¿Por qué no se puede acceder al ingreso fuera del clúster?

Proceso de solución de problemas

Esta sección proporciona una descripción general de la solución de problemas de las excepciones de acceso externo de ingreso, como se muestra en Figura 1.

Figura 1 Descripción de la solución de problemas de las excepciones de acceso externo de ingreso

1. Compruebe si la excepción es causada por el ingreso.

   Compruebe si el problema es causado por la entrada. Asegúrese de que la resolución del nombre de dominio externo sea normal, que las reglas del grupo de seguridad sean correctas y que el servicio y la carga de trabajo correspondientes a la entrada funcionen correctamente.

2. Comprobación del estado de ingreso.

   Cuando el servicio y la carga de trabajo son normales, asegúrese de que el balanceador de carga del que depende la entrada es normal. Si la entrada es del tipo Nginx, asegúrese de que el complemento nginx-ingress es normal.

3. Compruebe si el ingreso está configurado correctamente.
   Si los resultados de la comprobación anterior son normales, la configuración de ingreso puede ser incorrecta.

   • Compruebe si los parámetros de interconexión con el balanceador de carga son correctos.
   • Compruebe si la configuración del servicio es correcta.
   • Compruebe si la configuración de reenvío es correcta.
4. Comprobación del certificado.

   Si el acceso HTTPS está habilitado en el ingreso, también debe comprobar si el error está causado por una configuración incorrecta del certificado. Puede utilizar el mismo balanceador de carga para crear una entrada HTTP. Si el acceso es normal, el certificado HTTPS puede ser defectuoso.

5. Si el error persiste, capture los paquetes para su análisis o envíe un ticket de servicio para obtener ayuda.

Compruebe si la excepción es causada por el ingreso

Compruebe si la excepción de acceso es causada por el ingreso. Si se produce la excepción de resolución de nombre de dominio, error de regla de grupo de seguridad, excepción de servicio o excepción de carga de trabajo, el acceso de entrada puede fallar.

La siguiente secuencia de comprobación cumple con las reglas de exterior a interior:

1. Compruebe si la resolución del nombre de dominio o las reglas de grupo de seguridad son normales.
   1. Ejecute el siguiente comando para comprobar si los conjuntos de registros del nombre de dominio tienen efecto en el servidor de DNS autoritativo:

      nslookup -qt= Type Domain name Authoritative DNS address

   2. Verifique las reglas de grupo de seguridad de los nodos de clúster y asegúrese de que los puertos de servicio en el rango 30000–32767 son accesibles para todos los segmentos de red para el tráfico entrante. Para obtener más información acerca de cómo reforzar el grupo de seguridad, consulte Configuración de reglas de grupo de seguridad de clúster.

      

2. Compruebe si el Service puede acceder a los servicios del contenedor.
   Puede crear un pod en el clúster y utilizar la dirección IP del clúster para acceder al servicio. Si el tipo Service es NodePort, también puede usar EIP:Port para acceder al servicio a través de Internet.

   1. Utilice kubectl para conectarse al clúster y consultar el servicio en el clúster.

      # kubectl get svc
      NAME         TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)        AGE
      kubernetes   ClusterIP   10.247.0.1       <none>        443/TCP        34m
      nginx        ClusterIP   10.247.138.227   <none>        80/TCP         30m

   2. Cree un pod e inicie sesión en el contenedor.

      kubectl run -i --tty --image nginx:alpine test --rm /bin/sh

   3. Ejecute el comando curl para acceder al ClusterIP address:Port del Service para comprobar si el Service del clúster es accesible.

      curl 10.247.138.227:80

      Si se puede acceder al Service, el estado de la carga de trabajo de backend es normal. Se puede determinar preliminarmente que la excepción es causada por la entrada. Para obtener más información, véase Comprobación del estado de ingreso.

      Si el acceso al Service es anormal, compruebe el estado de la carga de trabajo para determinar la causa.

3. Compruebe si el estado de la carga de trabajo es normal.

   Si la carga de trabajo es normal pero no se puede acceder al Service, la excepción puede ser causada por el Service. Compruebe la configuración del Service. Por ejemplo, compruebe si el puerto de contenedor está configurado correctamente en un puerto de servicio abierto del contenedor.

   Si la carga de trabajo es normal pero el resultado de acceso no es el esperado, compruebe el código de servicio que se ejecuta en el contenedor.

Comprobación del estado de ingreso

CCE admite dos tipos de entradas. El Ngnix Ingress Controller es proporcionado por la comunidad de código abierto y necesita ser mantenido mediante la instalación del complemento en el clúster. El controlador de ingreso ELB se ejecuta en el nodo principal y es mantenido por un equipo dedicado de Huawei Cloud.

1. Si utiliza una entrada de Nginx, debe instalar el complemento nginx-ingress en el clúster. Si utiliza una entrada de ELB, omita este paso.

   Vaya a Add-ons > Add-ons Installed y compruebe si el complemento nginx-ingress se está ejecutando. Asegúrese de que los recursos de nodo sean suficientes en el clúster. Si no es así, la instancia del complemento no se puede programar.

2. Vaya a la consola de ELB para comprobar el estado del ELB.
   • Entrada de ELB

     El puerto de acceso se puede personalizar. Compruebe si el oyente y el grupo de servidores backend creados en el ELB no se eliminan o modifican.

     Al crear una entrada de ELB, puede elegir Auto Create en la consola para crear automáticamente un balanceador de carga. No modifique el balanceador de carga. De lo contrario, pueden producirse excepciones de ingreso.

   • Entrada de Nginx

     Los puertos de acceso están fijados a 80 y 443. No se admiten los puertos personalizados. La instalación del complemento nginx-ingress ocupa ambos puertos 80 y 443. No los elimine. De lo contrario, debe volver a instalar el complemento.

   También puede determinar si la falla es causada por el balanceador de carga basado en el código de error. Si se muestra el siguiente código de error, hay una alta probabilidad de que la falla es causada por el balanceador de carga. En este caso, debe prestar especial atención al balanceador de carga.

   

Compruebe si el ingreso está configurado correctamente

Si los elementos de comprobación anteriores son normales, compruebe si la excepción se debe a la configuración de los parámetros. Cuando se usa kubectl para crear una entrada, es necesario establecer un gran número de parámetros, lo que es propenso a errores. Se recomienda utilizar la consola para crear entradas y establecer parámetros según sea necesario para filtrar automáticamente balanceadores de carga y Service que no cumplan con los requisitos. Esto evita eficazmente los formatos incorrectos o la falta de parámetros clave.

Comprobación del certificado

El tipo de certificado secreto de ingreso de CCE es IngressTLS. Si el tipo de certificado es incorrecto, el ingreso no puede crear un oyente en el balanceador de carga. Como resultado, el acceso de entrada se vuelve anormal.

1. Quite los parámetros HTTPS de YAML y cree un ingreso de HTTP para comprobar si se puede acceder al ingreso.

   Si el acceso HTTP es normal, compruebe si el certificado secreto HTTPS es correcto.

2. Compruebe si el tipo secreto es correcto. Comprueba si el tipo secreto es IngressTLS.

   # kubectl get secret
   NAME                  TYPE                                  DATA   AGE
   ingress               IngressTLS                            2      36m

3. Cree certificados de prueba para corregir el error del certificado.

   # openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout tls.key -out tls.crt -subj "/CN={YOUR_HOST}/O={YOUR_HOST}"

4. Utilice los certificados de prueba tls.key y tls.crt para crear un secreto del tipo IngressTLS y comprobar si se puede acceder al secreto normalmente.

   El siguiente es un archivo YAML de ejemplo cuando se crea un secreto usando kubectl:

   kind: Secret
   apiVersion: v1
   type: IngressTLS
   metadata:
     name: ingress
     namespace: default
   data:
     tls.crt: LS0tLS1CRU*****FURS0tLS0t
     tls.key: LS0tLS1CRU*****VZLS0tLS0=

   

   En la información anterior, las tls.crt y tls.key solo son ejemplos. Reemplácelos con los archivos reales. Los valores de tls.crt y tls.key son el contenido cifrado usando Base64.