Amazon EKS Hybrid Nodes 게이트웨이 문제 해결

VPC 라우팅 테이블 항목을 확인하세요. 하이브리드 포드 CIDR에 대한 경로가 있으며, 활성 게이트웨이 인스턴스의 프라이머리 ENI를 가리키는지 확인하세요.

aws ec2 describe-route-tables \
  --route-table-ids ROUTE_TABLE_ID \
  --query "RouteTables[].Routes[?DestinationCidrBlock=='[.replaceable]`POD_CIDR`']"

경로가 누락된 경우 게이트웨이 로그에서 라우팅 테이블 오류가 있는지 확인하세요. 경로가 잘못된 ENI를 가리키는 경우 장애 조치가 성공적으로 완료되지 않았을 수 있습니다.

게이트웨이 포드 상태 및 리더 선정을 확인하세요. 두 게이트웨이 포드가 실행 중이고 한 게이트웨이 포드가 리더 리스를 보유하는지 확인하세요.

kubectl get pods -n eks-hybrid-nodes-gateway
kubectl get lease -n eks-hybrid-nodes-gateway

리스를 보유한 포드가 없는 경우 리더 선정 관련 문제 섹션을 참조하세요.

하이브리드 노드에서 Cilium VTEP 구성을 확인하세요. CiliumVTEPConfig 리소스가 있고, 리더의 노드 IP가 포함되어 있는지 확인하세요.

kubectl get ciliumvtepconfig hybrid-gateway -o yaml

spec.endpoints[0].tunnelEndpoint는 리더 게이트웨이 노드의 IP 주소와 일치해야 합니다. 리소스가 누락되었거나 오래된 IP를 보유하는 경우 게이트웨이에서 리더 설정이 완료되지 않았을 수 있습니다.

소스/대상 확인을 확인하세요. 게이트웨이 EC2 인스턴스에서 소스/대상 확인이 비활성화되어 있는지 확인하세요.

aws ec2 describe-instance-attribute \
  --instance-id GATEWAY_INSTANCE_ID \
  --attribute sourceDestCheck

sourceDestCheck가 true이면 비활성화하세요. EKS Hybrid Nodes 게이트웨이 시작하기을(를) 참조하세요.

컨트롤 플레인이 게이트웨이 노드 IP에 도달할 수 있는지 확인하세요. 컨트롤 플레인은 트래픽을 VPC 라우팅 테이블로 전송하고, 여기서 이를 게이트웨이의 ENI로 전달합니다. VPC에서 도달할 수 없는 하이브리드 노드의 포드의 단계를 사용하여 VPC 라우팅 테이블 항목이 올바른지 확인하세요.

CiliumVTEPConfig 리소스를 확인하세요. 리소스가 존재하고 tunnelEndpoint가 현재 리더의 노드 IP와 일치하는지 확인하세요.

kubectl get ciliumvtepconfig hybrid-gateway -o yaml

터널 엔드포인트가 오래된 경우(이전 리더를 가리킴) 게이트웨이에서 리더 설정 시퀀스를 완료하지 않았을 수 있습니다. CiliumVTEPConfig 업서트 중에 게이트웨이 로그에 오류가 있는지 확인하세요.

IAM 권한을 확인하세요. 게이트웨이에는 다음 IAM 작업이 필요합니다.

구성에서 라우팅 테이블 ID를 확인하세요. 게이트웨이 배포에서 ROUTE_TABLE_IDS 환경 변수에 유효한 라우팅 테이블 ID가 포함되어 있는지 확인하세요.

kubectl get deployment eks-hybrid-nodes-gateway -n eks-hybrid-nodes-gateway -o jsonpath='{.spec.template.spec.containers[0].env}' | jq .

VPC에 라우팅 테이블 ID가 있는지 확인하세요.

aws ec2 describe-route-tables --route-table-ids ROUTE_TABLE_ID
            

게이트웨이 로그에서 라우팅 테이블 오류를 확인하세요. 라우팅 테이블 작업과 관련된 오류 메시지를 찾아보세요.

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD | grep -i "route table"

일반적인 오류 메시지로 다음이 포함됩니다.

포드 로그를 확인하세요. 장애가 발생한 포드의 로그를 보고 오류를 식별하세요.

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD
            

필수 환경 변수를 확인하세요. 게이트웨이에 NODE_IP, VPC_CIDR 및 POD_CIDRS가 필요합니다. 누락된 항목이 있으면 게이트웨이가 즉시 종료됩니다. 포드 사양을 확인하세요.

kubectl get pod -n eks-hybrid-nodes-gateway LEADER_POD -o jsonpath='{.spec.containers[0].env}' | jq .

IP 전달을 확인하세요. 게이트웨이는 시작 시 IP 전달이 활성화되었는지 확인하고 활성화되지 않은 경우 종료됩니다. 포드 로그에서 오류 메시지 IP forwarding is not enabled를 찾아보세요. 노드에서 IP 전달을 활성화하세요.

# Check current setting
cat /proc/sys/net/ipv4/ip_forward

# Enable if not set
sudo sysctl -w net.ipv4.ip_forward=1

영구 설정의 경우 kubelet을 통해 IP 전달을 구성하거나 net.ipv4.ip_forward=1을 /etc/sysctl.d/에 추가하세요.

노드 레이블 및 예약 제약 조건을 확인하세요. 게이트웨이 포드에는 hybrid-gateway-node=true 레이블이 있는 노드가 필요합니다. 포드 비선호도는 각 포드가 별도의 노드에서 실행되도록 보장합니다. 포드가 Pending인 경우 예약 문제가 있는지 확인하세요.

kubectl describe pod -n eks-hybrid-nodes-gateway LEADER_POD
            

노드 부족, 레이블 누락 또는 비선호도 충돌을 나타내는 이벤트가 있는지 찾아보세요.

리스 객체를 확인하세요. 리스가 존재하는지 확인하고 현재 보유자를 검사하세요.

kubectl get lease -n eks-hybrid-nodes-gateway hybrid-gateway-leader -o yaml

spec.holderIdentity 필드는 현재 리더를 표시합니다. spec.renewTime은 리스가 마지막으로 갱신된 시점을 보여줍니다. renewTime이 오래된 경우 리더에서 API 서버에 대한 연결이 끊어졌을 수 있습니다.

RBAC 권한을 확인하세요. 게이트웨이 서비스 계정에는 게이트웨이 네임스페이스에서 리스 객체를 가져오고 생성하며 업데이트하기 위한 권한이 필요합니다. 역할 및 RoleBinding을 확인하세요.

kubectl get role -n eks-hybrid-nodes-gateway
kubectl get rolebinding -n eks-hybrid-nodes-gateway

역할에는 coordination.k8s.io API 그룹의 leases 리소스에 대한 get, create 및 update 동사가 포함되어야 합니다.

포드 로그에서 리스 오류를 확인하세요. 포드 로그에서 리더 선정 오류를 찾아보세요.

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD | grep -i "leader\|lease"

일반적인 문제:

리더 선정 파라미터를 확인하세요. 구성된 값을 확인하세요.

kubectl get deployment eks-hybrid-nodes-gateway -n eks-hybrid-nodes-gateway -o jsonpath='{.spec.template.spec.containers[0].args}'

--leader-election-renew-deadline이 --leader-election-lease-duration보다 작아야 합니다. 갱신 기한이 리스 기간을 초과하는 경우 리더는 갱신하기 전에 리스를 잃습니다. 자세한 내용은 리더 선정 조정 섹션을 참조하세요.