Résolution des problèmes de passerelle Amazon EKS Hybrid Nodes

Vérifiez les entrées de la table de routage VPC. Vérifiez que des routes existent pour les CIDR de votre pod hybride et pointez vers l'ENI principal de l'instance de passerelle active :

aws ec2 describe-route-tables \
  --route-table-ids ROUTE_TABLE_ID \
  --query "RouteTables[].Routes[?DestinationCidrBlock=='POD_CIDR']"

Si des itinéraires sont manquants, vérifiez les journaux de la passerelle pour détecter les erreurs de table de routage. Si les itinéraires pointent vers la mauvaise ENI, le basculement n'a peut-être pas été effectué correctement.

Vérifiez l'état du module de passerelle et l'élection du leader. Vérifiez que deux modules de passerelle sont en cours d'exécution et que l'un d'eux détient le bail principal :

kubectl get pods -n eks-hybrid-nodes-gateway
kubectl get lease -n eks-hybrid-nodes-gateway

Si aucun pod n'est titulaire du bail, consultezProblèmes liés à l'élection des dirigeants.

Vérifiez la configuration de Cilium VTEP sur les nœuds hybrides. Vérifiez que la CiliumVTEPConfig ressource existe et qu'elle contient l'adresse IP du nœud leader :

kubectl get ciliumvtepconfig hybrid-gateway -o yaml

Elle spec.endpoints[0].tunnelEndpoint doit correspondre à l'adresse IP du nœud de passerelle leader. Si la ressource est manquante ou possède une adresse IP obsolète, il est possible que la configuration du leader ne soit pas terminée sur la passerelle.

Chèque, source/destination chèque. Vérifiez que source/destination la vérification est désactivée sur les instances EC2 de la passerelle :

aws ec2 describe-instance-attribute \
  --instance-id GATEWAY_INSTANCE_ID \
  --attribute sourceDestCheck

Si sourceDestCheck c'est le castrue, désactivez-le. Consultez Démarrez avec la passerelle EKS Hybrid Nodes.

Vérifiez que le plan de contrôle peut atteindre l'adresse IP du nœud de passerelle. Le plan de contrôle envoie le trafic à la table de routage VPC, qui le transmet à l'ENI de la passerelle. Vérifiez que les entrées de la table de routage VPC sont correctes en suivant les étapes décrites dansPods sur des nœuds hybrides inaccessibles depuis un VPC.

Vérifiez la ressource CiliumVTEPConfig. Vérifiez que la ressource existe et qu'elle tunnelEndpoint correspond à l'adresse IP du nœud du leader actuel :

kubectl get ciliumvtepconfig hybrid-gateway -o yaml

Si le point de terminaison du tunnel est obsolète (pointe vers un leader précédent), la passerelle n'a peut-être pas terminé la séquence de configuration du leader. Vérifiez les journaux de la passerelle pour détecter les erreurs lors de la CiliumVTEPConfig mise en service.

Vérifiez les autorisations IAM. La passerelle nécessite les actions IAM suivantes :

Vérifiez les ID des tables de routage dans la configuration. Vérifiez que la variable d'ROUTE_TABLE_IDSenvironnement contient des ID de table de routage valides lors du déploiement de la passerelle :

kubectl get deployment eks-hybrid-nodes-gateway -n eks-hybrid-nodes-gateway -o jsonpath='{.spec.template.spec.containers[0].env}' | jq .

Vérifiez que les ID de table de routage existent dans votre VPC :

aws ec2 describe-route-tables --route-table-ids ROUTE_TABLE_ID
            

Vérifiez les journaux de passerelle pour détecter les erreurs de table de routage. Recherchez les messages d'erreur liés aux opérations de la table de routage :

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD | grep -i "route table"

Les messages d'erreur courants sont les suivants :

Consultez les journaux des pods. Consultez les journaux du pod défaillant pour identifier l'erreur :

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD
            

Vérifiez les variables d'environnement requises. La passerelle nécessite NODE_IPVPC_CIDR, etPOD_CIDRS. S'il en manque, la passerelle se ferme immédiatement. Vérifiez les spécifications du pod :

kubectl get pod -n eks-hybrid-nodes-gateway LEADER_POD -o jsonpath='{.spec.containers[0].env}' | jq .

Vérifiez le transfert IP. La passerelle vérifie que le transfert IP est activé au démarrage et se ferme si ce n'est pas le cas. Recherchez le message d'erreur IP forwarding is not enabled dans les journaux du pod. Activez le transfert IP sur le nœud :

# Check current setting
cat /proc/sys/net/ipv4/ip_forward

# Enable if not set
sudo sysctl -w net.ipv4.ip_forward=1

Pour un paramètre persistant, configurez le transfert IP via le kubelet ou ajoutez-le à. net.ipv4.ip_forward=1 /etc/sysctl.d/

Vérifiez l'étiquette du nœud et les contraintes de planification. Les pods de passerelle nécessitent des nœuds portant l'hybrid-gateway-node=trueétiquette. L'anti-affinité des pods garantit que chaque pod fonctionne sur un nœud distinct. Si des pods le sontPending, vérifiez s'il y a des problèmes de planification :

kubectl describe pod -n eks-hybrid-nodes-gateway LEADER_POD
            

Recherchez les événements indiquant des nœuds insuffisants, des étiquettes manquantes ou des conflits d'anti-affinité.

Vérifiez l'objet Lease. Vérifiez que le contrat de location existe et inspectez son titulaire actuel :

kubectl get lease -n eks-hybrid-nodes-gateway hybrid-gateway-leader -o yaml

Le spec.holderIdentity champ indique le leader actuel. spec.renewTimeIndique la date de renouvellement du bail pour la dernière fois. S'renewTimeil est obsolète, le leader a peut-être perdu la connectivité au serveur API.

Vérifiez les autorisations RBAC. Le compte de service de passerelle a besoin d'autorisations pour obtenir, créer et mettre à jour des objets Lease dans l'espace de noms de la passerelle. Vérifiez le rôle et RoleBinding :

kubectl get role -n eks-hybrid-nodes-gateway
kubectl get rolebinding -n eks-hybrid-nodes-gateway

Le rôle doit inclure getcreate, et les update verbes pour la leases ressource dans le groupe coordination.k8s.io d'API.

Vérifiez les journaux des pods pour détecter les erreurs de location. Recherchez les erreurs liées à l'élection du chef dans les journaux des modules :

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD | grep -i "leader\|lease"

Les problèmes courants comprennent :

Vérifiez les paramètres de l'élection du chef. Vérifiez les valeurs configurées :

kubectl get deployment eks-hybrid-nodes-gateway -n eks-hybrid-nodes-gateway -o jsonpath='{.spec.template.spec.containers[0].args}'

Assurez-vous qu'--leader-election-renew-deadlineil est inférieur à--leader-election-lease-duration. Si la date limite de renouvellement dépasse la durée du bail, le leader perd le bail avant qu'il ne puisse être renouvelé. Pour de plus amples informations, veuillez consulter Réglage de l'élection des leaders.