Che cos'è l'agente di Container Network Insight per AKS? (Anteprima pubblica)

Container Network Insight Agent è un assistente di diagnostica basato sull'intelligenza artificiale che consente di identificare e risolvere i problemi di rete nei cluster Servizio Azure Kubernetes (AKS). Descrivere un problema in linguaggio naturale, ad esempio errori DNS, eliminazioni di pacchetti, servizi non raggiungibili o traffico bloccato. L'agente raccoglie le prove dal cluster e restituisce un report strutturato con l'analisi della causa principale e indicazioni per la risoluzione.

A differenza degli strumenti che operano solo a livello Kubernetes, il Container Network Insight Agent è in grado di raccogliere statistiche di rete a livello di host tramite il plug-in di rete Linux. L'agente può esaminare i buffer circolari della scheda di interfaccia di rete, i contatori dei pacchetti kernel, la distribuzione SoftIRQ e l'utilizzo del buffer del socket nei nodi del cluster. Questo rivela problemi di basso livello, come perdite di pacchetti, colli di bottiglia di rete e saturazione a livello hardware che altrimenti sono difficili da diagnosticare in un ambiente Kubernetes.

L'agente viene eseguito come applicazione Web interna al cluster, distribuita come estensione del cluster AKS. È possibile accedervi tramite il browser. Fornisce informazioni dettagliate, analisi e azioni consigliate. Esamini i risultati e applichi le modifiche suggerite da solo.

Cosa puoi fare con l'agente di analisi della rete dei contenitori?

Container Network Insight Agent aiuta a risolvere le categorie di problemi di rete più comuni e che richiedono più tempo nel servizio Azure Kubernetes (AKS).

Ogni diagnostica genera un report strutturato che include ciò che è stato controllato, che cos'è integro, cosa ha avuto esito negativo, la causa radice identificata e i comandi esatti per risolvere e verificare il problema.

Quando usare l'Agent di Container Network Insight

Usare Container Network Insight Agent quando è necessario

• Descrivere il problema in inglese normale: non è necessario costruire comandi dell'interfaccia della riga di comando o conoscere quale strumento gestisce ogni livello di rete. L'agente determina automaticamente i passaggi di diagnostica corretti.
• Tracciare i problemi tra Kubernetes e rete host in una sola conversazione: passare dai criteri di rete e dalla pianificazione dei pod fino ai buffer circolari della scheda di interfaccia di rete e ai contatori del kernel senza cambiare strumenti o accedere ai nodi tramite SSH.
• Rilevare i problemi attivi, non solo i contatori obsoleti: le misurazioni basate su delta distinguono i problemi che si verificano in questo momento dal rumore cronologico.
• Ottenere l'analisi automatica della causa radice con correzioni pronte all'uso: l'agente correla l'evidenza da più origini dati del cluster e fornisce un report strutturato con comandi di correzione che è possibile copiare ed eseguire.
• Esegui la risoluzione dei problemi su qualsiasi cluster AKS senza configurazione aggiuntiva: DNS, perdita di pacchetti e diagnostica di rete Kubernetes funzionano automaticamente. Abilitare Advanced Container Networking Services (ACNS) per le politiche di Cilium e l'analisi del flusso Hubble.

Container Network Insight Agent non è progettato per

• Assistenza per il debug del codice dell'applicazione o lo sviluppo di software
• Risoluzione dei problemi di archiviazione, PersistentVolume o disco
• Configurazione del controllo degli accessi in base al ruolo, gestione dei segreti o controllo della sicurezza (ad eccezione dei criteri di rete)
• Pianificazione del carico di lavoro, ottimizzazione delle risorse o gestione dei costi
• Ambienti cloud diversi da Azure (AWS, GCP)
• Apportare modifiche al cluster (l'agente fornisce solo raccomandazioni; è possibile applicarle)

Come funziona

Quando si descrive un problema di rete, Container Network Insight Agent segue un flusso di lavoro di diagnostica strutturato:

You describe the issue → Agent classifies it → Collects evidence from the cluster → Analyzes findings → Reports results

Container Network Insight Agent viene eseguito come pod all'interno del cluster del tuo servizio Azure Kubernetes (AKS). È possibile interagire con esso tramite un Web browser tramite HTTPS. All'interno del cluster, l'agente esegue i comandi di diagnostica tramite il server MCP del servizio Azure Kubernetes e si connette a cinque origini dati tramite plug-in specializzati:

• Server API Kubernetes: esegue query su pod, servizi, nodi, criteri di rete e altre risorse del cluster tramite kubectl il server MCP del servizio Azure Kubernetes.
• CoreDNS: raccoglie le metriche e lo stato di integrità DNS tramite il plug-in DNS.
• Agente Cilium: ispeziona le politiche di rete Cilium e lo stato degli endpoint tramite il server MCP di AKS attraverso il plug-in di rete Kubernetes.
• Hubble: osserva i flussi di rete live e identifica il traffico eliminato tramite il server MCP di Azure Kubernetes Service (AKS) attraverso il plug-in di rete Kubernetes.
• Stack di rete del nodo: raccoglie le statistiche di rete a livello host (buffer RX/TX, stato del buffer circolare, contatori softnet) tramite il plug-in di rete di Linux.

L'agente comunica in modo bidirezionale con Servizio Azure OpenAI: invia la query in linguaggio naturale insieme alle evidenze diagnostiche raccolte per il ragionamento e riceve in cambio informazioni diagnostiche strutturate.

Il flusso di lavoro di diagnostica segue quattro passaggi:

1. Classificazione: l'agente determina la categoria di problemi (DNS, connettività, criteri di rete, routing del servizio o eliminazione di pacchetti) in base alla descrizione.
2. Raccogliere prove: l'agente esegue i comandi di diagnostica sul cluster tramite il server MCP del servizio Azure Kubernetes, usando kubectl, ciliume hubble. Ogni categoria di diagnostica usa un flusso di lavoro dedicato per raccogliere automaticamente i dati corretti.
3. Analizza: l'agente esamina le prove raccolte per separare i segnali integri dalle anomalie. L'agente basa tutte le conclusioni sull'effettiva uscita dei comandi, mai sulla speculazione.
4. Report: si riceve un report strutturato che include:

• Riepilogo del problema e del relativo stato
• Tabella delle evidenze che mostra ogni controllo, il relativo risultato e se è stato superato o meno
• Analisi di cosa funziona e cosa non funziona
• Identificazione della causa radice con citazioni di prove specifiche
• Comandi esatti per risolvere il problema e verificare la correzione

Integrazioni

Container Network Insight Agent funziona con gli strumenti di rete di AKS che già utilizzi.

Modello di sicurezza e limitazioni

Modalità di interazione dell'agente con il tuo cluster

Container Network Insight Agent raccoglie i dati di diagnostica dal cluster per generare informazioni dettagliate, report e azioni consigliate. Esegue le operazioni del cluster attraverso il server AKS MCP e usa un account del servizio Kubernetes dedicato (container-networking-agent-reader) con autorizzazioni minime limitate ai dati necessari per la diagnostica.

Container Network Insight Agent non apporta modifiche al cluster. Fornisce i comandi di correzione e le raccomandazioni, ma li rivedi e li applichi personalmente.

Restrizioni di ambito

L'agente risponde solo alle domande correlate alla rete e a Kubernetes e non risponde alle richieste fuori argomento. Il sistema include anche difese di inserimento richieste per prevenire l'uso improprio.

Limiti di sessione e conversazione

Concorrenza

Container Network Insight Agent supporta 1-7 utenti simultanei in condizioni tipiche. La diagnostica di rilascio dei pacchetti in cluster di dimensioni maggiori (più di 25 nodi) potrebbe richiedere la limitazione degli utenti simultanei per evitare il caricamento del server API. Per informazioni dettagliate, vedere Linee guida per la scalabilità.

Scenari di esempio e richieste di esempio

Risoluzione dei problemi di DNS

Gli errori di risoluzione DNS sono uno dei problemi di rete più comuni in Kubernetes. Quando i pod non riescono a risolvere i nomi dei servizi, i domini esterni o entrambi, Container Network Insight Agent esegue una diagnostica DNS completa che controlla l'integrità, la configurazione, la risoluzione DNS da più percorsi e i criteri di rete che potrebbero bloccare il traffico DNS.

Situazioni comuni:

• Log dei Pod Name or service not known o errori NXDOMAIN
• Le applicazioni vanno in timeout quando si tenta di raggiungere i servizi per nome.
• DNS funziona per alcuni pod, ma non per altri
• La risoluzione del dominio esterno ha esito negativo mentre la risoluzione interna funziona (o viceversa)

Prompt di esempio:

Cosa controlla l'agente:

La diagnostica DNS controlla l'integrità dei pod CoreDNS, gli endpoint di servizio e la configurazione CoreDNS, incluse le mappe di configurazione personalizzate. Testa anche la risoluzione DNS in più percorsi: same-namespace, cross-namespace, FQDN ed external. L'agente valuta le metriche di CoreDNS Prometheus e le regole dei criteri di rete, inclusi i criteri di uscita da Cilium aFQDN che potrebbero silenziosamente limitare la risoluzione del dominio esterno.

Esempi di cause principali che l'agente identifica:

• Pod CoreDNS non in esecuzione o non pronto
• ConfigMap personalizzato di CoreDNS con regole di riscrittura o inoltro mal configurate
• Criteri di rete che bloccano la porta UDP/TCP 53 (traffico DNS)
• Politica toFQDNs di Cilium mancante di un dominio richiesto nella lista di permessi
• NodeLocal DNS DaemonSet distribuito senza Cilium LocalRedirectPolicy
• Applicazione configurata con il nome DNS del servizio errato

Risoluzione dei problemi di eliminazione dei pacchetti RX/Packet Drop

La perdita di pacchetti è difficile da diagnosticare perché può verificarsi a più livelli: nell'hardware della scheda di interfaccia di rete (NIC), nello stack di rete del kernel o nei buffer dei socket delle applicazioni. Container Network Insight Agent distribuisce un pod di debug leggero in ogni nodo per raccogliere statistiche di rete a livello di host. Usa quindi misurazioni differenziali per identificare la posizione in cui i pacchetti vengono persi.

Situazioni comuni:

• Le applicazioni segnalano la reimpostazione o il timeout della connessione intermittente
• Strumenti come iperf mostrano la perdita di pacchetti tra nodi
• I picchi di latenza di rete vengono visualizzati in nodi specifici
• Utilizzo elevato della CPU correlato all'elaborazione di rete
• ethtool -S mostra gli incrementi dei contatori di rilascio RX

Prompt di esempio:

Cosa controlla l'agente:

L'analisi della perdita di pacchetti esamina l'utilizzo del buffer circolare della NIC (ethtool), le statistiche del softnet del kernel (/proc/net/softnet_stat), la distribuzione delle SoftIRQ per CPU e l'esaurimento del buffer del socket. Esamina anche le statistiche dell'interfaccia di rete (/proc/net/dev), i parametri configurabili del buffer del kernel (tcp_rmem, rmem_max, netdev_max_backlog), la configurazione RPS/XPS/RFS e l'analisi dell'interfaccia specifica di CNI. L'agente usa misurazioni delta (snapshot precedenti e successivi) per rilevare i drop attivi rispetto ai contatori storici.

Esempi di cause principali che l'agente identifica:

• Esaurimento del buffer circolare della scheda di rete: contatori attivi in incremento rx_dropped
• Rilascio di pacchetti kernel: valori diversi da zero nella /proc/net/softnet_stat colonna di rilascio
• Overflow del buffer del socket: la coda di ricezione socket cresce oltre i limiti del buffer
• Collo di bottiglia della CPU SoftIRQ: elevato %soft su una singola CPU con distribuzione di interrupt sbilanciata
• Tutti i controlli superati: l'agente segnala "Nessun problema rilevato" invece di indovinare

Risoluzione dei problemi di rete di Kubernetes

Quando i pod non possono comunicare con i servizi, i criteri di rete bloccano il traffico previsto o i servizi non dispongono di endpoint, l'agente Container Network Insight esamina l'intero percorso di rete. L'agente controlla lo scheduling e l'idoneità dei pod, la registrazione degli endpoint di servizio, la valutazione delle policy di rete e l'osservazione del flusso Hubble.

Situazioni comuni:

• La comunicazione da pod a pod o da pod a servizio non riesce
• I servizi non sono raggiungibili da determinati spazi dei nomi
• I criteri di rete bloccano in modo imprevisto il traffico
• Gli endpoint di servizio esistono, ma le connessioni rimangono in timeout
• Hubble mostra DROPPED il verdetto sui flussi tra i pod

Prompt di esempio:

Cosa controlla l'agente:

La diagnostica di rete Kubernetes esamina lo stato e la pianificazione dei pod, la configurazione del servizio e la registrazione degli endpoint e i criteri di rete (Sia Kubernetes NetworkPolicy che CiliumNetworkPolicy). Analizza anche i flussi Hubble, inclusi il traffico eliminato e il mapping delle porte da servizio a porta pod. Un errore di configurazione comune rilevato dall'agente è un servizio targetPort che non corrisponde al pod containerPort. Questa mancata corrispondenza causa timeout di connessione anche se gli endpoint appaiono integri.

Esempi di cause principali che l'agente identifica:

• Criteri di rete (o CiliumNetworkPolicy) che bloccano il traffico in ingresso o in uscita
• Il servizio targetPort non corrisponde a quello del pod containerPort
• Le etichette del selettore di servizio non corrispondono a nessuna etichetta pod (endpoint vuoti)
• Pod bloccato in sospeso a causa di richieste di risorse non pianificabili
• Errore della sonda di prontezza, causando l'esclusione dei pod dagli endpoint del servizio
• I pod dell'agente Cilium non sono funzionali

Problemi noti e limitazioni del prodotto

Linee guida per la scalabilità

La prima query da un nuovo utente potrebbe richiedere più tempo se tutti gli agenti nel pool pre-riscaldamento (impostazione predefinita: tre agenti) sono in uso. Le interrogazioni successive della stessa sessione utilizzano l'agente già inizializzato.

Problemi noti

Disponibilità dell'estensione

Quando viene distribuito come estensione AKS (microsoft.containernetworkingagent), Container Network Insight Agent è disponibile in: centralus, eastus, eastus2, uksouth, westus2.

Pricing

Container Network Insight Agent viene eseguito come pod nel cluster del servizio Azure Kubernetes. I costi diretti includono:

• Utilizzo di Azure OpenAI: il consumo dei token dipende dalla lunghezza della conversazione e dalla complessità diagnostica. Per le tariffe correnti, consultare Azure OpenAI prezzi.
• Calcolo del nodo AKS: il pod dell'agente Container Network Insight e, per la diagnostica dei pacchetti persi, il DaemonSet di debug consumano le risorse di calcolo del cluster.

L'agente Container Network Insight non prevede alcun costo di licenza separato durante l'anteprima pubblica.

Accedere e usare Container Network Insight Agent

Container Network Insight Agent è un chatbot basato su browser eseguito all'interno del cluster del servizio Azure Kubernetes (AKS). Dopo la distribuzione, aprire l'URL dell'applicazione in qualsiasi browser moderno per avviare una conversazione. Non è necessario uno strumento CLI sulla workstation o una dashboard del portale per navigare. Si tratta di un'interfaccia di chat autonoma progettata per la diagnostica di rete.

Registrazione

Quando si apre per la prima volta l'URL del Container Network Insight Agent, l'applicazione richiede di eseguire l'accesso. A seconda del modo in cui l'amministratore ha configurato la distribuzione, si accede con un nome utente semplice (ambienti di sviluppo) o con le credenziali di Microsoft Entra ID (ambienti di produzione).

Concedere le autorizzazioni

Dopo l'accesso, l'applicazione potrebbe richiedere di concedere le autorizzazioni. Esaminare le autorizzazioni richieste e selezionare Accetta per continuare.

Interfaccia chat

Dopo l'autenticazione, si arriva all'interfaccia della chat. Il server gestisce la sessione, in modo da poter chiudere e riaprire la scheda del browser all'interno della finestra di timeout della sessione senza perdere la conversazione.

L'interfaccia della chat è dove puoi:

• Fai domande in linguaggio naturale: digita istruzioni come "Perché non è possibile risolvere il DNS?" o "Controllare le perdite di pacchetti sul nodo aks-nodepool1-vmss000000". Non è necessaria alcuna sintassi speciale.
• Ricevere report di diagnostica strutturati: le risposte includono tabelle di evidenza, analisi della causa radice e comandi di correzione che è possibile copiare ed eseguire.
• Avvia nuove conversazioni: ogni conversazione mantiene il proprio contesto. Cambiare argomento avviando una nuova conversazione.
• Invia feedback: dopo ogni risposta diagnostica, usare i controlli di feedback predefiniti (thumbs-up e thumbs-down) per valutare la qualità della diagnosi. Il feedback consente di migliorare l'accuratezza diagnostica futura.

Segnalazione problemi

Se incontri un problema con l'Agente di monitoraggio della rete del contenitore:

1. Prendere nota dell'ID sessione e del timestamp del problema (visibile nell'interfaccia della chat)
2. Controllare gli endpoint di integrità: /health, /ready, /live
3. Esaminare i log dei pod: kubectl logs -l app=container-networking-agent -n kube-system
4. Inviare un problema tramite il canale supporto tecnico di Azure standard

Passaggi successivi

• Guida introduttiva: Distribuire l'agente di Container Network Insight
• Risolvere i problemi di Container Network Insight Agent su AKS
• Panoramica di Advanced Container Networking Services
• Azure CNI con tecnologia Cilium