O que é o Agente Container Network Insights para AKS? (Pré-visualização Pública)

O Container Network Insights Agent é um assistente de diagnóstico alimentado por IA que o ajuda a identificar e resolver problemas de rede nos seus clusters do Azure Kubernetes Service (AKS). Descreva um problema em linguagem natural, como falhas de DNS, falhas de pacotes, serviços inacessíveis ou tráfego bloqueado. O agente recolhe provas do seu cluster e devolve um relatório estruturado com análise da causa raiz e orientações para remediação.

Ao contrário das ferramentas que operam apenas na camada Kubernetes, o Container Network Insights Agent também pode recolher estatísticas de rede ao nível do host através do seu plugin Linux Networking. O agente pode inspecionar os buffers de anel das NIC, os contadores de pacotes do kernel, a distribuição do SoftIRQ e a utilização dos buffers de socket em todos os nós do cluster. Isto revela problemas de baixo nível, como quedas de pacotes, gargalos de rede e saturação a nível de hardware, que de outra forma seriam difíceis de diagnosticar num ambiente Kubernetes.

O agente corre como uma aplicação web dentro do cluster, implementada como uma extensão de cluster AKS. Acedes a ela através do teu navegador. Fornece insights, análises e ações recomendadas. Revê as conclusões e aplica as alterações sugeridas por si próprio.

O que pode fazer com o Agente de Insights da Rede de Containers?

O Container Network Insights Agent ajuda-o a resolver as categorias mais comuns e mais demoradas de problemas de rede AKS:

Cada diagnóstico produz um relatório estruturado que inclui o que foi verificado, o que é saudável, o que falhou, a causa raiz identificada e os comandos exatos para corrigir e verificar o problema.

Quando usar o Agente Container Network Insights

Use o Agente Container Network Insights quando precisar

• Descreva o problema em inglês simples: Não é necessário construir comandos CLI ou saber qual a ferramenta que gere cada camada de rede. O agente determina automaticamente os passos de diagnóstico corretos.
• Rastreie questões entre Kubernetes e a rede do host numa só conversa: Passe das políticas de rede e do agendamento de pods para buffers circulares de NIC e contadores de kernel sem mudar de ferramenta ou aceder aos nós via SSH.
• Detetar problemas ativos, não apenas contadores obsoletos: medições baseadas em Delta distinguem problemas que ocorrem atualmente do ruído histórico.
• Obtenha análise automatizada de causa raiz com correções prontas a usar: O agente correlaciona evidências de múltiplas fontes de dados do cluster e entrega um relatório estruturado com comandos de remediação que pode copiar e executar.
• Resolver problemas em qualquer cluster AKS sem configuração adicional: DNS, entrega de pacotes e diagnósticos de rede Kubernetes funcionam logo de início. Permitir Serviços Avançados de Rede de Contentores (ACNS) para políticas de Cilium e análise de fluxos no Hubble.

O Container Network Insights Agent não foi concebido para

• Depuração de código de aplicação ou assistência ao desenvolvimento de software
• Armazenamento, PersistentVolume ou resolução de problemas em disco
• Configuração do RBAC, gestão de segredos ou auditoria de segurança (exceto políticas de rede)
• Agendamento de carga de trabalho, otimização de recursos ou gestão de custos
• Ambientes cloud não-Azure (AWS, GCP)
• Fazer alterações ao seu cluster (o agente fornece apenas recomendações; você aplica-as)

Como funciona

Quando descreve um problema de rede, o Container Network Insights Agent segue um fluxo de trabalho de diagnóstico estruturado:

You describe the issue → Agent classifies it → Collects evidence from the cluster → Analyzes findings → Reports results

Diagrama de arquitetura

O Container Network Insights Agent corre como um pod dentro do seu cluster AKS. Interages com ele através de um navegador web via HTTPS. Dentro do cluster, o agente executa comandos de diagnóstico através do servidor AKS MCP e liga-se a cinco fontes de dados através de plugins especializados:

• Servidor API Kubernetes: Consulta pods, serviços, nós, políticas de rede e outros recursos de cluster através kubectl do servidor AKS MCP.
• CoreDNS: Recolhe o estado de saúde e métricas do DNS através do plugin DNS.
• Agente Cilium: Inspeciona as políticas de rede Cilium e o estado do endpoint através do servidor AKS MCP através do plugin Kubernetes Networking.
• Hubble: Observa fluxos de rede em tempo real e identifica tráfego perdido através do servidor AKS MCP através do plugin Kubernetes Networking.
• Node Network Stack: Recolhe estatísticas de rede ao nível do host (buffers RX/TX, estado do buffer em anel, contadores softnet) através do plugin Linux Networking.

O agente comunica bidirecionalmente com o Azure OpenAI Service: envia a sua consulta em linguagem natural e evidências diagnósticas recolhidas para raciocínio, recebendo em troca insights diagnósticos estruturados.

O fluxo de trabalho de diagnóstico segue quatro passos:

1. Classificar: O agente determina a categoria de problema (DNS, conectividade, política de rede, roteamento de serviços ou falhas de pacotes) com base na sua descrição.
2. Recolha de provas: O agente executa comandos de diagnóstico contra o seu cluster através do servidor AKS MCP, usando kubectl, cilium, e hubble. Cada categoria de diagnóstico utiliza um fluxo de trabalho dedicado de recolha de provas para recolher automaticamente os dados corretos.
3. Analisar: O agente examina as evidências recolhidas para distinguir sinais saudáveis de anomalias. O agente baseia todas as conclusões na saída real do comando, nunca em especulação.
4. Relatório: Recebe um relatório estruturado que inclui:

• Um resumo da questão e do seu estado
• Uma tabela de evidências que mostra cada verificação, o seu resultado e se foi aprovado ou falhado
• Análise do que está a funcionar e do que está avariado
• Identificação da causa raiz com citações específicas de evidências
• Comandos exatos para corrigir o problema e verificar a solução

Integrações

O Container Network Insights Agent funciona com as ferramentas de rede AKS que já utiliza:

Modelo de segurança e limitações

Como o agente interage com o seu cluster

O Container Network Insights Agent recolhe dados de diagnóstico do seu cluster para gerar insights, relatórios e ações recomendadas. Executa operações de cluster através do servidor AKS MCP e utiliza uma conta de serviço Kubernetes dedicada (container-networking-agent-reader) com permissões mínimas atribuídas aos dados necessários para diagnósticos.

O Container Network Insights Agent não faz alterações ao seu cluster. Fornece comandos e recomendações de remediação, mas tu próprio as revês e aplicas.

Restrições de âmbito

O agente responde apenas a perguntas relacionadas com redes e Kubernetes e não responde a pedidos fora do tema. O sistema inclui também defesas de injeção rápida para evitar uso indevido.

Limites de sessões e conversas

Concorrência

O Container Network Insights Agent suporta de 1 a 7 utilizadores concorrentes em condições típicas. O diagnóstico de perda de pacotes nos clusters maiores (25+ nós) poderá ser necessário limitar os utilizadores concorrentes para evitar a carga do servidor API. Para mais detalhes, consulte Orientação de escala.

Exemplos de cenários e prompts de exemplo

Resolução de problemas do DNS

Falhas de resolução DNS são um dos problemas de rede mais comuns no Kubernetes. Quando os pods não conseguem resolver nomes de serviços, domínios externos ou ambos, o Container Network Insights Agent executa um diagnóstico DNS abrangente que verifica a saúde do CoreDNS, a configuração, a resolução DNS a partir de múltiplos caminhos e as políticas de rede que possam bloquear o tráfego DNS.

Situações comuns:

• Registo Name or service not known ou NXDOMAIN erros dos pods
• As aplicações esgotam o tempo ao tentar alcançar serviços pelo nome
• O DNS funciona para alguns pods, mas não para outros
• A resolução do domínio externo falha enquanto a resolução interna funciona (ou vice-versa)

Exemplos de prompts:

O que o agente verifica:

O diagnóstico DNS verifica o estado dos pods CoreDNS, os endpoints de serviço e a configuração CoreDNS, incluindo ConfigMaps personalizados. Também testa a resolução DNS em múltiplos caminhos: mesmo espaço de nomes, espaço de nomes cruzados, FQDN e externo. O agente avalia as métricas do CoreDNS obtidas via Prometheus e as regras de políticas de rede, incluindo as políticas de saída Cilium toFQDN, que podem restringir de forma silenciosa a resolução de domínios externos.

Exemplos de causas raiz que o agente identifica:

• Pods CoreDNS não estão a correr ou prontos
• CoreDNS ConfigMap personalizado com regras de reescrita ou encaminhamento mal configuradas
• Política de rede que bloqueia a porta UDP/TCP 53 (tráfego DNS)
• Política Cilium toFQDNs que não tem um domínio obrigatório na sua lista de permissões
• NodeLocal DNS DaemonSet implementado sem uma Cilium LocalRedirectPolicy
• Aplicação configurada com o nome DNS de serviço errado

Resolução de problemas RX / Entrega de pacotes

As quedas de pacotes são difíceis de diagnosticar porque podem ocorrer em múltiplas camadas: hardware da placa de interface de rede (NIC), a pilha de rede do sistema operativo (kernel) ou buffers de sockets de aplicação. O Container Network Insights Agent implementa um pod de depuração leve em cada nó para recolher estatísticas de rede ao nível do host. Depois, utiliza medições delta para identificar onde os pacotes são perdidos.

Situações comuns:

• As aplicações indicam resets intermitentes de ligação ou tempos limite
• Ferramentas como iperf mostram perda de pacotes entre nós
• Picos de latência de rede aparecem em nós específicos
• Elevada utilização da CPU correlacionada com o processamento de rede
• ethtool -S mostra contadores de drop RX a incrementar

Exemplos de prompts:

O que o agente verifica:

O diagnóstico de perda de pacotes examina a utilização do buffer de anel da NIC (ethtool), as estatísticas do kernel softnet (/proc/net/softnet_stat), a distribuição de SoftIRQ por CPU e a saturação do buffer de socket. Também revê estatísticas de interface de rede (/proc/net/dev), ajustáveis do buffer do kernel (tcp_rmem, rmem_max, netdev_max_backlog), configuração RPS/XPS/RFS e análise de interfaces específicas ao CNI. O agente utiliza medições delta (instantâneos antes e depois) para detetar descidas ativas versus contadores históricos.

Exemplos de causas raiz que o agente identifica:

• Esgotamento do buffer do anel NIC: contadores ativos rx_dropped a aumentar
• Descartes de pacotes do kernel: valores não-zero na coluna de descartes
• Desbordamento de buffer de socket: fila de receção de socket a crescer além dos limites do buffer
• Gargalo de CPU SoftIRQ: elevado %soft numa única CPU com distribuição de interrupções desequilibrada
• Todas as verificações foram concluídas com sucesso: o agente reporta "Nenhum problema detetado" em vez de adivinhar.

Resolução de problemas de rede Kubernetes

Quando os pods não conseguem comunicar com os serviços, as políticas de rede bloqueiam o tráfego esperado ou os serviços não têm endpoints, o Agente Container Network Insights investiga todo o caminho de rede. O agente verifica o agendamento e prontidão dos pods, o registo de endpoints de serviço, a avaliação da política de rede e a observação do fluxo do Hubble.

Situações comuns:

• Falhas na comunicação pod-a-pod ou pod-a-serviço
• Os serviços são inacessíveis a partir de certos namespaces
• As políticas de rede bloqueiam inesperadamente o tráfego
• Existem endpoints de serviço, mas os ligações continuam a falhar.
• O Hubble revela DROPPED o veredito sobre os fluxos entre cápsulas

Exemplos de prompts:

O que o agente verifica:

O diagnóstico de rede Kubernetes examina o estado e o agendamento do pod, configuração do serviço e registo de endpoints, bem como políticas de rede (tanto Kubernetes NetworkPolicy como CiliumNetworkPolicy). Também analisa fluxos do Hubble, incluindo o tráfego descartado, e o mapeamento de portas de serviço para um pod. Uma configuração errada comum que o agente deteta é um serviço targetPort que não corresponde ao pod containerPort. Esta incompatibilidade causa timeouts de ligação, mesmo que os endpoints pareçam estar saudáveis.

Exemplos de causas raiz que o agente identifica:

• Política de rede (ou CiliumNetworkPolicy) que bloqueia o tráfego de entrada ou saída
• O serviço targetPort não corresponde ao pod containerPort
• As etiquetas do seletor de serviços não correspondem a nenhuma etiqueta de pod (pontos finais vazios)
• Pod preso em Pendente devido a pedidos de recursos não agendados
• Falha na sonda de prontidão, que faz com que os pods sejam excluídos dos endpoints do serviço
• Pods de agente Cilium não estão saudáveis

Problemas conhecidos e limitações do produto

Orientação de escala

A primeira consulta de um novo utilizador pode demorar mais tempo se todos os agentes do pool pré-aquecido (padrão: três agentes) estiverem em uso. As consultas subsequentes da mesma sessão utilizam o agente já inicializado.

Problemas conhecidos

Disponibilidade de extensão

Quando implementado como uma extensão AKS (microsoft.containernetworkingagent), o Container Network Insights Agent está disponível em: centralus, eastus, eastus2, uksouth, westus2.

Preços

O Container Network Insights Agent corre como um pod no seu cluster AKS. Os custos diretos incluem:

• Azure Utilização do OpenAI: O consumo de tokens depende da duração da conversa e da complexidade do diagnóstico. Consulte os preços do Azure OpenAI para as taxas atuais.
• Computação de nós AKS: O pod do Agente Container Network Insights e (para diagnóstico de queda de pacotes) o DaemonSet de depuração consomem recursos de computação do cluster.

O próprio Container Network Insights Agent não tem taxa de licenciamento separada durante a pré-visualização pública.

Aceder e utilizar o Agente Container Network Insights

O Container Network Insights Agent é um chatbot baseado em browser que funciona dentro do seu cluster AKS. Após a implementação, abra a URL da aplicação em qualquer navegador moderno para iniciar uma conversa. Não precisas de uma ferramenta de CLI na tua estação de trabalho nem de uma lâmina de portal para navegar. É uma interface de chat autónoma concebida para diagnósticos de rede.

Inscrever-se

Quando abre pela primeira vez a URL do Agente Container Network Insights, a aplicação pede-lhe para iniciar sessão. Dependendo de como o seu administrador configurou a implementação, inicia sessão com um nome de utilizador simples (ambientes de desenvolvimento) ou com as credenciais do Microsoft Entra ID (ambientes de produção).

Conceder permissões

Após iniciar sessão, a aplicação pode pedir que conceda permissões. Revise as permissões solicitadas e selecione Aceitar para continuar.

Interface de chat

Depois de autenticar, entra na interface de chat. O servidor mantém a sua sessão, por isso pode fechar e reabrir o separador do navegador dentro da janela de timeout da sessão sem perder a conversa.

A interface de chat é onde deves:

• Faça perguntas em linguagem natural: Escreva solicitações como "Porque é que o meu pod não consegue resolver o DNS?" ou "Verifique perdas de pacotes no nó aks-nodepool1-vmss000000". Não é necessária uma sintaxe especial.
• Receba relatórios de diagnóstico estruturados: As respostas incluem tabelas de evidências, análise de causa raiz e comandos de remediação que pode copiar e executar.
• Inicie novas conversas: Cada conversa mantém o seu próprio contexto. Muda de tema iniciando uma nova conversa.
• Submeta feedback: Após cada resposta diagnóstica, utilize os controlos de feedback incorporados (polegar para cima e polegar para baixo) para avaliar a qualidade do diagnóstico. O seu feedback ajuda a melhorar a precisão do diagnóstico futuro.

Comunicar problemas

Se encontrar um problema com o Agente Container Network Insights:

1. Note o ID da sessão e o carimbo de data/hora do problema (visível na interface de chat)
2. Verifique os endpoints de saúde: /health, /ready, /live
3. Revisão dos registos de pods: kubectl logs -l app=container-networking-agent -n kube-system
4. Apresente uma questão através do seu canal padrão de suporte do Azure

Passos seguintes

• Início Rápido: Implementar o Agente de Insights da Rede de Contentores
• Solução de Problemas do Agente Container Network Insights no AKS
• Visão geral dos Serviços Avançados de Rede de Contentores
• Azure CNI alimentado por Cilium