Solução de problemas do gateway do Amazon EKS Hybrid Nodes

Verifique as entradas da tabela de rotas da VPC. Verifique se as rotas para os CIDRs dos pods híbridos existem e direcionam para a ENI primária da instância de gateway ativa:

aws ec2 describe-route-tables \
  --route-table-ids ROUTE_TABLE_ID \
  --query "RouteTables[].Routes[?DestinationCidrBlock=='[.replaceable]`POD_CIDR`']"

Se as rotas estiverem ausentes, verifique os logs do gateway em busca de erros na tabela de rotas. Se as rotas direcionarem para a ENI incorreta, é possível que um failover não tenha sido concluído com êxito.

Verifique o status do pod do gateway e a eleição de líder. Confirme se dois pods de gateway estão em execução e se um mantém o lease de líder:

kubectl get pods -n eks-hybrid-nodes-gateway
kubectl get lease -n eks-hybrid-nodes-gateway

Se nenhum pod detiver o lease, consulte Questões relacionadas à eleição de líder.

Verifique a configuração do Cilium VTEP nos nós híbridos. Confirme se o recurso CiliumVTEPConfig existe e contém o IP do nó líder:

kubectl get ciliumvtepconfig hybrid-gateway -o yaml

O spec.endpoints[0].tunnelEndpoint deve corresponder ao endereço IP do nó do gateway líder. Se o recurso estiver ausente ou com um IP desatualizado, o gateway pode não ter concluído a configuração do líder.

Verifique a verificação de origem e de destino. Confirme se a verificação de origem e de destino está desabilitada nas instâncias do EC2 do gateway:

aws ec2 describe-instance-attribute \
  --instance-id GATEWAY_INSTANCE_ID \
  --attribute sourceDestCheck

Se sourceDestCheck for true, desabilite-o. Consulte Comece a usar o gateway do EKS Hybrid Nodes.

Verifique se o ambiente de gerenciamento consegue acessar o IP do nó do gateway. O ambiente de gerenciamento envia tráfego para a tabela de rotas da VPC, que o encaminha para a ENI do gateway. Confirme se as entradas da tabela de rotas da VPC estão corretas seguindo as etapas apresentadas em Pods em nós híbridos inacessíveis por meio da VPC.

Verifique o recurso CiliumVTEPConfig. Confirme se o recurso existe e se o tunnelEndpoint corresponde ao IP do nó do líder atual:

kubectl get ciliumvtepconfig hybrid-gateway -o yaml

Se o endpoint do túnel estiver desatualizado (direcionar para um líder anterior), o gateway pode não ter concluído a sequência de configuração do líder. Verifique os logs do gateway em busca de erros durante a atualização ou inserção do CiliumVTEPConfig.

Verifique as permissões do IAM. O gateway requer as seguintes ações do IAM:

Verifique os IDs da tabela de rotas na configuração. Confirme se a variável de ambiente ROUTE_TABLE_IDS contém IDs de tabela de rotas válidos na implantação do gateway:

kubectl get deployment eks-hybrid-nodes-gateway -n eks-hybrid-nodes-gateway -o jsonpath='{.spec.template.spec.containers[0].env}' | jq .

Confirme se os IDs da tabela de rotas existem na VPC:

aws ec2 describe-route-tables --route-table-ids ROUTE_TABLE_ID
            

Verifique os logs do gateway em busca de erros na tabela de rotas. Procure mensagens de erro relacionadas às operações da tabela de rotas:

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD | grep -i "route table"

As mensagens de erro mais comuns incluem:

Verifique os logs do pod. Visualize os logs do pod com falha para identificar o erro:

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD
            

Verifique as variáveis de ambiente necessárias. O gateway requer NODE_IP, VPC_CIDR e POD_CIDRS. Se alguma estiver ausente, o gateway é encerrado imediatamente. Verifique a especificação do pod:

kubectl get pod -n eks-hybrid-nodes-gateway LEADER_POD -o jsonpath='{.spec.containers[0].env}' | jq .

Verifique o encaminhamento de IP. O gateway verifica se o encaminhamento de IP está habilitado na inicialização e é encerrado caso contrário. Procure a mensagem de erro IP forwarding is not enabled nos logs do pod. Habilite o encaminhamento de IP no nó:

# Check current setting
cat /proc/sys/net/ipv4/ip_forward

# Enable if not set
sudo sysctl -w net.ipv4.ip_forward=1

Para uma configuração persistente, configure o encaminhamento de IP por meio do kubelet ou adicione net.ipv4.ip_forward=1 ao /etc/sysctl.d/.

Verifique o rótulo do nó e as restrições de agendamento. Os pods do gateway requerem nós com o rótulo hybrid-gateway-node=true. A antiafinidade de pod garante que cada pod seja executado em um nó separado. Caso os pods estejam no estado Pending, verifique se há problemas de agendamento:

kubectl describe pod -n eks-hybrid-nodes-gateway LEADER_POD
            

Procure eventos que indiquem nós insuficientes, rótulos ausentes ou conflitos de antiafinidade.

Verifique o objeto Lease. Confirme se o Lease existe e inspecione seu detentor atual:

kubectl get lease -n eks-hybrid-nodes-gateway hybrid-gateway-leader -o yaml

O campo spec.holderIdentity apresenta o líder atual. O campo spec.renewTime, por sua vez, indica quando o lease foi renovado pela última vez. Caso renewTime esteja desatualizado, é possível que o líder tenha perdido a conectividade com o servidor de API.

Verifique as permissões do RBAC. A conta de serviço do gateway precisa de permissões para obter, criar e atualizar objetos Lease no namespace do gateway. Verifique o Role e o RoleBinding:

kubectl get role -n eks-hybrid-nodes-gateway
kubectl get rolebinding -n eks-hybrid-nodes-gateway

O Role deve incluir os verbos get, create e update para o recurso leases no grupo de API coordination.k8s.io.

Verifique os logs do pod em busca de erros de lease. Procure erros de eleição de líder nos logs do pod:

kubectl logs -n eks-hybrid-nodes-gateway LEADER_POD | grep -i "leader\|lease"

Os problemas comuns incluem:

Verifique os parâmetros de eleição de líder. Confirme os valores configurados:

kubectl get deployment eks-hybrid-nodes-gateway -n eks-hybrid-nodes-gateway -o jsonpath='{.spec.template.spec.containers[0].args}'

Certifique-se de que --leader-election-renew-deadline seja menor do que --leader-election-lease-duration. Caso o prazo de renovação ultrapasse a duração do lease, o líder perderá o lease antes de conseguir renová-lo. Para obter mais informações, consulte Ajuste de eleição de líder.