Sticky Session With Docker Swarm (CE) na CentOS 7

Úvod

Docker Swarm promění vaše jednotlivé servery na shluk počítačů, což usnadňuje škálování, vysokou dostupnost a vyrovnávání zátěže. Swarm load-balancer implementuje strategii vyrovnávání zátěže v obou směrech, což může narušovat správné fungování (starších) stavových aplikací, které vyžadují určitou formu pevných relací, aby bylo možné nastavit vysokou dostupnost s více instancemi. Docker Enterprise Edition podporuje lepicí relaci Layer-7, ale v této příručce se zaměříme na bezplatnou (CE) verzi Dockeru. K implementaci lepivých relací použijeme Traefik.

Předpoklady

• Alespoň dvě čerstvě nasazené a aktualizované instance CentOS 7 ve stejné podsíti s povolenou privátní sítí
• Docker CE nainstalovaný v těchto instancích
• Instance by měly být součástí stejného Swarmu a měly by být schopny spolu komunikovat přes privátní síť
• Předchozí znalost Docker a Docker Swarm
• Uživatel bez oprávnění správce s právy sudo (volitelné, ale důrazně se nedoporučuje používat uživatele root)

V tomto tutoriálu budeme používat dvě instance Vultr se soukromými IP adresami 192.168.0.100 a 192.168.0.101, oba jsou uzly správce Docker Swarm (což není ideální pro produkci, ale pro tento tutoriál stačí).

Kdo jsem

Tento tutoriál používá jwilder/whoamiobrázek dockeru jako ukázkovou aplikaci. Tento jednoduchý kontejner bude reagovat na volání REST s názvem odpovídajícího kontejneru, takže je velmi snadné otestovat, zda pevné relace fungují. Tento obrázek se používá pouze pro účely ukázky a je třeba jej nahradit obrázkem vaší vlastní aplikace. Je whoami-servicenakonfigurován následovně:

sudo docker network create whoaminet -d overlay
sudo docker service create --name whoami-service --mode global --network whoaminet --publish "80:8000" jwilder/whoami
sudo firewall-cmd --zone=public --add-port=80/tcp --permanent
sudo firewall-cmd --reload

Kdybychom následně REST koncového bodu na , můžeme vidět round-robin load-balancing of Docker Roje v práci.curlwhoamihttp://192.168.0.100/

curl http://192.168.0.100
I'm a6a8c9294fc3
curl http://192.168.0.100
I'm ae9d1763b4ad
curl http://192.168.0.100
I'm a6a8c9294fc3
curl http://192.168.0.100
I'm ae9d1763b4ad
curl http://192.168.0.100
I'm a6a8c9294fc3

Nemá smysl to testovat s moderními prohlížeči, jako je Chrome nebo Firefox, protože jsou navrženy tak, aby udržovaly připojení naživu (otevřené) a nástroj pro vyrovnávání zatížení Docker Swarm se přepne na jiný kontejner pouze při každém novém připojení. Pokud to chcete otestovat pomocí prohlížeče, budete muset počkat alespoň 30 sekund, než se připojení uzavře, než se znovu obnoví.

Nastavení Traefik

Traefik nativně podporuje Docker Swarm, dokáže detekovat a registrovat nebo odregistrovat kontejnery za běhu a komunikuje s vaší aplikací přes interní překryvnou síť. Traefik potřebuje nějaké informace o vaší aplikaci, než bude moci začít vyřizovat požadavky na ni. Tyto informace jsou poskytovány společnosti Traefik přidáním štítků do vaší služby Swarm.

sudo docker service update --label-add "traefik.docker.network=whoaminet" --label-add "traefik.port=8000" --label-add "traefik.frontend.rule=PathPrefix:/" --label-add "traefik.backend.loadbalancer.stickiness=true" whoami-service

Níže uvedený seznam popisuje, co jednotlivé štítky znamenají:

• traefik.docker.network: Překryvná síť Docker, přes kterou bude Traefik komunikovat s vaší službou
• traefik.port: Port, na kterém vaše služba naslouchá (toto je interně vystavený port, nikoli publikovaný port)
• traefik.frontend.rule: PathPrefix:/váže kontextový kořen /k této službě.
• traefik.backend.loadbalancer.stickiness: Povolí pro tuto službu trvalé relace

Nyní, když whoami-servicejsme nakonfigurovali požadované štítky, můžeme do roje přidat službu Traefik:

sudo docker service create --name traefik -p8080:80 -p9090:8080 --mount type=bind,source=/var/run/docker.sock,destination=/var/run/docker.sock --mode=global --constraint 'node.role == manager' --network whoaminet traefik --docker --docker.swarmmode --docker.watch --web --loglevel=DEBUG

Tento příkaz dělá spoustu věcí najednou. Níže uvedený seznam vysvětlí podrobněji:

• --name traefik: Naše nová služba Docker se jmenuje traefik
• -p8080:80: Zveřejňujeme Traefikův port 80na port 8080(port 80je již používán naším whoami-service)
• -p9090:8080: Zveřejňujeme vlastní webové rozhraní Traefik na port 9090
• --mount ...: Namontujeme Docker Socket do kontejneru, aby Traefik mohl přistupovat k hostitelskému Docker runtime
• --global: Chceme kontejnery Traefik na každém manažerském uzlu z důvodu vysoké dostupnosti
• --constraint 'node.role == manager': Chceme, aby Traefik běžel pouze na manažerských uzlech, protože pracovní uzly nemohou Traefiku poskytnout informace, které potřebuje. Například docker service lsna pracovním uzlu nefunguje, takže Traefik by ani nebyl schopen zjistit, jaké služby běží
• --network whoaminet: Připojuje Traefik ke stejné síti jako naše whoami-service, jinak se nemohou připojit. Dříve jsme Traefikovi řekli, aby se připojil k naší službě přes tuto síť s traefik.docker.networkoznačením
• traefik: Řekněte dockeru, aby pro tuto službu použil nejnovější obraz Traefik docker
• --docker --docker.swarmmode --docker.watch --web --loglevel=DEBUG: Argumenty příkazového řádku předány přímo Traefiku, aby mohl běžet v režimu Docker swarm ( --loglevel=DEBUGzde je volitelný, ale zajímavý během nastavení a pro tento tutoriál)

Vše, co zbývá udělat, je otevřít potřebné porty v CentOS firewallu:

sudo firewall-cmd --zone=public --add-port=8080/tcp --permanent
sudo firewall-cmd --zone=public --add-port=9090/tcp --permanent
sudo firewall-cmd --reload

Jak to funguje

Jakmile se Traefik spustí, můžete v protokolech vidět, že Traefik objevil dva whoamikontejnery. Vydává také název souboru cookie, který bude používat ke zpracování lepivé relace:

time="2018-11-25T13:17:30Z" level=debug msg="Configuration received from provider docker: {\"backends\":{\"backend-whoami-service\":{\"servers\":{\"server-whoami-service-1-a179b2e38a607b1127e5537c2e614b05\":{\"url\":\"http://10.0.0.5:8000\",\"weight\":1},\"server-whoami-service-2-df8a622478a5a709fcb23c50e689b5b6\":{\"url\":\"http://10.0.0.4:8000\",\"weight\":1}},\"loadBalancer\":{\"method\":\"wrr\",\"stickiness\":{}}}},\"frontends\":{\"frontend-PathPrefix-0\":{\"entryPoints\":[\"http\"],\"backend\":\"backend-whoami-service\",\"routes\":{\"route-frontend-PathPrefix-0\":{\"rule\":\"PathPrefix:/\"}},\"passHostHeader\":true,\"priority\":0,\"basicAuth\":null}}}"
time="2018-11-25T13:17:30Z" level=debug msg="Wiring frontend frontend-PathPrefix-0 to entryPoint http"
time="2018-11-25T13:17:30Z" level=debug msg="Creating backend backend-whoami-service"
time="2018-11-25T13:17:30Z" level=debug msg="Adding TLSClientHeaders middleware for frontend frontend-PathPrefix-0"
time="2018-11-25T13:17:30Z" level=debug msg="Creating load-balancer wrr"
time="2018-11-25T13:17:30Z" level=debug msg="Sticky session with cookie _a49bc"
time="2018-11-25T13:17:30Z" level=debug msg="Creating server server-whoami-service-1-a179b2e38a607b1127e5537c2e614b05 at http://10.0.0.5:8000 with weight 1"
time="2018-11-25T13:17:30Z" level=debug msg="Creating server server-whoami-service-2-df8a622478a5a709fcb23c50e689b5b6 at http://10.0.0.4:8000 with weight 1"
time="2018-11-25T13:17:30Z" level=debug msg="Creating route route-frontend-PathPrefix-0 PathPrefix:/"
time="2018-11-25T13:17:30Z" level=info msg="Server configuration reloaded on :80"
time="2018-11-25T13:17:30Z" level=info msg="Server configuration reloaded on :8080"

Pokud se stočíme na http://192.168.0.100:8080, uvidíme, že _a49bcbyl nastaven nový soubor cookie :

curl -v http://192.168.0.100:8080
* About to connect() to 192.168.0.100 port 8080 (#0)
*   Trying 192.168.0.100...
* Connected to 192.168.0.100 (192.168.0.100) port 8080 (#0)
> GET / HTTP/1.1
> User-Agent: curl/7.29.0
> Host: 192.168.0.100:8080
> Accept: */*
>
< HTTP/1.1 200 OK
< Content-Length: 17
< Content-Type: text/plain; charset=utf-8
< Date: Sun, 25 Nov 2018 13:18:40 GMT
< Set-Cookie: _a49bc=http://10.0.0.5:8000; Path=/
<
I'm a6a8c9294fc3
* Connection #0 to host 192.168.0.100 left intact

Pokud při následujících hovorech odešleme tento soubor cookie společnosti Traefik, budeme vždy přesměrováni do stejného kontejneru:

curl http://192.168.0.100:8080 --cookie "_a49bc=http://10.0.0.5:8000"
I'm a6a8c9294fc3
curl http://192.168.0.100:8080 --cookie "_a49bc=http://10.0.0.5:8000"
I'm a6a8c9294fc3
curl http://192.168.0.100:8080 --cookie "_a49bc=http://10.0.0.5:8000"
I'm a6a8c9294fc3
curl http://192.168.0.100:8080 --cookie "_a49bc=http://10.0.0.5:8000"
I'm a6a8c9294fc3

Soubor cookie neobsahuje nic jiného než interní (překryvnou) IP adresu kontejneru, na který má Traefik odeslat požadavek. Pokud změníte hodnotu souboru cookie na, http://10.0.0.4:8000bude požadavek účinně předán jinému kontejneru. Pokud by cookie neměl být nikdy znovu odeslán do Traefiku, pak by lepivá relace nebude fungovat a požadavky budou vyváženy mezi kontejnery aplikace a kontejnery Traefik.

To je vše, co je potřeba k nastavení Layer 7 Sticky Sessions v Docker CE na CentOS 7.