[K8s 내부 경로 EP3] ClusterIP는 어디에도 없다: kube-proxy, EndpointSlice, DNAT와 5초 DNS 지연

ClusterIP에는 응답하는 장치가 없습니다. 각 노드의 kube-proxy가 Service와 EndpointSlice를 watch해 iptables 규칙을 쓰고, 패킷은 커널에서 DNAT로 Pod IP를 향하게 바뀝니다. KUBE-SERVICES, KUBE-SVC, KUBE-SEP 체인과 확률 분배의 계산, EndpointSlice가 Endpoints를 대체한 이유, 그리고 2018년 conntrack 경쟁 조건으로 생긴 5초 DNS 지연 사례와 이후 커널 수정까지 따라갑니다.

참고 자료

• Kubernetes Documentation: Virtual IPs and Service Proxies (last modified 2026-08-06)
• Kubernetes Documentation: EndpointSlices (last modified 2025-06-22)
• sweetlittlebird (personal study blog): [KANS 3기] K8S Service: ClusterIP, NodePort (2024-09-27)
• Martynas Pumputis, Weave Works blog: Racy conntrack and DNS lookup timeouts (2018-08-16, archive.org copy)
• kubernetes/kubernetes issue #56903: DNS intermittent delays of 5s
• Kubernetes Documentation: Debug Services
• Kubernetes Blog, Rob Scott: Scaling Kubernetes Networking With EndpointSlices (2020-09-02)
• Kubernetes Documentation: Using NodeLocal DNSCache in Kubernetes Clusters
• Linux kernel commit ed07d9a021df: netfilter: nf_conntrack: resolve clash for matching conntracks (Martynas Pumputis, first in v4.19)
• Linux kernel commit 4e35c1cb9460: netfilter: nf_nat: skip nat clash resolution for same-origin entries (Martynas Pumputis, first in v5.0)
• Linux kernel commit 6a757c07e51f: netfilter: conntrack: allow insertion of clashing entries (Florian Westphal, first in v5.6)
• Kubernetes Documentation: Service (last modified 2026-07-07)

이 에피소드의 음성은 TTS로 합성되었습니다.