使用操作系统Alibaba Cloud Linux 2

• 场景一：大规格机器（CPU数大于64）且有大量IPVS虚拟IP的场景。

  解决问题：IPVS的统计定时器（estimation timer）会定期计算各个连接当前的速率，在连接数多的情况下，该操作会长时间占用CPU，导致网络收包不及时，引起Ping命令高达200 ms的波动。

  优化方案：将IPVS的统计定时器放到kworker中执行；同时添加sysctl命令关掉IPVS的统计。

  效果：不再有由于统计定时器引起的波动。

• 场景二：容器滚动升级的场景。

  解决问题：在容器发生了滚动升级的时候，如果五元组没有发生变化，新的TCP SYN包命中了旧的IPVS五元组连接记录，并且需要被调度到新的目的地址的时候，IPVS默认会丢掉SYN包，导致SYN包重传，从而引发1秒的延时问题。

  优化方案：在新conntrack项已经存在的情况下，通过释放conntrack中的TIME_WAIT状态的连接，将其调度并替换为新连接。

  效果：可以几乎没有时延的切换到新的真实节点（real server）。

场景一：容器内大量DNS查询导致conntrack表满的场景。

解决问题：容器内的应用查询固定的地址（addr）或端口（port）的DNS会让相应conntrack entry变成stream mode状态。由于DNS请求的类型是UDP无状态、问答式、时间短，因此导致conntrack entry维护了很多无用的UDP conntrack entries，不能及时清理，进而可能导致conntrack表膨胀引起NAT的性能下降。

效果：相同测试场景下UDP的conntrack表项下降到原来的一半。

在Alibaba Cloud Linux 2的节点上，容器服务Terway网络插件支持IPVlan的容器网络模式，在小包的场景下相对传统bridge和策略路由网络性能提升40%。Alibaba Cloud Linux 2默认编译了BBR的拥塞控制算法，在公网访问较多的场景中允许您修改容器的拥塞控制算法为BBR，提升公网访问的带宽稳定性，在容器的公网连接和跨公网的镜像拉取上性能大幅提升。

阿里云与Kata Containers和Clear Linux社区合作。在弹性裸金属实例上，您可以无缝地部署整套Kata Containers的解决方案。ACK还优化了安全沙箱（RunV）镜像的启动时间，使得Kata Containers的整体解决方案可以正常运行。ACK在此之上，提供了和普通集群体验几乎一致的安全沙箱容器集群，让应用运行在一个轻量虚拟机沙箱环境中，适合于多用户间的负载隔离，对不可信应用的隔离，在提升安全性的同时，对性能影响也做到非常小。

Alibaba Cloud Linux 2针对ECS实例环境优化启动速度，节点的启动时间相对Centos 7的系统降低60%，结合容器服务ACK灵活高效的自动弹性伸缩，在应用压力来临时，容器服务ACK集群会自动根据负载状况创建和启动ECS的节点加入集群，并调度和启动应用实例，Alibaba Cloud Linux 2的快速的扩容启动的能力让计算资源可以急事满足流量峰值的需求。

Alibaba Cloud Linux 2的内核提供了针对容器场景的PSI压力模型、per-cgroup kswapd、memory priority等的细粒度可视化和控制能力。在Alibaba Cloud Linux 2的ACK集群中我们可以通过CGroup Controller来利用这些能力，可以实现细粒度BufferIO Control、TCP、CPUSet、Mem、NUMA等细粒度资源的配置和动态更新，在逐步提升资源利用率的同时也能保障应用间的互相干扰降到最低。

由于当前多容器共宿主机的形态，导致容器中直观看到的资源都是宿主机资源，对很多应用非常不友好。Alibaba Cloud Linux 2对内核的cgroup资源展示进行了优化，可以在容器内部正确显示容器所占用的资源，例如top命令、cpuinfo和meminfo接口的显示信息，大大方便了您的观测需求。

• 使用Linux 4.19的内核，ACK将阿里巴巴内核和容器化实践融入其中。
• 降低Overlayfs的性能损耗，减少容器化对存储性能的损失。
• 大量sysctl namespace化，在4.19的内核中大部分sysctl配置都支持在容器中单独设置，比如TCP的超时和重传时间，不同应用有不同的超时和重传的需求，但是在CentOS 7的内核中是修改不了的，在Alibaba Cloud Linux 2中支持对其做Pod级别的配置。