Solución de problemas de puerta de enlace de Nodos híbridos de Amazon EKS

Compruebe las entradas de la tabla de enrutamiento de la VPC. Compruebe que existan rutas para los CIDR del pod híbrido y apunte al ENI principal de la instancia de puerta de enlace activa:

aws ec2 describe-route-tables \
  --route-table-ids ROUTE_TABLE_ID \
  --query "RouteTables[].Routes[?DestinationCidrBlock=='[.replaceable]`POD_CIDR`']"

Si faltan rutas, compruebe los registros de la puerta de enlace para ver si hay errores en la tabla de enrutamiento. Si las rutas apuntan a un ENI incorrecto, es posible que la conmutación por error no se haya completado correctamente.

Compruebe el estado del pod de puerta de enlace y la elección del líder. Confirme que hay dos pods de puerta de enlace en funcionamiento y que uno tiene la concesión de líder:

kubectl get pods -n eks-hybrid-nodes-gateway
kubectl get lease -n eks-hybrid-nodes-gateway

Si ningún pod tiene la concesión, consulte Cuestiones de elección de líderes.

Compruebe la configuración del VTEP de Cilium en los nodos híbridos. Compruebe que el recurso CiliumVTEPConfig existe y contiene la IP del nodo del líder:

kubectl get ciliumvtepconfig hybrid-gateway -o yaml

spec.endpoints[0].tunnelEndpoint debe coincidir con la dirección IP del nodo de puerta de enlace del líder. Si falta el recurso o tiene una IP obsoleta, es posible que la puerta de enlace no haya completado la configuración del líder.

Compruebe la comprobación de origen/destino. Verifique que la comprobación de origen y destino esté desactivada en las instancias de EC2 de la puerta de enlace.

aws ec2 describe-instance-attribute \
  --instance-id GATEWAY_INSTANCE_ID \
  --attribute sourceDestCheck

Si sourceDestCheck es true, desactívelo. Consulte Introducción a la puerta de enlace de nodos híbridos de EKS.

Compruebe que el plano de control pueda alcanzar la IP del nodo de puerta de enlace. El plano de control envía el tráfico a la tabla de enrutamiento de la VPC, que lo reenvía al ENI de la puerta de enlace. Confirme que las entradas de la tabla de enrutamiento de la VPC sean correctas siguiendo los pasos que se indican en No se puede acceder a los pods de los nodos híbridos desde la VPC.

Compruebe el recurso CiliumVTEPConfig. Compruebe que el recurso existe y que tunnelEndpoint coincide con la IP del nodo líder actual:

kubectl get ciliumvtepconfig hybrid-gateway -o yaml

Si el punto de conexión del túnel está obsoleto (apunta a un líder anterior), es posible que la puerta de enlace no haya completado la secuencia de configuración del líder. Compruebe los registros de la puerta de enlace para ver si hay errores durante el upsert CiliumVTEPConfig.

Verifique los permisos de IAM. La puerta de enlace requiere las siguientes acciones de IAM:

Compruebe los ID de la tabla de enrutamiento en la configuración. Compruebe que la variable de entorno ROUTE_TABLE_IDS contenga ID de tabla de enrutamiento válidos en la implementación de la puerta de enlace:

kubectl get deployment eks-hybrid-nodes-gateway -n eks-hybrid-nodes-gateway -o jsonpath='{.spec.template.spec.containers[0].env}' | jq .

Confirme que los ID de la tabla de enrutamiento existan en su VPC:

aws ec2 describe-route-tables --route-table-ids ROUTE_TABLE_ID
            

Compruebe los registros de la puerta de enlace para ver si hay errores en la tabla de enrutamiento. Busque los mensajes de error relacionados con las operaciones de la tabla de enrutamiento:

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD | grep -i "route table"

Entre los mensajes de error comunes se incluyen los siguientes:

Compruebe los registros del pod. Consulte los registros del pod que ha fallado para identificar el error:

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD
            

Compruebe las variables de entorno obligatorias. La puerta de enlace requiere NODE_IP, VPC_CIDR y POD_CIDRS. Si falta alguno de estos valores, la puerta de enlace se cierra inmediatamente. Compruebe las especificaciones del pod:

kubectl get pod -n eks-hybrid-nodes-gateway LEADER_POD -o jsonpath='{.spec.containers[0].env}' | jq .

Compruebe el reenvío de IP. La puerta de enlace comprueba que el reenvío de IP esté activado al inicio y se cierra si no lo está. Busque el mensaje de error IP forwarding is not enabled en los registros del pod. Active el reenvío de IP en el nodo:

# Check current setting
cat /proc/sys/net/ipv4/ip_forward

# Enable if not set
sudo sysctl -w net.ipv4.ip_forward=1

Para una configuración persistente, configure el reenvío de IP a través del kubelet o agregue net.ipv4.ip_forward=1 a /etc/sysctl.d/.

Compruebe la etiqueta del nodo y las restricciones de programación. Los pods de puerta de enlace requieren nodos con la etiqueta hybrid-gateway-node=true. La antiafinidad de los pods garantiza que cada pod se ejecute en un nodo independiente. Si los pods lo están Pending, compruebe si hay problemas de programación:

kubectl describe pod -n eks-hybrid-nodes-gateway LEADER_POD
            

Busque eventos que indiquen nodos insuficientes, etiquetas faltantes o conflictos de antiafinidad.

Compruebe el objeto de concesión. Compruebe que la concesión existe e inspeccione el titular actual:

kubectl get lease -n eks-hybrid-nodes-gateway hybrid-gateway-leader -o yaml

El campo spec.holderIdentity muestra el líder actual. spec.renewTime muestra cuándo se renovó la concesión por última vez. Si renewTime está obsoleto, es posible que el líder haya perdido la conectividad con el servidor de API.

Compruebe los permisos de RBAC. La cuenta de servicio de puerta de enlace necesita permisos para obtener, crear y actualizar los objetos de concesión en el espacio de nombres de la puerta de enlace. Compruebe el rol y RoleBinding:

kubectl get role -n eks-hybrid-nodes-gateway
kubectl get rolebinding -n eks-hybrid-nodes-gateway

El rol debe incluir los verbos get, create y update del recurso leases del grupo de API coordination.k8s.io.

Compruebe los registros de los pods para ver si hay errores de concesión. Busque errores en la elección del líder en los registros del pod:

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD | grep -i "leader\|lease"

Entre los problemas más frecuentes se incluyen:

Compruebe los parámetros de elección de líderes. Compruebe los valores configurados:

kubectl get deployment eks-hybrid-nodes-gateway -n eks-hybrid-nodes-gateway -o jsonpath='{.spec.template.spec.containers[0].args}'

Asegúrese de que --leader-election-renew-deadline sea menor que --leader-election-lease-duration. Si la fecha límite de renovación supera la duración de la concesión, el líder pierde la concesión antes de poder renovarla. Para obtener más información, consulte Ajuste de elección de líderes.