3.7. CLI を使用して OVS サンプリングで OVN-Kubernetes ネットワークトラフィックを確認する

手順

1. OVS サンプリング機能を使用して OVNObservability を有効にするには、次のコマンドを入力して、cluster という名前の FeatureGate CR で TechPreviewNoUpgrade 機能セットを有効にします。

   $ oc patch --type=merge --patch '{"spec": {"featureSet": "TechPreviewNoUpgrade"}}' featuregate/cluster

   Copy to Clipboard Toggle word wrap

   出力例

   featuregate.config.openshift.io/cluster patched

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを入力して、OVNObservability 機能が有効になっていることを確認します。

   $ oc get featuregate cluster -o yaml

   Copy to Clipboard Toggle word wrap

   出力例

     featureGates:
   # ...
       enabled:
       - name: OVNObservability

   Copy to Clipboard Toggle word wrap

3. 次のコマンドを入力して、関連するネットワーク API の 1 つを作成した namespace 内の Pod のリストを取得します。次の手順で使用するために、Pod の NODE 名をメモします。

   $ oc get pods -n <namespace> -o wide

   Copy to Clipboard Toggle word wrap

   出力例

   NAME              READY   STATUS    RESTARTS   AGE     IP            NODE                                       NOMINATED NODE   READINESS GATES
   destination-pod   1/1     Running   0          53s     10.131.0.23   ci-ln-1gqp7b2-72292-bb9dv-worker-a-gtmpc   <none>           <none>
   source-pod        1/1     Running   0          56s     10.131.0.22   ci-ln-1gqp7b2-72292-bb9dv-worker-a-gtmpc   <none>           <none>

   Copy to Clipboard Toggle word wrap

4. 次のコマンドを入力して、OVN-Kubernetes Pod のリストを取得し、前の手順の Pod と同じ NODE を共有する Pod を見つけます。

   $ oc get pods -n openshift-ovn-kubernetes -o wide

   Copy to Clipboard Toggle word wrap

   出力例

   NAME
   ...                             READY   STATUS    RESTARTS      AGE   IP           NODE                                       NOMINATED NODE
   ovnkube-node-jzn5b              8/8     Running   1 (34m ago)   37m   10.0.128.2   ci-ln-1gqp7b2-72292-bb9dv-worker-a-gtmpc   <none>
   ...

   Copy to Clipboard Toggle word wrap

5. 次のコマンドを入力して、ovnkube-node Pod 内で bash シェルを開きます。

   $ oc exec -it <pod_name> -n openshift-ovn-kubernetes -- bash

   Copy to Clipboard Toggle word wrap

6. ovnkube-node Pod 内では、ovnkube-observ -add-ovs-collector スクリプトを実行し、OVS コレクターを使用してネットワークイベントを表示できます。以下に例を示します。

   # /usr/bin/ovnkube-observ -add-ovs-collector

   Copy to Clipboard Toggle word wrap

   出力例

   ...
   2024/12/02 19:41:41.327584 OVN-K message: Allowed by default allow from local node policy, direction ingress
   2024/12/02 19:41:41.327593 src=10.131.0.2, dst=10.131.0.6
   
   2024/12/02 19:41:41.327692 OVN-K message: Allowed by default allow from local node policy, direction ingress
   2024/12/02 19:41:41.327715 src=10.131.0.6, dst=10.131.0.2
   ...

   Copy to Clipboard Toggle word wrap

7. -filter-src-ip フラグと Pod の IP アドレスを指定して次のコマンドを入力すると、ソース Pod などのタイプ別にコンテンツをフィルタリングできます。以下に例を示します。

   # /usr/bin/ovnkube-observ -add-ovs-collector -filter-src-ip <pod_ip_address>

   Copy to Clipboard Toggle word wrap

   出力例

   ...
   Found group packets, id 14
   2024/12/10 16:27:12.456473 OVN-K message: Allowed by admin network policy allow-egress-group1, direction Egress
   2024/12/10 16:27:12.456570 src=10.131.0.22, dst=10.131.0.23
   
   2024/12/10 16:27:14.484421 OVN-K message: Allowed by admin network policy allow-egress-group1, direction Egress
   2024/12/10 16:27:14.484428 src=10.131.0.22, dst=10.131.0.23
   
   2024/12/10 16:27:12.457222 OVN-K message: Allowed by network policy test:allow-ingress-from-specific-pod, direction Ingress
   2024/12/10 16:27:12.457228 src=10.131.0.22, dst=10.131.0.23
   
   2024/12/10 16:27:12.457288 OVN-K message: Allowed by network policy test:allow-ingress-from-specific-pod, direction Ingress
   2024/12/10 16:27:12.457299 src=10.131.0.22, dst=10.131.0.23
   ...

   Copy to Clipboard Toggle word wrap

   /usr/bin/ovnkube-observ で渡すことができるフラグの完全なリストは、「OVS サンプリングフラグを持つ OVN-Kubernetes ネットワークトラフィック」を参照してください。