Résolution des problèmes liés à la passerelle Amazon EKS Hybrid Nodes

Vérifiez les entrées de la table de routage VPC. Vérifiez que les routes pour les CIDR de votre pod hybride existent et pointent vers l'ENI principal de l'instance de passerelle active :

aws ec2 describe-route-tables \
  --route-table-ids ROUTE_TABLE_ID \
  --query "RouteTables[].Routes[?DestinationCidrBlock=='[.replaceable]`POD_CIDR`']"

Si des routes sont manquantes, vérifiez les journaux de la passerelle pour détecter les erreurs de table de routage. Si les itinéraires pointent vers le mauvais ENI, le basculement n'a peut-être pas été effectué correctement.

Vérifiez l'état du Gateway Pod et l'élection du leader. Vérifiez que deux modules de passerelle fonctionnent et que l'un d'eux est titulaire du bail principal :

kubectl get pods -n eks-hybrid-nodes-gateway
kubectl get lease -n eks-hybrid-nodes-gateway

Si aucun pod n'est titulaire du bail, voirProblèmes liés à l'élection des dirigeants.

Vérifiez la configuration VTEP de Cilium sur les nœuds hybrides. Vérifiez que la CiliumVTEPConfig ressource existe et contient l'adresse IP du nœud du leader :

kubectl get ciliumvtepconfig hybrid-gateway -o yaml

Le spec.endpoints[0].tunnelEndpoint doit correspondre à l'adresse IP du nœud de passerelle principal. Si la ressource est manquante ou possède une adresse IP périmée, la passerelle n'a peut-être pas terminé la configuration du leader.

Chèque, source/destination chèque. Vérifiez que source/destination la vérification est désactivée sur les instances EC2 de la passerelle :

aws ec2 describe-instance-attribute \
  --instance-id GATEWAY_INSTANCE_ID \
  --attribute sourceDestCheck

Si sourceDestCheck c'est le castrue, désactivez-le. Consultez Commencez avec la passerelle EKS Hybrid Nodes.

Vérifiez que le plan de contrôle peut atteindre l'adresse IP du nœud de passerelle. Le plan de contrôle envoie le trafic à la table de routage VPC, qui le transmet à l'ENI de la passerelle. Vérifiez que les entrées de la table de routage VPC sont correctes en suivant les étapes décrites dans. Les pods sur les nœuds hybrides sont inaccessibles depuis le VPC

Vérifiez la ressource CiliumVTEPConfig. Vérifiez que la ressource existe et qu'elle tunnelEndpoint correspond à l'adresse IP du nœud du leader actuel :

kubectl get ciliumvtepconfig hybrid-gateway -o yaml

Si l'extrémité du tunnel est périmée (pointe vers un point de repère précédent), il est possible que la passerelle n'ait pas terminé la séquence de configuration du leader. Vérifiez les journaux de la passerelle pour détecter les erreurs lors de l'CiliumVTEPConfigupsert.

Vérifiez les autorisations IAM. La passerelle nécessite les actions IAM suivantes :

Vérifiez les identifiants des tables de routage dans la configuration. Vérifiez que la variable d'ROUTE_TABLE_IDSenvironnement contient des ID de table de routage valides dans le déploiement de la passerelle :

kubectl get deployment eks-hybrid-nodes-gateway -n eks-hybrid-nodes-gateway -o jsonpath='{.spec.template.spec.containers[0].env}' | jq .

Vérifiez que les identifiants de table de routage existent dans votre VPC :

aws ec2 describe-route-tables --route-table-ids ROUTE_TABLE_ID
            

Vérifiez les journaux de la passerelle pour détecter les erreurs de table de routage. Recherchez les messages d'erreur liés aux opérations de la table de routage :

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD | grep -i "route table"

Les messages d'erreur courants sont les suivants :

Consultez les journaux du pod. Consultez les journaux du pod défaillant pour identifier l'erreur :

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD
            

Vérifiez les variables d'environnement requises. La passerelle nécessite NODE_IPVPC_CIDR, etPOD_CIDRS. S'il en manque, la passerelle sort immédiatement. Vérifiez les spécifications du pod :

kubectl get pod -n eks-hybrid-nodes-gateway LEADER_POD -o jsonpath='{.spec.containers[0].env}' | jq .

Vérifiez le transfert IP. La passerelle vérifie que le transfert IP est activé au démarrage et s'arrête si ce n'est pas le cas. Recherchez le message d'erreur IP forwarding is not enabled dans les journaux du pod. Activez le transfert IP sur le nœud :

# Check current setting
cat /proc/sys/net/ipv4/ip_forward

# Enable if not set
sudo sysctl -w net.ipv4.ip_forward=1

Pour un paramètre persistant, configurez le transfert IP via le kubelet ou ajoutez-le net.ipv4.ip_forward=1 à. /etc/sysctl.d/

Vérifiez l'étiquette du nœud et les contraintes de planification. Les pods de passerelle nécessitent des nœuds portant l'hybrid-gateway-node=trueétiquette. L'anti-affinité des pods garantit que chaque pod fonctionne sur un nœud distinct. Si c'est le casPending, vérifiez s'il y a des problèmes de planification :

kubectl describe pod -n eks-hybrid-nodes-gateway LEADER_POD
            

Recherchez les événements indiquant un nombre insuffisant de nœuds, des étiquettes manquantes ou des conflits anti-affinité.

Vérifiez l'objet Lease. Vérifiez que le bail existe et inspectez son titulaire actuel :

kubectl get lease -n eks-hybrid-nodes-gateway hybrid-gateway-leader -o yaml

Le spec.holderIdentity champ indique le leader actuel. spec.renewTimeIndique la date du dernier renouvellement du bail. S'il renewTime est périmé, le leader a peut-être perdu la connectivité avec le serveur API.

Vérifiez les autorisations RBAC. Le compte de service de passerelle a besoin d'autorisations pour obtenir, créer et mettre à jour des objets Lease dans l'espace de noms de passerelle. Vérifiez le rôle et RoleBinding :

kubectl get role -n eks-hybrid-nodes-gateway
kubectl get rolebinding -n eks-hybrid-nodes-gateway

Le rôle doit inclure getcreate, et les update verbes pour la leases ressource du groupe coordination.k8s.io d'API.

Vérifiez les journaux des pods pour détecter les erreurs de location. Recherchez les erreurs liées à l'élection du chef dans les journaux du module :

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD | grep -i "leader\|lease"

Les problèmes courants comprennent :

Vérifiez les paramètres d'élection du leader. Vérifiez les valeurs configurées :

kubectl get deployment eks-hybrid-nodes-gateway -n eks-hybrid-nodes-gateway -o jsonpath='{.spec.template.spec.containers[0].args}'

Assurez-vous que --leader-election-renew-deadline c'est inférieur à--leader-election-lease-duration. Si la date limite de renouvellement dépasse la durée du bail, le dirigeant perd le bail avant de pouvoir le renouveler. Pour de plus amples informations, veuillez consulter Réglage de l'élection des leaders.