Risoluzione dei problemi del gateway Amazon EKS Hybrid Nodes

Controlla le voci della tabella dei percorsi in VPC. Verifica che i percorsi per i tuoi pod ibridi CIDR esistano e puntino all'ENI principale dell'istanza Active Gateway:

aws ec2 describe-route-tables \
  --route-table-ids ROUTE_TABLE_ID \
  --query "RouteTables[].Routes[?DestinationCidrBlock=='[.replaceable]`POD_CIDR`']"

Se mancano delle route, controlla i log del gateway per eventuali errori nella tabella delle rotte. Se le rotte puntano all'ENI errato, è possibile che un failover non sia stato completato correttamente.

Controlla lo stato del gateway pod e l'elezione del leader. Verifica che due gateway pod siano in funzione e che uno disponga del contratto di locazione leader:

kubectl get pods -n eks-hybrid-nodes-gateway
kubectl get lease -n eks-hybrid-nodes-gateway

Se nessun pod detiene il contratto di locazione, vedi. Problemi relativi alle elezioni dei leader

Controlla la configurazione di Cilium VTEP sui nodi ibridi. Verifica che la CiliumVTEPConfig risorsa esista e contenga l'IP del nodo leader:

kubectl get ciliumvtepconfig hybrid-gateway -o yaml

spec.endpoints[0].tunnelEndpointDeve corrispondere all'indirizzo IP del nodo gateway leader. Se la risorsa è mancante o ha un IP obsoleto, è possibile che il gateway non abbia completato la configurazione leader.

Controlla e source/destination controlla. source/destination Verifica che il controllo sia disabilitato sulle istanze EC2 del gateway:

aws ec2 describe-instance-attribute \
  --instance-id GATEWAY_INSTANCE_ID \
  --attribute sourceDestCheck

In caso sourceDestCheck affermativotrue, disabilitalo. Per informazioni, consulta Inizia a usare il gateway EKS Hybrid Nodes.

Verificare che il piano di controllo possa raggiungere l'IP del nodo gateway. Il piano di controllo invia il traffico alla tabella delle rotte VPC, che lo inoltra all'ENI del gateway. Verifica che le voci della tabella di routing VPC siano corrette utilizzando i passaggi in. Pod su nodi ibridi non raggiungibili da VPC

Controlla la risorsa CiliumVtepConfig. Verifica che la risorsa esista e che tunnelEndpoint corrisponda all'IP del nodo leader corrente:

kubectl get ciliumvtepconfig hybrid-gateway -o yaml

Se l'endpoint del tunnel è obsoleto (punta a un leader precedente), è possibile che il gateway non abbia completato la sequenza di configurazione del leader. Verificate la presenza di errori nei log del gateway durante l'upsert. CiliumVTEPConfig

Verifica le autorizzazioni IAM. Il gateway richiede le seguenti azioni IAM:

Controlla gli ID della tabella delle rotte nella configurazione. Verifica che la variabile di ROUTE_TABLE_IDS ambiente contenga ID di tabella di routing validi nella distribuzione del gateway:

kubectl get deployment eks-hybrid-nodes-gateway -n eks-hybrid-nodes-gateway -o jsonpath='{.spec.template.spec.containers[0].env}' | jq .

Verifica che gli ID della tabella delle rotte esistano nel tuo VPC:

aws ec2 describe-route-tables --route-table-ids ROUTE_TABLE_ID
            

Controlla i log del gateway per verificare la presenza di errori nella tabella delle rotte. Cerca i messaggi di errore relativi alle operazioni sulla tabella di routing:

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD | grep -i "route table"

I messaggi di errore più comuni includono:

Controlla i registri dei pod. Visualizza i log del pod in cui si è verificato l'errore per identificare l'errore:

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD
            

Controlla le variabili di ambiente richieste. Il gateway richiede NODE_IPVPC_CIDR, ePOD_CIDRS. Se ne mancano alcuni, il gateway esce immediatamente. Verifica le specifiche del pod:

kubectl get pod -n eks-hybrid-nodes-gateway LEADER_POD -o jsonpath='{.spec.containers[0].env}' | jq .

Controlla l'inoltro IP. Il gateway verifica che l'inoltro IP sia abilitato all'avvio e si chiude in caso contrario. Cerca il messaggio di errore IP forwarding is not enabled nei log del pod. Abilita l'inoltro IP sul nodo:

# Check current setting
cat /proc/sys/net/ipv4/ip_forward

# Enable if not set
sudo sysctl -w net.ipv4.ip_forward=1

Per un'impostazione persistente, configura l'inoltro IP tramite kubelet o aggiungi a. net.ipv4.ip_forward=1 /etc/sysctl.d/

Controlla l'etichetta del nodo e i vincoli di pianificazione. I gateway pod richiedono nodi con l'etichetta. hybrid-gateway-node=true L'antiaffinità dei pod garantisce che ogni pod funzioni su un nodo separato. Se i pod lo sonoPending, verifica se ci sono problemi di pianificazione:

kubectl describe pod -n eks-hybrid-nodes-gateway LEADER_POD
            

Cerca gli eventi che indicano nodi insufficienti, etichette mancanti o conflitti di anti-affinità.

Controllate l'oggetto Lease. Verifica l'esistenza del contratto di locazione e ispeziona il suo attuale titolare:

kubectl get lease -n eks-hybrid-nodes-gateway hybrid-gateway-leader -o yaml

Il spec.holderIdentity campo mostra il leader attuale. spec.renewTimeIndica quando il contratto di locazione è stato rinnovato l'ultima volta. Se renewTime è obsoleto, il leader potrebbe aver perso la connettività al server API.

Controlla le autorizzazioni RBAC. L'account del servizio gateway necessita delle autorizzazioni per ottenere, creare e aggiornare gli oggetti Lease nel namespace del gateway. Verifica il ruolo e: RoleBinding

kubectl get role -n eks-hybrid-nodes-gateway
kubectl get rolebinding -n eks-hybrid-nodes-gateway

Il ruolo deve includere getcreate, e update verbi per la leases risorsa nel gruppo di coordination.k8s.io API.

Controlla i log dei pod per verificare la presenza di errori di leasing. Cerca gli errori relativi alle elezioni dei leader nei log del pod:

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD | grep -i "leader\|lease"

I problemi comuni includono:

Controlla i parametri di elezione dei leader. Verifica i valori configurati:

kubectl get deployment eks-hybrid-nodes-gateway -n eks-hybrid-nodes-gateway -o jsonpath='{.spec.template.spec.containers[0].args}'

Assicurarsi --leader-election-renew-deadline che sia inferiore a--leader-election-lease-duration. Se la scadenza per il rinnovo supera la durata del contratto di locazione, il leader perde il contratto di locazione prima che possa rinnovarlo. Per ulteriori informazioni, consulta Ottimizzazione delle elezioni dei leader.