Kubernetes と Firebase の接続リセットの問題のデバッグ（後半）

今回の記事は長いので前半と後半に分けてお送りします。

今回は後半です。Cloud NAT、Firebaseのデバッグについてです。

Problem…Not Solved

接続リセットの問題をバリデーションした後、私たちはその修正を実装することに着手しました。解決策は、無効なパケットをドロップするように明示的に conntrack に指示するか、もっとリベラルに無効なパケットとしてマークしないようにすることです。

sysctl -w net.netfilter.nf_conntrack_tcp_be_liberal=1

1.14以下を実行しているクラスタでは、以下のDaemonSetがすべてのノードにconntrackパッチを適用することで問題を修正します。

apiVersion: extensions/v1beta1
kind: DaemonSet
metadata:
name: startup-script
labels:
app: startup-script
spec:
template:
metadata:
labels:
app: startup-script
spec:
hostPID: true
containers:
- name: startup-script
image: gcr.io/google-containers/startup-script:v1
imagePullPolicy: IfNotPresent
securityContext:
privileged: true
env:
- name: STARTUP_SCRIPT
value: |
#! /bin/bash
echo 1 > /proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_be_liberal
echo done