables 를 직접 다루므로 이 부분을 깊이 이해해야 한다. 네트워크 시험 중 패킷이 사라지면 어느 단계에서 문제가 생겼는지 하나씩 따져 봐야 하고, 그러려면 네트워킹이 어떤 단계를 거쳐 이루어지는지 확실히 알고 있어야 한다.

   사례 보기

원인별2