AKS용 컨테이너 네트워크 인사이트 에이전트란 무엇인가요? (공개 미리 보기)

Container Network Insights 에이전트는 AKS(Azure Kubernetes Service) 클러스터에서 네트워킹 문제를 식별하고 해결하는 데 도움이 되는 AI 기반 진단 도우미입니다. DNS 오류, 패킷 삭제, 연결할 수 없는 서비스 또는 차단된 트래픽과 같은 자연어 문제를 설명합니다. 에이전트는 클러스터에서 증거를 수집하고 근본 원인 분석 및 수정 지침을 사용하여 구조화된 보고서를 반환합니다.

Kubernetes 계층에서만 작동하는 도구와 달리 Container Network Insights 에이전트는 Linux 네트워킹 플러그 인을 통해 호스트 수준 네트워크 통계 를 수집할 수도 있습니다. 에이전트는 클러스터 노드에서 NIC 링 버퍼, 커널 패킷 카운터, SoftIRQ 배포 및 소켓 버퍼 사용률을 검사할 수 있습니다. 이렇게 하면 Kubernetes 환경에서 진단하기 어려운 패킷 삭제, 네트워크 병목 상태 및 하드웨어 수준 포화와 같은 하위 수준 문제가 표시됩니다.

에이전트는 AKS 클러스터 확장으로 배포된 클러스터 내 웹 애플리케이션으로 실행됩니다. 브라우저를 통해 액세스합니다. 인사이트, 분석 및 권장 작업을 제공합니다. 결과를 검토하고 제안된 변경 내용을 직접 적용합니다.

Container Network Insights 에이전트로 무엇을 할 수 있나요?

Container Network Insights 에이전트를 사용하면 AKS 네트워킹 문제의 가장 일반적이고 시간이 많이 걸리는 범주를 해결할 수 있습니다.

각 진단은 확인된 항목, 정상, 실패한 항목, 식별된 근본 원인 및 문제를 수정하고 확인하는 정확한 명령을 포함하는 구조화된 보고서를 생성합니다.

Container Network Insights 에이전트를 사용하는 경우

필요한 경우 Container Network Insights 에이전트 사용

• 일반 영어로 문제를 설명합니다. CLI 명령을 생성하거나 각 네트워킹 계층을 처리하는 도구를 알 필요가 없습니다. 에이전트는 올바른 진단 단계를 자동으로 결정합니다.
• 한 대화에서 Kubernetes 및 호스트 네트워킹 문제를 추적합니다. 도구를 전환하거나 노드에 SSH 접속하지 않고도 네트워크 정책 및 Pod 스케줄링에서 NIC 링 버퍼 및 커널 카운터로 이동할 수 있습니다.
• 단순히 오래된 카운터 값이 아닌, 현재 진행 중인 문제를 탐지: 델타 기반 측정은 현재 발생하고 있는 문제를 과거의 잡음과 구분해 줍니다.
• 즉시 사용할 수 있는 수정을 사용하여 자동화된 근본 원인 분석 가져오기: 에이전트는 여러 클러스터 데이터 원본의 증거와 상관 관계를 지정하고 복사하고 실행할 수 있는 수정 명령을 사용하여 구조화된 보고서를 제공합니다.
• 추가 설정 없이 AKS 클러스터에서 문제 해결: DNS, 패킷 삭제 및 Kubernetes 네트워킹 진단이 기본으로 작동합니다. Cilium 정책 및 허블 흐름 분석에 ACNS(Advanced Container Networking Services) 를 사용하도록 설정합니다.

Container Network Insights 에이전트는 ~에 설계되지 않았습니다

• 애플리케이션 코드 디버깅 또는 소프트웨어 개발 지원
• 스토리지, 퍼시스턴트볼륨 또는 디스크 문제 해결
• RBAC 구성, 비밀 관리 또는 보안 감사(네트워크 정책 제외)
• 워크로드 예약, 리소스 최적화 또는 비용 관리
• 비 Azure 클라우드 환경(AWS, GCP)
• 클러스터 변경(에이전트는 권장 사항만 제공하며 적용)

작동 방식

네트워킹 문제를 설명할 때 Container Network Insights 에이전트는 구조화된 진단 워크플로를 따릅니다.

You describe the issue → Agent classifies it → Collects evidence from the cluster → Analyzes findings → Reports results

〈c2〉〈c1〉〈c0〉〈sb0〉AKS 클러스터 내의 Container Network Insights 에이전트를 보여주는 아키텍처 다이어그램으로, 클러스터 데이터 원본과의 연결 및 Azure OpenAI 서비스와의 통합을 설명합니다.〈/sb0〉〈/c0〉〈/c1〉〈/c2〉

Container Network Insights 에이전트는 AKS 클러스터 내에서 Pod로 실행됩니다. HTTPS를 통해 웹 브라우저를 통해 상호 작용합니다. 클러스터 내에서 에이전트는 AKS MCP 서버를 통해 진단 명령을 실행하고 특수 플러그 인을 통해 5개의 데이터 원본에 연결합니다.

• Kubernetes API Server: AKS MCP 서버를 통해 kubectl Pod, 서비스, 노드, 네트워크 정책 및 기타 클러스터 리소스를 쿼리합니다.
• CoreDNS: DNS 플러그 인을 통해 DNS 상태 및 메트릭을 수집합니다.
• Cilium 에이전트: Kubernetes 네트워킹 플러그 인을 통해 AKS MCP 서버를 통해 Cilium 네트워크 정책 및 엔드포인트 상태를 검사합니다.
• 허블: 라이브 네트워크 흐름을 관찰하고 Kubernetes 네트워킹 플러그 인을 통해 AKS MCP 서버를 통해 삭제된 트래픽을 식별합니다.
• 노드 네트워크 스택: Linux 네트워킹 플러그 인을 통해 호스트 수준 네트워크 통계(RX/TX 버퍼, 링 버퍼 상태, 소프트넷 카운터)를 수집합니다.

에이전트는 Azure OpenAI Service 양방향으로 통신합니다. 자연어 쿼리를 보내고 추론을 위해 진단 증거를 수집하고 그 대가로 구조적 진단 인사이트를 받습니다.

진단 워크플로는 다음 네 단계를 수행합니다.

1. 분류: 에이전트는 설명에 따라 문제 범주(DNS, 연결, 네트워크 정책, 서비스 라우팅 또는 패킷 삭제)를 결정합니다.
2. 증명 정보 수집: 에이전트는 AKS MCP 서버를 통해 클러스터에 대해 진단 명령을 실행합니다kubectlciliumhubble. 각 진단 범주는 전용 증거 수집 워크플로를 사용하여 올바른 데이터를 자동으로 수집합니다.
3. 분석: 에이전트는 수집된 증거를 검사하여 정상 신호와 변칙을 구분합니다. 에이전트는 실제 명령 출력에 대한 모든 결론을 기반으로 하며, 추측에 기반하지 않습니다.
4. 보고서: 다음을 포함하는 구조화된 보고서를 받습니다.

• 문제 및 해당 상태에 대한 요약
• 각 검사, 결과 및 통과 또는 실패 여부를 보여 주는 증거 테이블
• 작동하는 것과 고장 난 것 분석
• 특정 증거 인용을 사용하여 근본 원인 식별
• 문제를 해결하고 수정 사항을 확인하는 정확한 명령

Integrations

Container Network Insights 에이전트는 이미 사용하는 AKS 네트워킹 도구에서 작동합니다.

안전 모델 및 제한 사항

에이전트가 클러스터와 상호 작용하는 방법

Container Network Insights 에이전트는 클러스터에서 진단 데이터를 수집하여 인사이트, 보고서 및 권장 작업을 생성합니다. AKS MCP 서버를 통해 클러스터 작업을 실행하고 진단에 필요한 데이터 범위가 최소인 전용 Kubernetes 서비스 계정(container-networking-agent-reader)을 사용합니다.

Container Network Insights 에이전트는 클러스터를 변경하지 않습니다. 수정 명령 및 권장 사항을 제공하지만 직접 검토하고 적용합니다.

범위 제한

에이전트는 네트워킹 및 Kubernetes 관련 질문에만 응답하며 오프 토픽 요청에 응답하지 않습니다. 시스템에는 오용을 방지하기 위한 프롬프트 주입 방어도 포함되어 있습니다.

세션 및 대화 제한

동시성

Container Network Insights 에이전트는 일반적인 조건에서 1~7개의 동시 사용자를 지원합니다. 더 큰 클러스터(25개 이상의 노드)에서 패킷 삭제 진단을 수행하려면 API 서버 로드를 방지하기 위해 동시 사용자를 제한해야 할 수 있습니다. 자세한 내용은 크기 조정 지침을 참조하세요.

예제 시나리오 및 샘플 프롬프트

DNS 문제 해결

DNS 확인 오류는 Kubernetes에서 가장 일반적인 네트워킹 문제 중 하나입니다. Pod가 서비스 이름, 외부 도메인 또는 둘 다를 확인할 수 없는 경우 Container Network Insights 에이전트는 CoreDNS 상태, 구성, 여러 경로의 DNS 확인 및 DNS 트래픽을 차단할 수 있는 네트워크 정책을 확인하는 포괄적인 DNS 진단을 실행합니다.

일반적인 상황:

• Pod에서 로그 Name or service not known 또는 NXDOMAIN 오류
• 서비스 이름을 통해 연결 시 시간 초과 오류 발생
• DNS는 일부 Pod에 대해 작동하지만 다른 Pod에는 작동하지 않습니다.
• 외부 도메인 확인이 실패하는 동안 내부 도메인 확인이 작동함 (또는 그 반대)

샘플 프롬프트:

에이전트에서 확인하는 내용:

DNS 진단은 사용자 지정 ConfigMaps를 포함하여 CoreDNS Pod 상태, 서비스 엔드포인트 및 CoreDNS 구성을 확인합니다. 또한 동일한 네임스페이스, 네임스페이스 간, FQDN 및 외부의 여러 경로에서 DNS 확인을 테스트합니다. 에이전트는 CoreDNS의 Prometheus 메트릭과 네트워크 정책 규칙을 분석하며, 여기에는 외부 도메인 조회를 은밀하게 제한할 수 있는 Cilium의 toFQDN 아웃바운드 정책도 포함됩니다.

에이전트가 식별하는 근본 원인의 예는 다음과 같습니다.

• CoreDNS Pod가 실행 중이거나 준비되지 않음
• 잘못 구성된 다시 쓰기 또는 전달 규칙을 사용하는 Custom CoreDNS ConfigMap
• UDP/TCP 포트 53을 차단하는 네트워크 정책(DNS 트래픽)
• Cilium toFQDNs 정책에서 허용 목록에 필요한 도메인이 없습니다.
• Cilium LocalRedirectPolicy 없이 배포된 NodeLocal DNS DaemonSet
• 잘못된 서비스 DNS 이름으로 구성된 애플리케이션

RX/패킷 손실 문제 해결

패킷 삭제는 NIC 하드웨어, 커널 네트워킹 스택 또는 애플리케이션 소켓 버퍼와 같은 여러 계층에서 발생할 수 있으므로 진단하기 어렵습니다. Container Network Insights 에이전트는 호스트 수준 네트워크 통계를 수집하기 위해 각 노드에 간단한 디버그 Pod를 배포합니다. 그런 다음 델타 측정값을 사용하여 패킷이 손실되는 위치를 식별합니다.

일반적인 상황:

• 애플리케이션은 간헐적인 연결 재설정 또는 시간 제한을 보고합니다.
• 노드 간의 패킷 손실을 표시하는 iperf 등의 도구
• 네트워크 대기 시간 급증이 특정 노드에 표시
• 네트워크 처리와 상관 관계가 높은 높은 CPU 사용량
• ethtool -S RX 드롭 카운터가 증가하는 것을 표시합니다.

샘플 프롬프트:

에이전트에서 확인하는 내용:

패킷 삭제 진단은 NIC 링 버퍼 사용률(ethtool), 커널 소프트넷 통계(/proc/net/softnet_stat), CPU별 SoftIRQ 배포 및 소켓 버퍼 채도를 검사합니다. 또한 네트워크 인터페이스 통계(/proc/net/dev), 커널 버퍼 튜닝 가능(tcp_rmem, rmem_max, netdev_max_backlog), RPS/XPS/RFS 구성 및 CNI별 인터페이스 분석도 검토합니다. 에이전트는 델타 측정(스냅샷 전후)을 사용하여 활성 드롭과 기록된 카운터를 감지합니다.

에이전트가 식별하는 근본 원인의 예는 다음과 같습니다.

• NIC 링 버퍼 고갈: 활성 rx_dropped 카운터 증가
• 커널 패킷 손실: /proc/net/softnet_stat 열의 ‘drop’ 값이 0이 아님
• 소켓 버퍼 오버플로: 버퍼 제한을 초과하여 증가하는 소켓 수신 큐
• SoftIRQ CPU 병목 상태: 불균형한 인터럽트 배포로 인해 단일 CPU에서 부하가 높음 %soft
• 모든 검사가 통과되었습니다. 에이전트는 추측하지 않고 "문제가 발견되지 않음"을 보고합니다.

Kubernetes 네트워킹 문제 해결

Pod가 서비스와 통신할 수 없거나, 네트워크 정책이 예상 트래픽을 차단하거나, 서비스에 엔드포인트가 없는 경우 Container Network Insights 에이전트는 전체 네트워킹 경로를 조사합니다. 에이전트는 Pod 예약 및 준비 상태, 서비스 엔드포인트 등록, 네트워크 정책 평가 및 허블 흐름 관찰을 확인합니다.

일반적인 상황:

• Pod 간 또는 Pod와 서비스 간의 통신이 실패합니다
• 서비스는 특정 네임스페이스에서 연결할 수 없습니다.
• 네트워크 정책이 트래픽을 예기치 않게 차단합니다.
• 서비스 엔드포인트는 존재하지만 연결이 여전히 시간 초과됩니다
• 허블이 Pod 간의 흐름에 대한 결과를 보여줍니다 DROPPED .

샘플 프롬프트:

에이전트에서 확인하는 내용:

Kubernetes 네트워킹 진단은 Pod 상태 및 일정, 서비스 구성 및 엔드포인트 등록 및 네트워크 정책(Kubernetes NetworkPolicy 및 CiliumNetworkPolicy 모두)을 검사합니다. 또한 드롭된 트래픽을 포함한 허블 플로우와 service-to-pod 포트 매핑을 분석합니다. 에이전트가 자주 발견하는 일반적인 잘못된 구성은 PodtargetPort와 일치하지 않는 서비스 containerPort입니다. 이 불일치로 인해 엔드포인트가 정상으로 표시되더라도 연결 시간 제한이 발생합니다.

에이전트가 식별하는 근본 원인의 예는 다음과 같습니다.

• 수신 또는 송신 트래픽을 차단하는 네트워크 정책(또는 CiliumNetworkPolicy)
• targetPort 서비스가 containerPort pod와 일치하지 않음
• 서비스 셀렉터 레이블이 pod 레이블과 일치하지 않음 (빈 엔드포인트)
• 예약할 수 없는 리소스 요청으로 인해 Pod가 보류 상태에 걸림
• 준비 프로브가 실패하여 서비스 엔드포인트에서 Pod가 제외됨
• Cilium 에이전트 Pod가 정상 상태가 아닙니다

알려진 문제 및 제품 제한 사항

크기 조정 지침

미리 준비된 풀의 모든 에이전트(기본값: 3개의 에이전트)가 사용 중인 경우 새 사용자의 첫 번째 쿼리가 더 오래 걸릴 수 있습니다. 동일한 세션의 후속 쿼리는 이미 초기화된 에이전트를 사용합니다.

알려진 문제

확장 가용성

microsoft.containernetworkingagent AKS 확장은 AKS가 지원되는 모든 Azure 공용 지역에서 사용할 수 있습니다. Azure Government, Microsoft Azure가 21Vianet에서 운영되는 경우, 또는 기타 주권 클라우드에서는 사용할 수 없습니다.

가격

Container Network Insights 에이전트는 AKS 클러스터에서 Pod로 실행됩니다. 직접 비용은 다음과 같습니다.

• Azure OpenAI 사용: 토큰 사용량은 대화 길이 및 진단 복잡성에 따라 달라집니다. 현재 요금은 Azure OpenAI 가격 책정 참조하세요.
• AKS 노드 컴퓨팅: 컨테이너 네트워크 인사이트 에이전트 Pod 및 (패킷 손실 진단의 경우) 디버그 DaemonSet은 클러스터 컴퓨팅 리소스를 사용합니다.

Container Network Insights 에이전트 자체는 공개 미리 보기 중에 별도의 라이선스 요금이 없습니다.

Container Network Insights 에이전트 액세스 및 사용

Container Network Insights 에이전트는 AKS 클러스터 내에서 실행되는 브라우저 기반 챗봇입니다. 배포 후 최신 브라우저에서 애플리케이션 URL을 열어 대화를 시작합니다. 탐색할 워크스테이션 또는 포털 블레이드에 CLI 도구가 필요하지 않습니다. 네트워크 진단을 위해 설계된 독립 실행형 채팅 인터페이스입니다.

등록하세요

Container Network Insights 에이전트 URL을 처음 열면 애플리케이션에서 로그인하라는 메시지가 표시됩니다. 관리자가 배포를 구성하는 방법에 따라 간단한 사용자 이름(개발 환경) 또는 Microsoft Entra ID 자격 증명(프로덕션 환경)으로 로그인합니다.

권한 부여

로그인한 후 애플리케이션에서 사용 권한을 부여하라는 메시지를 표시할 수 있습니다. 요청된 권한을 검토하고 수락 을 선택하여 계속합니다.

채팅 인터페이스

인증한 후에는 채팅 인터페이스에 배치됩니다. 서버는 세션을 유지 관리하므로 대화를 잃지 않고 세션 시간 제한 창 내에서 브라우저 탭을 닫고 다시 열 수 있습니다.

채팅 인터페이스는 다음을 수행할 수 있는 곳입니다.

• 자연어로 질문: "Pod에서 DNS를 확인할 수 없는 이유는 무엇인가요?" 또는 "노드 aks-nodepool1-vmss000000에서 패킷 삭제 확인"이라는 메시지를 입력합니다. 특별한 구문은 필요하지 않습니다.
• 구조적 진단 보고서 수신: 응답에는 증거 테이블, 근본 원인 분석 및 복사 및 실행할 수 있는 수정 명령이 포함됩니다.
• 새 대화 시작: 각 대화는 자체 컨텍스트를 유지 관리합니다. 새 대화를 시작하여 토픽을 전환합니다.
• 피드백 제출: 각 진단 응답 후에 기본 제공 피드백 컨트롤(엄지 손가락 및 엄지 손가락 아래로)을 사용하여 진단 품질을 평가합니다. 피드백은 향후 진단 정확도를 개선하는 데 도움이 됩니다.

문제 신고하기

Container Network Insights 에이전트에 문제가 발생하는 경우:

1. 문제의 세션 ID 및 타임스탬프를 확인합니다(채팅 인터페이스에 표시됨).
2. 상태 엔드포인트를 확인합니다. /health/ready/live
3. Pod 로그 검토: kubectl logs -l app=container-networking-agent -n kube-system
4. 표준 Azure 지원 채널을 통해 문제 제출

다음 단계

• 빠른 시작: Container Network Insights 에이전트 배포
• AKS에서 Container Network Insights 에이전트 문제 해결
• 고급 컨테이너 네트워킹 서비스 개요
• Azure Cilium에서 구동되는 CNI