クイズ: 可観測性・アンビエント・アップグレード

앰비언트 모드에서 ztunnel 이 담당하지 않는 것은?

• 워크로드 간 mTLS 암호화와 복호화
• HTTP 헤더 기반 라우팅과 재시도
• SPIFFE 신원 기반의 L4 인가
• TCP 수준 텔레메트리

HBONE 터널의 구성으로 옳은 것은?

• 포트 15001 에서 UDP 기반 경량 터널을 만든다
• 포트 15006 에서 IPsec 으로 노드 간 트래픽을 암호화한다
• 포트 15021 에서 gRPC 스트림으로 설정을 전달한다
• 포트 15008 에서 mTLS 위에 HTTP/2 CONNECT 로 원본 TCP 스트림을 캡슐화한다

사이드카에서 앰비언트로 옮길 때 재설계가 필요할 가능성이 가장 큰 설정은?

• 네임스페이스 단위 STRICT mTLS
• 호출자마다 다른 타임아웃과 재시도 같은 클라이언트 측 L7 정책
• PeerAuthentication 의 portLevelMtls 예외
• 서비스 포트 이름 규칙

앰비언트 도입 시 운영 설계에 반드시 반영해야 할 사이드카 대비 단점은?

• 인증서를 갱신할 때마다 파드 재시작이 필요해진다
• 메시 편입에 파드 재시작이 필요해진다
• mTLS 를 켤 수 없다
• ztunnel 장애가 그 노드의 모든 메시 트래픽에 영향을 준다 (노드 단위 장애 도메인)

특정 서비스로의 요청이 503 입니다. istioctl proxy-config 를 어떤 순서로 읽는 것이 효율적인가요?

• endpoint → cluster → route → listener
• listener → route → cluster → endpoint
• cluster → listener → endpoint → route
• 순서는 무관하며 전체 덤프를 한 번에 보는 편이 낫다

액세스 로그에 503 과 응답 플래그 UH 가 함께 보입니다. 가장 먼저 확인할 것은?

• DestinationRule 의 subset 라벨과 실제 파드 라벨이 일치하는지
• connectionPool 의 http1MaxPendingRequests 값
• VirtualService 에 catch-all 규칙이 있는지
• PeerAuthentication 이 양쪽 모두 STRICT 인지

메시를 깔았는데 분산 트레이스가 서비스마다 끊겨서 나옵니다. 메시가 대신 해 줄 수 없는 부분은?

• 애플리케이션이 인바운드 요청의 트레이스 헤더를 아웃바운드 요청으로 전파하는 일
• 각 홉에서 스팬을 만들어 내는 일
• 만든 트레이스를 수집 백엔드로 전송하는 일
• 샘플링 비율을 결정하는 일