域名管理者眼中的系统优化与容器编排之道
|
去年一月份，改版上线翻车——就那个把 DNS 重写成 gRPC 的“智能解析中台”，凌晨三点二十七分我盯着 dig 命令输出发呆，缓存 TTL 被后端硬塞成零，整个华南节点全走 fallback。我原以为是 etcd watch 失效，结果发现是运维在 kubectl rollout undo 时手抖多敲了个 -n kube-system，把 CoreDNS 的 ConfigMap 覆盖了。这事儿我说不准，但那个 ConfigMap 文件名里带了个下划线，而 Helm chart 模板里用了双大括号包裹的 {{ .Values.namespace }}，生成时自动转义成破折号，导致 ConfigMap 实际没挂上——这个我敢打包票。 优胜劣汰？对，就是字面意思。不是算法优胜，是人被筛。你见过谁守着七百个域名证书续期脚本写 CI/CD 的？我就见过。测试上周提了个 bug：某二级域名的 CAA 记录在 cert-manager v1.12.3 下被忽略，但 v1.11.7 就认。我当场打开 Chrome DevTools 切到 Network tab，抓 cert-manager webhook 的响应体，发现它返回了 status: "Pending" 但 reason 字段空着——空着！不是 null，不是 "unknown"，就俩英文引号夹着空白。我盯着那行 JSON 看了十八秒，手指悬在键盘上没动，F 键下面那个 Alt 键卡了一下，按下去弹不起来，得用指甲抠。 旁边同事王磊端着保温杯路过，杯底磕我左屏边框一声脆响。我右屏壁纸还是三年前在冰岛拍的极光，蓝紫色条纹斜劈下来，刚好切过终端窗口右上角；左屏开着三个 tmux pane，中间那个正在 tail -f /var/log/coredns.log，但其实 logrotate 昨晚转走了，tail 在空跑。汤洒了——我桌上的酸辣粉，最后一滴汤顺着塑料碗边缘滑下去，在键盘 USB 线接头处洇开一小片油晕，我没擦。不是不想，是当时刚看到一条日志：“plugin/kubernetes: no endpoint found for service 'kube-dns' in namespace 'kube-system'”。服务名写错了，少了个 s。就一个字母。 跟产品经理吵完那天下午，我把所有泛解析的 wildcard 记录批量删了三遍，删完又加回来，加回来又删一遍。因为他说“用户要的是无缝体验”，我说“无缝=没有兜底=挂了就是全站黑”。他甩给我一张 Figma 链接，页面里写着“智能降级策略 v2.1（终稿）”。我点开，发现“终稿”右下角标注“上次修改：2023-12-29 16:03”，而我们的生产变更窗口是 2024-01-02 凌晨 00:15。这个时间差我说不准是不是故意留的，但我知道他工位上那盆绿萝死了三天，没人浇——我昨天倒水经过时看见叶子卷边了，叶脉发白。 反常识结论来了：容器编排压根没优化系统，它只是把原来分散在二十台物理机上的故障点，拧成一根高强度尼龙绳，然后往你喉咙里猛拽。你看那个 Ingress Controller，我们配了四层 TLS 终止链路：Cloudflare → Nginx Ingress → Service Mesh Gateway → App Pod。每层都加了 mTLS，每层都校验证书链，每层都自己 cache。结果？证书更新时差十五秒，就有三百七十二个节点在反复握手失败。我让后端查 handshake timeout 阈值，他回我 Slack：“没设，用默认。” 默认是多少？Go net/http 里写死的三十秒。可你猜怎么着——我们集群里有一台老 worker node，内核版本 5.4.0-167，tcp_retries2 默认是 15，而新节点是 8。同一份 YAML 部署，一半节点五秒断连，一半四十秒才放弃。这事没文档，没人测，纯靠某次 DNS 缓存雪崩时抓包撞出来的。 键盘右下角 Caps Lock 灯常亮着，其实我没开大写。是灯泡坏了，但懒得换——反正我现在只用 vim，连 Shift 都敲得少。上个月财务问工资条里那个“基础设施冗余补贴”是什么，我说是公司给 DNS 管理员发的防猝死津贴，她笑了，把打印纸对折两次扔进碎纸机。我工位底下还塞着半箱没拆封的 USB-C 转 DP 线，供应商说“这批镀层工艺升级了”，我信了，结果插上双屏第三天，右屏每隔十九分钟闪一次绿噪点。没报修，我自己买了个 HDMI 线，绕过那根镀层升级的玩意儿。技术债？呵，镀层升级才是真·技术债。
文章配图，仅供参考 我昨天翻了下去年一月的 Slack 记录，凌晨三点二十七分那会儿，PM 在 #infra-deploy 频道打了一行字：“等这个上了我们就砍掉旧 DNS 服务”。没加语气词，没表情，没句号。两分钟后我回他：“旧服务砍不掉，它还在喂三百四十台 legacy IoT 设备，那些设备刷的是 OpenWrt 15.05 固件，不认 SRV 记录”。他没回。现在那批设备还在跑，固件没升级，IP 没变，但每天凌晨两点零三分，它们会准时向已下线的 nameserver 发送一条 A 查询——像上坟。我写了脚本抓这些包，存成 pcap，命名规则是 yyyymmdd_0203_iot_haunting.pcap。没报警，不处理，就存着。存着比删掉更省事。今天早会有人问“K8s 里的 readiness probe 和 DNS 健康检查要不要对齐”，我抬手关了 Zoom 麦克风，把笔记本合上，推过去半米。椅子后仰时听见左侧扶手咯吱一声——螺丝松了三个月。我准备下班前去库房领个新螺丝，顺手看看有没有同批次的 USB-C 线剩货。如果有，我就把它换掉。没有就算了。 （编辑：站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
