Fehlerbehebung beim Amazon EKS Hybrid Nodes Gateway

Überprüfen Sie die Einträge in der VPC-Routentabelle. Stellen Sie sicher, dass Routen für Ihre Hybrid-Pod-CIDRs existieren und auf die primäre ENI der aktiven Gateway-Instanz verweisen:

aws ec2 describe-route-tables \
  --route-table-ids ROUTE_TABLE_ID \
  --query "RouteTables[].Routes[?DestinationCidrBlock=='[.replaceable]`POD_CIDR`']"

Wenn Routen fehlen, überprüfen Sie die Gateway-Protokolle auf Fehler in der Routentabelle. Wenn Routen auf die falsche ENI verweisen, wurde ein Failover möglicherweise nicht erfolgreich abgeschlossen.

Überprüfen Sie den Status des Gateway-Pods und die Wahl des Leiters. Vergewissern Sie sich, dass zwei Gateway-Pods laufen und einer den Leader-Lease besitzt:

kubectl get pods -n eks-hybrid-nodes-gateway
kubectl get lease -n eks-hybrid-nodes-gateway

Wenn kein Pod den Lease besitzt, finden Sie weitere Informationen unterProbleme bei der Wahl von Führungskräften.

Überprüfen Sie die Cilium VTEP-Konfiguration auf Hybridknoten. Stellen Sie sicher, dass die CiliumVTEPConfig Ressource vorhanden ist und die Knoten-IP des Leaders enthält:

kubectl get ciliumvtepconfig hybrid-gateway -o yaml

Die spec.endpoints[0].tunnelEndpoint sollte mit der IP-Adresse des Leader-Gateway-Knotens übereinstimmen. Wenn die Ressource fehlt oder eine veraltete IP hat, hat das Gateway die Leader-Einrichtung möglicherweise nicht abgeschlossen.

Überprüfen Sie, source/destination ob. Stellen Sie sicher, dass die source/destination Prüfung auf den Gateway-EC2-Instances deaktiviert ist:

aws ec2 describe-instance-attribute \
  --instance-id GATEWAY_INSTANCE_ID \
  --attribute sourceDestCheck

Wenn ja sourceDestChecktrue, deaktivieren Sie es. Siehe Erste Schritte mit dem EKS Hybrid Nodes Gateway.

Stellen Sie sicher, dass die Steuerebene die Gateway-Knoten-IP erreichen kann. Die Kontrollebene sendet den Datenverkehr an die VPC-Routentabelle, die ihn an die ENI des Gateways weiterleitet. Vergewissern Sie sich anhand der Schritte unter, dass die Einträge in Pods auf Hybridknoten, die von VPC aus nicht erreichbar sind der VPC-Routentabelle korrekt sind.

Überprüfen Sie die CiliumVTEPConfig-Ressource. Stellen Sie sicher, dass die Ressource existiert und mit der Knoten-IP des aktuellen Leaders tunnelEndpoint übereinstimmt:

kubectl get ciliumvtepconfig hybrid-gateway -o yaml

Wenn der Tunnelendpunkt veraltet ist (verweist auf einen früheren Leader), hat das Gateway die Leader-Setup-Sequenz möglicherweise nicht abgeschlossen. Überprüfen Sie die Gateway-Protokolle auf Fehler beim CiliumVTEPConfig Upsert.

Überprüfen Sie die IAM-Berechtigungen. Das Gateway erfordert die folgenden IAM-Aktionen:

Überprüfen Sie die Routentabellen-IDs in der Konfiguration. Stellen Sie sicher, dass die ROUTE_TABLE_IDS Umgebungsvariable gültige Routentabellen-IDs in der Gateway-Bereitstellung enthält:

kubectl get deployment eks-hybrid-nodes-gateway -n eks-hybrid-nodes-gateway -o jsonpath='{.spec.template.spec.containers[0].env}' | jq .

Vergewissern Sie sich, dass die Routentabellen-IDs in Ihrer VPC vorhanden sind:

aws ec2 describe-route-tables --route-table-ids ROUTE_TABLE_ID
            

Überprüfen Sie die Gateway-Protokolle auf Fehler in der Routentabelle. Suchen Sie nach Fehlermeldungen im Zusammenhang mit Routentabellenoperationen:

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD | grep -i "route table"

Zu den häufigsten Fehlermeldungen gehören:

Überprüfen Sie die Pod-Protokolle. Sehen Sie sich die Protokolle für den ausgefallenen Pod an, um den Fehler zu identifizieren:

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD
            

Überprüfen Sie die erforderlichen Umgebungsvariablen. Das Gateway benötigt NODE_IPVPC_CIDR, undPOD_CIDRS. Wenn welche fehlen, wird das Gateway sofort beendet. Überprüfen Sie die Pod-Spezifikation:

kubectl get pod -n eks-hybrid-nodes-gateway LEADER_POD -o jsonpath='{.spec.containers[0].env}' | jq .

Überprüfen Sie die IP-Weiterleitung. Das Gateway überprüft beim Start, ob die IP-Weiterleitung aktiviert ist, und wird beendet, falls dies nicht der Fall ist. Suchen Sie IP forwarding is not enabled in den Pod-Logs nach der Fehlermeldung. Aktivieren Sie die IP-Weiterleitung auf dem Knoten:

# Check current setting
cat /proc/sys/net/ipv4/ip_forward

# Enable if not set
sudo sysctl -w net.ipv4.ip_forward=1

Für eine persistente Einstellung konfigurieren Sie die IP-Weiterleitung über das Kubelet oder fügen Sie net.ipv4.ip_forward=1 zu hinzu. /etc/sysctl.d/

Überprüfen Sie die Knotenbezeichnung und die Einschränkungen bei der Terminplanung. Die Gateway-Pods benötigen Knoten mit der hybrid-gateway-node=true Bezeichnung. Pod-Anti-Affinität stellt sicher, dass jeder Pod auf einem separaten Knoten ausgeführt wird. Falls dies bei Pods der Fall istPending, überprüfen Sie, ob Probleme bei der Planung vorliegen:

kubectl describe pod -n eks-hybrid-nodes-gateway LEADER_POD
            

Suchen Sie nach Ereignissen, die auf unzureichende Knoten, fehlende Labels oder Anti-Affinitätskonflikte hinweisen.

Überprüfen Sie das Lease-Objekt. Stellen Sie sicher, dass der Leasingvertrag existiert, und überprüfen Sie seinen aktuellen Inhaber:

kubectl get lease -n eks-hybrid-nodes-gateway hybrid-gateway-leader -o yaml

Das spec.holderIdentity Feld zeigt den aktuellen Anführer. spec.renewTimeZeigt an, wann der Mietvertrag zuletzt verlängert wurde. Wenn renewTime es veraltet ist, hat der Leader möglicherweise die Verbindung zum API-Server verloren.

Überprüfen Sie die RBAC-Berechtigungen. Das Gateway-Dienstkonto benötigt Berechtigungen zum Abrufen, Erstellen und Aktualisieren von Lease-Objekten im Gateway-Namespace. Überprüfen Sie die Rolle und RoleBinding:

kubectl get role -n eks-hybrid-nodes-gateway
kubectl get rolebinding -n eks-hybrid-nodes-gateway

Die Rolle sollte getcreate, und update Verben für die leases Ressource in der coordination.k8s.io API-Gruppe enthalten.

Überprüfen Sie die Pod-Logs auf Leasing-Fehler. Suchen Sie in den Pod-Logs nach Fehlern bei der Wahl von Führungskräften:

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD | grep -i "leader\|lease"

Häufige Probleme sind unter anderem:

Überprüfen Sie die Parameter für die Wahl des Führers. Überprüfen Sie die konfigurierten Werte:

kubectl get deployment eks-hybrid-nodes-gateway -n eks-hybrid-nodes-gateway -o jsonpath='{.spec.template.spec.containers[0].args}'

Stellen Sie sicher--leader-election-renew-deadline, dass es weniger als ist--leader-election-lease-duration. Wenn die Frist für die Verlängerung die Leasingdauer überschreitet, verliert der Leader das Leasing, bevor es verlängert werden kann. Weitere Informationen finden Sie unter Abstimmung der Wahl der Spitzenpolitiker.