Des utilisateurs signalent des échecs intermittents de résolution de noms dans votre cluster Kubernetes. Où regardez-vous ?

Commencez par CoreDNS : redémarrages de pods, throttling CPU, taux d'erreur, et nombre de réplicas face au volume de requêtes. Vérifiez ensuite ndots, puisque la valeur par défaut de 5 fait essayer plusieurs domaines de recherche avant chaque résolution externe et multiplie la charge de requêtes. Les coupables classiques sont l'épuisement de la table conntrack sur les nœuds, la perte de paquets UDP sous charge, et les résolveurs mono-thread. Un cache DNS local au nœud plus des noms pleinement qualifiés règlent en général l'affaire.

Je commencerais par mesurer plutôt que deviner : quels noms échouent, internes ou externes, et est-ce corrélé à la charge. Puis CoreDNS lui-même, parce que si ces pods sont throttlés sur le CPU ou qu'il n'y en a que deux pour un gros cluster, tout en aval a l'air intermittent. Celui qui surprend les gens, c'est ndots. Le resolv.conf par défaut d'un pod règle ndots à 5, donc résoudre un nom d'hôte externe l'essaie contre chaque domaine de recherche avant le vrai, ce qui transforme une requête en cinq et met beaucoup de pression supplémentaire sur CoreDNS. Le correctif, c'est soit un point final sur le nom pour le rendre pleinement qualifié, soit un dnsConfig personnalisé avec ndots à 2. Côté nœud, je regarde l'usage de la table conntrack, parce qu'une table pleine jette silencieusement les réponses UDP et ressemble exactement à un DNS capricieux. En pratique, déployer NodeLocal DNSCache a réglé ça définitivement chez nous, puisque ça déplace les résolutions vers un cache local en TCP.