IL-0104 Cisco ThousandEyes · 2025-09-04kubernetesnetworking

Istio 의 공격적인 DNS 캐시 갱신과 클라이언트 포트 재사용, kube-proxy 가 종료된 파드의 conntrack 항목을 정리하지 않는 문제, 2분짜리 UDP conntrack 기본 타임아웃이 겹쳐 CoreDNS 파드가 OOMKilled 됐다.

Cisco ThousandEyes 의 리드 SRE 가 SREcon26 Americas 에서 발표한 사례다. 2025년 9월 4일 CoreDNS 파드 하나가 OOMKilled 됐다. 이 클러스터는 kube-proxy 가 만드는 KUBE-SERVICES, KUBE-SVC, KUBE-SEP iptables 체인으로 Service 트래픽을 파드에 보내고, 서비스 메시로 Istio 를 사이드카 모드로 쓴다. conntrack 은 이미 본 패킷으로 연결 상태를 기억해, 알려진 연결의 패킷은 iptables 규칙을 다시 평가하지 않고 같은 곳으로 보낸다.

발표는 원인을 셋으로 정리한다. 첫째, Istio 는 DNS 캐시를 매우 공격적으로 갱신하고 모든 DNS 요청에 같은 클라이언트 포트를 다시 쓴다. 이 갱신 간격은 코드에 고정돼 있다. 둘째, kube-proxy 에는 종료된 파드의 오래된 conntrack 항목을 정리하는 장치가 없었다. 이 문제는 쿠버네티스 이슈 #126130 에서 다뤄졌고 v1.32 에서 고쳐졌다. 셋째, conntrack 의 양방향 UDP 스트림 기본 타임아웃은 2분이다.

심각도

–

영향 범위

–

영향 사용자

–

지역

–

감지까지

–

복구까지

–