Risoluzione dei problemi relativi al gateway Amazon EKS Hybrid Nodes

Controlla le voci della tabella di routing del VPC. Verifica che i percorsi per i CIDR del tuo pod ibrido esistano e puntino all'ENI primario dell'istanza del gateway attivo:

aws ec2 describe-route-tables \
  --route-table-ids ROUTE_TABLE_ID \
  --query "RouteTables[].Routes[?DestinationCidrBlock=='POD_CIDR']"

Se mancano delle route, controlla i log del gateway per eventuali errori nella tabella delle route. Se le route puntano all'ENI sbagliato, è possibile che un failover non sia stato completato correttamente.

Controlla lo stato del gateway pod e l'elezione del leader. Verifica che due gateway pod siano in esecuzione e uno detenga il contratto di locazione leader:

kubectl get pods -n eks-hybrid-nodes-gateway
kubectl get lease -n eks-hybrid-nodes-gateway

Se nessun pod detiene il contratto di locazione, vedi. Problemi relativi alle elezioni dei leader

Verifica la configurazione VTEP di Cilium sui nodi ibridi. Verifica che la CiliumVTEPConfig risorsa esista e contenga l'IP del nodo del leader:

kubectl get ciliumvtepconfig hybrid-gateway -o yaml

spec.endpoints[0].tunnelEndpointDeve corrispondere all'indirizzo IP del nodo del gateway leader. Se la risorsa è mancante o ha un IP obsoleto, è possibile che la configurazione del gateway non sia stata completata.

Controlla source/destination controlla. source/destination Verifica che il controllo sia disabilitato sulle istanze EC2 del gateway:

aws ec2 describe-instance-attribute \
  --instance-id GATEWAY_INSTANCE_ID \
  --attribute sourceDestCheck

In caso sourceDestCheck affermativotrue, disattivatelo. Consulta Inizia a usare il gateway EKS Hybrid Nodes.

Verificare che il piano di controllo possa raggiungere l'IP del nodo gateway. Il piano di controllo invia il traffico alla tabella delle rotte VPC, che lo inoltra all'ENI del gateway. Conferma che le voci della tabella di routing VPC siano corrette utilizzando i passaggi indicati. Pod su nodi ibridi non raggiungibili da VPC

Controlla la risorsa CiliumVTepConfig. Verifica che la risorsa esista e che tunnelEndpoint corrisponda all'IP del nodo del leader corrente:

kubectl get ciliumvtepconfig hybrid-gateway -o yaml

Se l'endpoint del tunnel è obsoleto (rimanda a un leader precedente), il gateway potrebbe non aver completato la sequenza di configurazione del leader. Verificate la presenza di errori nei log del gateway durante l'upsertCiliumVTEPConfig.

Verifica le autorizzazioni IAM. Il gateway richiede le seguenti azioni IAM:

Controlla gli ID della tabella di routing nella configurazione. Verifica che la variabile di ROUTE_TABLE_IDS ambiente contenga ID validi della tabella di routing nella distribuzione del gateway:

kubectl get deployment eks-hybrid-nodes-gateway -n eks-hybrid-nodes-gateway -o jsonpath='{.spec.template.spec.containers[0].env}' | jq .

Verifica che gli ID della tabella di routing siano presenti nel tuo VPC:

aws ec2 describe-route-tables --route-table-ids ROUTE_TABLE_ID
            

Controlla i log del gateway per individuare eventuali errori nella tabella di routing. Cerca i messaggi di errore relativi alle operazioni della tabella di routing:

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD | grep -i "route table"

I messaggi di errore più comuni includono:

Controlla i log dei pod. Visualizza i log del pod in errore per identificare l'errore:

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD
            

Controlla le variabili di ambiente richieste. Il gateway richiedeNODE_IP,VPC_CIDR, ePOD_CIDRS. Se ne manca uno, il gateway esce immediatamente. Verifica le specifiche del pod:

kubectl get pod -n eks-hybrid-nodes-gateway LEADER_POD -o jsonpath='{.spec.containers[0].env}' | jq .

Controlla l'inoltro IP. Il gateway verifica che l'inoltro IP sia abilitato all'avvio ed esce in caso contrario. Cerca il messaggio di errore IP forwarding is not enabled nei log del pod. Abilita l'inoltro IP sul nodo:

# Check current setting
cat /proc/sys/net/ipv4/ip_forward

# Enable if not set
sudo sysctl -w net.ipv4.ip_forward=1

Per un'impostazione persistente, configura l'inoltro IP tramite il kubelet o aggiungi a. net.ipv4.ip_forward=1 /etc/sysctl.d/

Controlla l'etichetta del nodo e i vincoli di pianificazione. I gateway pod richiedono nodi con l'hybrid-gateway-node=trueetichetta. L'antiaffinità dei pod assicura che ogni pod funzioni su un nodo separato. Se i pod lo sonoPending, verifica la presenza di problemi di pianificazione:

kubectl describe pod -n eks-hybrid-nodes-gateway LEADER_POD
            

Cerca gli eventi che indicano nodi insufficienti, etichette mancanti o conflitti di anti-affinità.

Controlla l'oggetto Lease. Verifica l'esistenza del contratto di locazione e ispeziona il suo attuale titolare:

kubectl get lease -n eks-hybrid-nodes-gateway hybrid-gateway-leader -o yaml

Il spec.holderIdentity campo mostra il leader attuale. spec.renewTimeIndica quando il contratto di locazione è stato rinnovato l'ultima volta. Se renewTime è obsoleto, il leader potrebbe aver perso la connettività al server API.

Controlla le autorizzazioni RBAC. L'account del servizio gateway necessita delle autorizzazioni per ottenere, creare e aggiornare oggetti Lease nel namespace del gateway. Verifica il ruolo e: RoleBinding

kubectl get role -n eks-hybrid-nodes-gateway
kubectl get rolebinding -n eks-hybrid-nodes-gateway

Il ruolo deve includere getcreate, e i update verbi per la leases risorsa nel gruppo coordination.k8s.io API.

Controlla i log dei pod per eventuali errori di leasing. Cerca gli errori di elezione dei leader nei log del pod:

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD | grep -i "leader\|lease"

I problemi comuni includono:

Controlla i parametri di elezione dei leader. Verifica i valori configurati:

kubectl get deployment eks-hybrid-nodes-gateway -n eks-hybrid-nodes-gateway -o jsonpath='{.spec.template.spec.containers[0].args}'

Assicurati che --leader-election-renew-deadline sia inferiore a--leader-election-lease-duration. Se il termine di rinnovo supera la durata del contratto di locazione, il conduttore perde il contratto di locazione prima che possa rinnovarlo. Per ulteriori informazioni, consulta Ottimizzazione delle elezioni dei leader.