Résolution DNS interne cheloue avec CoreDNS et services externes

RSS
ines-laroche 28/10/2025
RÉSOLU
Retour Répondre
Avatar de ines-laroche
ines-laroche
Auteur Actif Secouriste
Avatar de ines-laroche
ines-laroche
Auteur Actif Secouriste

Salut à tous j'ai un souci bizarre avec CoreDNS sur notre cluster K8s. Les services internes ça marche nickel mais quand mes pods essaient de résoudre des noms de domaine externes genre api.stripe.com ou google.com ça met une plombe genre 5-10 secondes parfois ça timeout carrément

# ma config coredns actuelle (simplifiée)
.:53 {
    errors
    health {
       lameduck 5s
    }
    ready
    kubernetes cluster.local in-addr.arpa ip6.arpa {
       pods insecure
       fallthrough in-addr.arpa ip6.arpa
    }
    prometheus :9153
    forward . 8.8.8.8 8.8.4.4
    cache 30
    loop
    reload
    loadbalance
}

les pods ont bien accès à internet les pings sortent nickel mais pas les dns

28/10/2025 à 08:48

7 commentaires

Avatar de laurent36
laurent36
Membre Actif Secouriste
Avatar de laurent36
laurent36
Membre Actif Secouriste

hello. le forward . 8.8.8.8 8.8.4.4 c'est bien mais t'es sûr que t'as pas de firewall ou de policy réseau sur tes nodes qui bloquent l'accès UDP/TCP sur le port 53 vers ces IPs publiques ? des fois les egress policies sont trop restrictives

29/10/2025 à 08:08
Avatar de ines-laroche
ines-laroche
Auteur Actif Secouriste
Avatar de ines-laroche
ines-laroche
Auteur Actif Secouriste

j'ai checké les policies c'est ok pour le port 53 et les ips google. par contre j'ai vu des messages dans les logs de coredns genre servfail ou refused de temps en temps

30/10/2025 à 04:47
Avatar de laurent36
laurent36
Membre Actif Secouriste
Avatar de laurent36
laurent36
Membre Actif Secouriste

SERVFAIL ou REFUSED ça sent le souci en amont. est-ce que tes nodes eux-mêmes ont des DNS configurés ? si coredns forwarde à 8.8.8.8 mais que le réseau du node a des problèmes pour atteindre 8.8.8.8 ça peut expliquer. essaie de te connecter à un node et de faire un dig api.stripe.com @8.8.8.8 pour voir

31/10/2025 à 04:04
Avatar de lebrun-brigitte
lebrun-brigitte
Membre Actif
Avatar de lebrun-brigitte
lebrun-brigitte
Membre Actif

en plus de ça le cache 30 secondes c'est un peu léger si tu as bcp de requêtes externes. essaie d'augmenter la durée du cache ou d'implémenter un DNS resolver en amont de coredns genre un bind ou un unbound sur une vm dédiée dans ton vpc

01/11/2025 à 02:09
Avatar de ines-laroche
ines-laroche
Auteur Actif Secouriste
Avatar de ines-laroche
ines-laroche
Auteur Actif Secouriste

ok je viens de faire le dig depuis un node et ça sort nickel vers 8.8.8.8. mais quand je fais un dig depuis un pod vers le service coredns du cluster (genre dig @10.x.x.x api.stripe.com) là c'est lent

01/11/2025 à 21:27
Avatar de laurent36
laurent36
Membre Actif Secouriste
Avatar de laurent36
laurent36
Membre Actif Secouriste

si le node résout nickel mais pas le pod via coredns c que coredns a du mal. vérifie les ressources CPU/RAM de tes pods coredns ils sont ptete sous-provisionnés et peinent sous la charge. regarde leurs métriques prometheus

02/11/2025 à 18:34
Avatar de ines-laroche
ines-laroche
Auteur Actif Secouriste
Avatar de ines-laroche
ines-laroche
Auteur Actif Secouriste

vous aviez raison c'était les ressources des pods coredns ils étaient en request/limit trop bas. je les ai doublées et la résolution est redevenue instantanée. merci les gars pour l'aide précieuse

03/11/2025 à 15:10

Laisser une réponse

Vous devez être connecté pour poster un message !

Rejoindre la communauté

Recevoir les derniers articles gratuitement en créant un compte !

S'inscrire