Fehlerbehebung beim Amazon EKS Hybrid Nodes Gateway

Überprüfen Sie die Einträge in der VPC-Routing-Tabelle. Stellen Sie sicher, dass Routen für Ihre Hybrid-Pod-CIDRs existieren und auf die primäre ENI der aktiven Gateway-Instance verweisen:

aws ec2 describe-route-tables \
  --route-table-ids ROUTE_TABLE_ID \
  --query "RouteTables[].Routes[?DestinationCidrBlock=='POD_CIDR']"

Wenn Routen fehlen, überprüfen Sie die Gateway-Protokolle auf Fehler in der Routing-Tabelle. Wenn Routen auf die falsche ENI verweisen, wurde ein Failover möglicherweise nicht erfolgreich abgeschlossen.

Prüfen Sie den Gateway-Pod-Status und die Wahl des Leiters. Vergewissern Sie sich, dass zwei Gateway-Pods laufen und einer den Leader-Lease besitzt:

kubectl get pods -n eks-hybrid-nodes-gateway
kubectl get lease -n eks-hybrid-nodes-gateway

Wenn kein Pod den Leasingvertrag erfüllt, finden Sie weitere Informationen unterFragen zur Wahl des Vorsitzenden.

Überprüfen Sie die Cilium VTEP-Konfiguration auf Hybridknoten. Stellen Sie sicher, dass die CiliumVTEPConfig Ressource existiert und die Knoten-IP des Leaders enthält:

kubectl get ciliumvtepconfig hybrid-gateway -o yaml

Die spec.endpoints[0].tunnelEndpoint sollte mit der IP-Adresse des Leader-Gateway-Knotens übereinstimmen. Wenn die Ressource fehlt oder eine veraltete IP-Adresse hat, hat das Gateway das Leader-Setup möglicherweise nicht abgeschlossen.

Überprüfen Sie das source/destination Häkchen. Stellen Sie sicher, dass die source/destination Prüfung auf den Gateway-EC2-Instances deaktiviert ist:

aws ec2 describe-instance-attribute \
  --instance-id GATEWAY_INSTANCE_ID \
  --attribute sourceDestCheck

Wenn ja sourceDestChecktrue, deaktivieren Sie sie. Siehe Erste Schritte mit dem EKS Hybrid Nodes Gateway.

Stellen Sie sicher, dass die Steuerungsebene die IP-Adresse des Gateway-Knotens erreichen kann. Die Steuerungsebene sendet den Datenverkehr an die VPC-Routing-Tabelle, die ihn an die ENI des Gateways weiterleitet. Bestätigen Sie anhand der Schritte unter, ob die Einträge in der VPC-Routing-Tabelle korrekt sind. Pods auf Hybridknoten, die von VPC aus nicht erreichbar sind

Überprüfen Sie die Ressource CiliumVTEPConfig. Stellen Sie sicher, dass die Ressource existiert und tunnelEndpoint mit der Knoten-IP des aktuellen Leaders übereinstimmt:

kubectl get ciliumvtepconfig hybrid-gateway -o yaml

Wenn der Tunnelendpunkt veraltet ist (er zeigt auf einen früheren Leader), hat das Gateway die Leader-Setup-Sequenz möglicherweise nicht abgeschlossen. Überprüfen Sie die Gateway-Protokolle auf Fehler beim CiliumVTEPConfig Upsert.

Überprüfen Sie die IAM-Berechtigungen. Das Gateway erfordert die folgenden IAM-Aktionen:

Überprüfen Sie die Routing-Tabellen-IDs in der Konfiguration. Stellen Sie sicher, dass die ROUTE_TABLE_IDS Umgebungsvariable gültige Routing-Tabellen-IDs in der Gateway-Bereitstellung enthält:

kubectl get deployment eks-hybrid-nodes-gateway -n eks-hybrid-nodes-gateway -o jsonpath='{.spec.template.spec.containers[0].env}' | jq .

Vergewissern Sie sich, dass die Routing-Tabellen-IDs in Ihrer VPC vorhanden sind:

aws ec2 describe-route-tables --route-table-ids ROUTE_TABLE_ID
            

Überprüfen Sie die Gateway-Protokolle auf Routing-Tabellenfehler. Suchen Sie nach Fehlermeldungen im Zusammenhang mit Routingtabellenoperationen:

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD | grep -i "route table"

Zu den häufigsten Fehlermeldungen gehören:

Überprüfen Sie die Pod-Protokolle. Sehen Sie sich die Protokolle für den fehlgeschlagenen Pod an, um den Fehler zu identifizieren:

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD
            

Überprüfen Sie die erforderlichen Umgebungsvariablen. Das Gateway benötigt NODE_IPVPC_CIDR, undPOD_CIDRS. Wenn welche fehlen, wird das Gateway sofort beendet. Überprüfen Sie die Pod-Spezifikation:

kubectl get pod -n eks-hybrid-nodes-gateway LEADER_POD -o jsonpath='{.spec.containers[0].env}' | jq .

Überprüfen Sie die IP-Weiterleitung. Das Gateway überprüft beim Start, ob die IP-Weiterleitung aktiviert ist, und wird beendet, wenn dies nicht der Fall ist. Suchen Sie IP forwarding is not enabled in den Pod-Protokollen nach der Fehlermeldung. Aktivieren Sie die IP-Weiterleitung auf dem Knoten:

# Check current setting
cat /proc/sys/net/ipv4/ip_forward

# Enable if not set
sudo sysctl -w net.ipv4.ip_forward=1

Für eine persistente Einstellung konfigurieren Sie die IP-Weiterleitung über das Kubelet oder fügen Sie net.ipv4.ip_forward=1 sie hinzu. /etc/sysctl.d/

Überprüfen Sie die Knotenbezeichnung und die Zeitplanungsbeschränkungen. Die Gateway-Pods benötigen Knoten mit dem hybrid-gateway-node=true Label. Die Pod-Anti-Affinität stellt sicher, dass jeder Pod auf einem separaten Knoten ausgeführt wird. Wenn dies bei Pods der Fall Pending ist, überprüfen Sie, ob Planungsprobleme vorliegen:

kubectl describe pod -n eks-hybrid-nodes-gateway LEADER_POD
            

Achten Sie auf Ereignisse, die auf unzureichende Nodes, fehlende Labels oder Anti-Affinitätskonflikte hinweisen.

Überprüfen Sie das Lease-Objekt. Stellen Sie sicher, dass der Mietvertrag existiert, und überprüfen Sie seinen aktuellen Inhaber:

kubectl get lease -n eks-hybrid-nodes-gateway hybrid-gateway-leader -o yaml

Das spec.holderIdentity Feld zeigt den aktuellen Anführer. spec.renewTimeZeigt an, wann der Mietvertrag zuletzt verlängert wurde. Wenn renewTime es veraltet ist, hat der Leader möglicherweise die Verbindung zum API-Server verloren.

Überprüfen Sie die RBAC-Berechtigungen. Das Gateway-Dienstkonto benötigt Berechtigungen zum Abrufen, Erstellen und Aktualisieren von Lease-Objekten im Gateway-Namespace. Überprüfen Sie die Rolle und RoleBinding:

kubectl get role -n eks-hybrid-nodes-gateway
kubectl get rolebinding -n eks-hybrid-nodes-gateway

Die Rolle sollte getcreate, und die update Verben für die leases Ressource in der coordination.k8s.io API-Gruppe enthalten.

Überprüfe die Pod-Logs auf Leasingfehler. Suchen Sie in den Pod-Protokollen nach Fehlern bei der Wahl des Führers:

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD | grep -i "leader\|lease"

Häufige Probleme sind unter anderem:

Überprüfen Sie die Parameter für die Wahl des Führers. Überprüfen Sie die konfigurierten Werte:

kubectl get deployment eks-hybrid-nodes-gateway -n eks-hybrid-nodes-gateway -o jsonpath='{.spec.template.spec.containers[0].args}'

Stellen Sie sicher--leader-election-renew-deadline, dass weniger als ist--leader-election-lease-duration. Wenn die Verlängerungsfrist die Mietdauer überschreitet, verliert der Leader den Mietvertrag, bevor er verlängert werden kann. Weitere Informationen finden Sie unter Abstimmung der Wahl der Spitzenpolitiker.