Por que ingress não pode ser acessado fora do cluster?

Processo de solução de problemas

Esta seção fornece uma visão geral da solução de problemas de exceções de acesso externo de ingress, conforme mostrado na Figura 1.

Figura 1 Visão geral da solução de problemas de exceções de acesso externo de ingress

1. Verificar se a exceção é causada pelo ingress.

   Verifique se o problema é causado pela entrada. Certifique-se de que a resolução de nome de domínio externo esteja normal, as regras do grupo de segurança estejam corretas e que o serviço e a carga de trabalho correspondentes ao ingresso estejam funcionando corretamente.

2. Verificar o status de ingress.

   Quando o serviço e a carga de trabalho estiverem normais, certifique-se de que o balanceador de carga do qual o ingress depende esteja normal. Se o ingress for do tipo Nginx, certifique-se de que o complemento nginx-ingress esteja normal.

3. Verificar se o ingress está configurado corretamente.
   Se os resultados da verificação anterior forem normais, a configuração do ingress pode estar incorreta.

   • Verifique se os parâmetros para interconexão com o balanceador de carga estão corretos.
   • Verifique se a configuração do Serviço está correta.
   • Verifique se a configuração de encaminhamento está correta.
4. Verificar certificado.

   Se o acesso HTTPS é permitido no ingress, você igualmente precisa de verificar se a falha é causada pela configuração incorreta do certificado. Você pode usar o mesmo balanceador de carga para criar um ingress HTTP. Se o acesso for normal, o certificado HTTPS pode estar com defeito.

5. Se a falha persistir, capture pacotes para análise ou envie um tíquete de serviço para obter ajuda.

Verificar se a exceção é causada pelo ingress

Verifique se a exceção de acesso é causada pelo ingress. Se ocorrer a exceção de resolução de nome de domínio, erro de regra de grupo de segurança, exceção de serviço ou exceção de carga de trabalho, o acesso de ingress poderá falhar.

A seguinte sequência de verificação está em conformidade com as regras de fora para dentro:

1. Verifique se as regras de resolução de nome de domínio ou grupo de segurança são normais.
   1. Execute o seguinte comando para verificar se os conjuntos de registos do nome de domínio têm efeito no servidor do DNS autoritativo:

      nslookup -qt= Type Domain name Authoritative DNS address

   2. Verifique as regras do grupo de segurança dos nós do cluster e certifique-se de que as portas de serviço no intervalo 30000–32767 estejam acessíveis a todos os segmentos de rede para tráfego de entrada. Para obter detalhes sobre como fortalecer o grupo de segurança, consulte Configuração de regras do grupo de segurança do cluster.

      

2. Verifique se o Serviço pode acessar serviços no contêiner.
   Você pode criar um pod no cluster e usar o endereço IP do cluster para acessar o Serviço. Se o tipo de Serviço for NodePort, também pode utilizar EIP:Port para aceder ao serviço através da Internet.

   1. Use kubectl para se conectar ao cluster e consultar o Serviço no cluster.

      # kubectl get svc
      NAME         TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)        AGE
      kubernetes   ClusterIP   10.247.0.1       <none>        443/TCP        34m
      nginx        ClusterIP   10.247.138.227   <none>        80/TCP         30m

   2. Crie um pod e faça logon no contêiner.

      kubectl run -i --tty --image nginx:alpine test --rm /bin/sh

   3. Execute o comando curl para acessar ClusterIP address:Port do Serviço para verificar se o Serviço no cluster está acessível.

      curl 10.247.138.227:80

      Se o Serviço pode ser acessado, o status da carga de trabalho de back-end é normal. Pode-se determinar preliminarmente que a exceção é causada pelo ingress. Para mais detalhes, consulte Verificar o status de ingress.

      Se o acesso ao Serviço for anormal, verifique o status da carga de trabalho para determinar a causa.

3. Verifique se o status da carga de trabalho é normal.

   Se a carga de trabalho for normal, mas o Serviço não puder ser acessado, a exceção pode ser causada pelo Serviço. Verifique a configuração do Serviço. Por exemplo, verifique se a porta do contêiner está configurada corretamente para uma porta de serviço aberta do contêiner.

   Se a carga de trabalho for normal, mas o resultado do acesso não for o esperado, verifique o código de serviço em execução no contêiner.

Verificar o status de ingress

O CCE suporta dois tipos de ingresses. O Ngnix Ingress Controller é fornecido pela comunidade de código aberto e precisa ser mantido pela instalação do complemento no cluster. O ELB Ingress Controller é executado no nó principal e é mantido por uma equipe dedicada da Huawei Cloud.

1. Se você usar um ingress de Nginx, precisará instalar o complemento nginx-ingress no cluster. Se você usar uma ingress de ELB, pule esta etapa.

   Vá para Add-ons > Add-ons Installed e verifique se o complemento nginx-ingress está em execução. Certifique-se de que os recursos do nó sejam suficientes no cluster. Caso contrário, a instância de complemento não pode ser agendada.

2. Vá para o console do ELB para verificar o status do ELB.
   • Ingress de ELB

     A porta de acesso pode ser personalizada. Verifique se o ouvinte e o grupo de servidores back-end criados no ELB não foram deletados ou modificados.

     Ao criar uma entrada ELB, você pode escolher Auto Create no console para criar automaticamente um balanceador de carga. Não modifique o balanceador de carga. Caso contrário, exceções de entrada podem ser causadas.

   • Ingress de Nginx

     As portas de acesso são fixas em 80 e 443. Portas personalizadas não são compatíveis. A instalação do complemento nginx-ingress ocupa as portas 80 e 443. Não as elimine. Caso contrário, você precisará reinstalar o complemento.

   Você também pode determinar se a falha é causada pelo balanceador de carga com base no código de erro. Se o código de erro a seguir for exibido, há uma alta probabilidade de que a falha seja causada pelo balanceador de carga. Nesse caso, você precisa prestar atenção especial ao balanceador de carga.

   

Verificar se o ingress está configurado corretamente

Se os itens de verificação anteriores forem normais, verifique se a exceção é causada por configurações de parâmetros. Ao usar o kubectl para criar um ingress, um grande número de parâmetros precisa ser definido, o que é propenso a erros. Recomendamos que você use o console para criar ingresses e definir parâmetros conforme necessário para filtrar automaticamente balanceadores de carga e Serviços que não atendam aos requisitos. Isso evita efetivamente formatos incorretos ou falta de parâmetros-chave.

Verificar certificado

O tipo de certificado secreto de ingress do CCE é IngressTLS ou kubernetes.io/tls. Se o tipo de certificado estiver incorreto, o ingress não poderá criar um ouvinte no balanceador de carga. Como resultado, o acesso de ingress torna-se anormal.

1. Remova os parâmetros HTTPS do YAML e crie um ingress HTTP para verificar se a entrada pode ser acessada.

   Se o acesso HTTP for normal, verifique se o certificado secreto HTTPS está correto.

2. Verifique se o tipo de segredo está correto. Verifique se o tipo secreto é IngressTLS ou kubernetes.io/tls.

   # kubectl get secret
   NAME                  TYPE                                  DATA   AGE
   ingress               IngressTLS                            2      36m

3. Crie certificados de teste para corrigir a falha do certificado.

   # openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout tls.key -out tls.crt -subj "/CN={YOUR_HOST}/O={YOUR_HOST}"

4. Use os certificados de teste tls.key e tls.crt para criar um segredo e verificar se o segredo pode ser acessado normalmente. A seguir, descrevemos como criar um segredo IngressTLS.

   O exemplo a seguir mostra como criar um segredo IngressTLS usando kubectl:

   kind: Secret
   apiVersion: v1
   type: IngressTLS
   metadata:
     name: ingress
     namespace: default
   data:
     tls.crt: LS0tLS1CRU*****FURS0tLS0t
     tls.key: LS0tLS1CRU*****VZLS0tLS0=

   

   Nas informações anteriores, tls.crt e tls.key são apenas exemplos. Substitua-os pelos arquivos reais. Os valores de tls.crt e tls.key são o conteúdo criptografado usando Base64.