boxinc/kube-iptables-tailer

kube-iptables-tailer

镜像概述

kube-iptables-tailer是运行在Kubernetes集群中的服务，通过监控主机iptables拒绝流量的日志，定位受影响的Pod并发送Kubernetes事件，帮助用户实时掌握集群内的网络访问控制情况，提升网络问题排查效率。

核心功能

1. 日志监控：持续跟踪主机上的iptables日志文件，识别被拒绝的流量记录
2. Pod定位：通过IP地址匹配集群内的发送和接收Pod
3. DNS解析：对非集群IP进行DNS查询，获取外部访问对象信息
4. 事件通知：向受影响Pod发送实时Kubernetes事件，便于用户通过kubectl describe pods查看
5. Metrics统计：提供Prometheus指标packet_drops_count，统计不同命名空间间的包丢弃情况

使用场景

• 排查Kubernetes集群内Pod间网络不通问题
• 监控iptables防火墙规则对Pod流量的影响
• 实时跟踪集群网络访问控制策略的执行效果
• 分析外部服务对集群内部Pod的访问被拒绝情况

配置说明

前置准备

1. 设置iptables日志前缀：在iptables规则中添加日志前缀（需root权限）：

   shell
   iptables -A CHAIN_NAME -j LOG --log-prefix "KUBE_IPTABLES_TAILER: "
   

2. 挂载日志目录：将主机iptables日志文件的父目录挂载到容器，以处理日志轮转：
   • 例如日志文件路径为/var/log/iptables.log，需挂载/var/log目录

环境变量

必填参数

• IPTABLES_LOG_PATH：iptables日志文件的绝对路径（如/var/log/iptables.log）
• IPTABLES_LOG_PREFIX：iptables规则中设置的日志前缀（需完全匹配）

可选参数

• KUBE_API_SERVER：Kubernetes API服务器地址（默认由kube-proxy自动发现）
• KUBE_EVENT_DISPLAY_REASON：事件Reason字段（默认PacketDrop）
• KUBE_EVENT_SOURCE_COMPONENT_NAME：事件From字段（默认kube-iptables-tailer）
• METRICS_SERVER_PORT：Metrics端口（默认9090）
• PACKET_DROP_EXPIRATION_MINUTES：包丢弃日志过期时间（默认10分钟）
• REPEATED_EVENTS_INTERVAL_MINUTES：重复事件忽略间隔（默认2分钟）

部署示例（DaemonSet）

yaml
apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: kube-iptables-tailer
  namespace: kube-system
spec:
  selector:
    matchLabels:
      app: kube-iptables-tailer
  template:
    metadata:
      labels:
        app: kube-iptables-tailer
    spec:
      containers:
      - name: kube-iptables-tailer
        image: boxinc/kube-iptables-tailer
        env:
        - name: IPTABLES_LOG_PATH
          value: "/var/log/iptables.log"
        - name: IPTABLES_LOG_PREFIX
          value: "KUBE_IPTABLES_TAILER: "
        volumeMounts:
        - name: iptables-log
          mountPath: "/var/log"
      volumes:
      - name: iptables-log
        hostPath:
          path: "/var/log"
          type: Directory

Metrics

服务通过/metrics端点提供Prometheus指标，示例：

packet_drops_count{src="default",dst="kube-system"} 10

日志配置

使用glog记录日志，可通过--log_dir参数指定日志输出目录，需挂载emptyDir卷实现：

yaml
# 在容器spec中添加
args: ["--log_dir=/var/log/kube-iptables-tailer"]
volumeMounts:
- name: log-dir
  mountPath: "/var/log/kube-iptables-tailer"
volumes:
- name: log-dir
  emptyDir: {}

贡献与支持

• 贡献：遵循贡献指南提交代码
• 支持：发送邮件至***，主题包含项目名称

版权与许可

Copyright 2019 Box, Inc.
基于Apache License 2.0许可，详情见LICENSE