Container Service for Kubernetes:Ingress diagnostics

Elemento de diagnóstico

Qué verifica

Cómo corregirlo

Verificación de Ingress

Si existe el Ingress especificado.

Compruebe que exista una regla de Ingress para la URL. Verifique si la ruta usa una expresión regular y si la anotación use-regex está configurada correctamente.

Verificación de base-url-scheme

Si está presente la anotación obsoleta nginx.ingress.kubernetes.io/base-url-scheme. Esta anotación quedó obsoleta en Ingress Controller 0.22.0.

Revise la versión de su controlador de Ingress. Elimine la anotación o reemplácela por una alternativa compatible.

Verificación de grpc-backend

Si está presente la anotación obsoleta nginx.ingress.kubernetes.io/grpc-backend. Quedó obsoleta en Ingress Controller 0.21.0.

Revise la versión de su controlador de Ingress. Elimine la anotación o reemplácela por una alternativa compatible.

Verificación de mirror-uri

Si está presente la anotación obsoleta nginx.ingress.kubernetes.io/mirror-uri. Quedó obsoleta en Ingress Controller 0.24.0.

Revise la versión de su controlador de Ingress. Elimine la anotación o reemplácela por una alternativa compatible.

Verificación de secure-backends

Si está presente la anotación obsoleta nginx.ingress.kubernetes.io/secure-backends. Quedó obsoleta en Ingress Controller 0.21.0.

Revise la versión de su controlador de Ingress. Elimine la anotación o reemplácela por una alternativa compatible.

Verificación de session-cookie-hash

Si está presente la anotación obsoleta nginx.ingress.kubernetes.io/session-cookie-hash. Quedó obsoleta en Ingress Controller 0.24.0.

Revise la versión de su controlador de Ingress. Elimine la anotación o reemplácela por una alternativa compatible.

Verificación de nginx.com/nginx.org

Si el Ingress utiliza anotaciones que comienzan con nginx.com o nginx.org. Estas anotaciones corresponden al controlador NGINX Ingress comercial y no son reconocidas por la versión de código abierto.

Cambie a anotaciones compatibles con el controlador NGINX Ingress de código abierto. Consulte Gestión de NGINX Ingress o NGINX Ingress Controller documentation.

Estado de canary

Si se ha establecido nginx.ingress.kubernetes.io/canary: "true". Sin esta anotación, las reglas de enrutamiento canary no surten efecto.

Agregue la anotación al Ingress: nginx.ingress.kubernetes.io/canary: "true".

Elemento de diagnóstico

Qué verifica

Cómo corregirlo

Porcentaje de preparación de pods de Ingress

El porcentaje de pods de Ingress en estado Ready respecto a las réplicas definidas en el Deployment. Un valor inferior al 100% indica que algunos pods no pudieron iniciarse o fallaron en su verificación de estado.

Revise los registros de errores de los pods para identificar cuáles están fallando y solucione el problema subyacente. Consulte NGINX Ingress controller troubleshooting.

Verificación de dirección IP de Ingress

Si el controlador de Ingress asignó una dirección IP al Ingress.

Si no hay una dirección IP asignada, compruebe que se haga referencia a la IngressClass correcta y que el controlador de Ingress se esté ejecutando con normalidad.

Verificación de pod líder

Si se eligió un pod líder. La ausencia de un pod líder significa que el controlador no procesa reglas de Ingress; esto puede ocurrir si el tiempo de inicio del pod es demasiado corto o si los permisos del controlador de Ingress no están configurados adecuadamente.

Revise los registros de errores de los pods de Ingress y corrija cualquier error que aparezca. Consulte NGINX Ingress controller troubleshooting.

Anotaciones de NGINX Ingress

Si se utilizan anotaciones que comienzan con nginx.com o nginx.org. El controlador NGINX Ingress de código abierto solo reconoce anotaciones nginx.ingress.kubernetes.io. Las anotaciones no reconocidas se ignoran silenciosamente, por lo que es posible que las configuraciones no surtan efecto.

Reemplace las anotaciones nginx.com/nginx.org por sus equivalentes nginx.ingress.kubernetes.io. Consulte la Referencia de anotaciones.

rewrite-target y grupos de captura

Si se usa rewrite-target con grupos de captura. En Ingress Controller 0.22.0 y versiones posteriores, los grupos de captura deben definirse explícitamente al usar rewrite-target; omitirlos provoca errores en el reenvío de tráfico.

Actualice su Ingress para usar grupos de captura con rewrite-target. Consulte Advanced NGINX Ingress configurations. Ejemplo: establezca nginx.ingress.kubernetes.io/rewrite-target: /$1 con una ruta como /api/(.*).

Recuento de servicios canary

Si service-match o service-weight especifican más de dos Services. Estas anotaciones admiten la división de tráfico entre exactamente dos Services. Los Services adicionales se ignoran silenciosamente.

Reduzca a dos el número de Services en service-match o service-weight. Consulte NGINX Ingress canary releases and blue-green deployments.

Nombre de Ingress

Los nombres de las reglas de Ingress coincidentes.

Solo informativo. No se requiere ninguna acción.

Registros de errores de pods

Si los pods del controlador de Ingress generan registros de errores. Estos registros indican que es posible que el controlador no esté procesando las reglas correctamente.

Identifique la causa del error en los registros y corríjala. Consulte NGINX Ingress controller troubleshooting.

Grupos de captura de ruta de rewrite-target

Si las rutas que usan nginx.ingress.kubernetes.io/rewrite-target definen los grupos de captura necesarios. En Ingress Controller 0.22.0 y versiones posteriores, la falta de grupos de captura provoca errores de enrutamiento de ruta.

Agregue grupos de captura a las rutas afectadas. Consulte Configure routing rules to redirect traffic from specific URLs.

Múltiples destinos en service-*

Si service-match o service-weight especifican más de dos Services.

Configure exactamente dos Services en service-weight o service-match. Consulte NGINX Ingress canary releases and blue-green deployments.

Verificación de Service de Ingress

Si existe el Service al que se hace referencia en los parámetros de inicio del controlador de Ingress. La ausencia de un Service impide que el controlador se inicie.

Busque el nombre del Service eliminado en los parámetros de inicio del Deployment y restablézcalo. Consulte High-risk operations related to networks and SLB instances.

Verificación de endpoint de Service de Ingress

Si el Service asociado al Ingress tiene al menos un endpoint. Sin un endpoint, la instancia de SLB no puede enrutar tráfico hacia el controlador de Ingress.

Compruebe que el selector de etiquetas del Service coincida con las etiquetas de los pods del controlador de Ingress.

Eventos de Service de Ingress

Si el Service asociado al Ingress tiene eventos de advertencia (Warning) o error (Error). Por lo general, estos indican errores de configuración de SLB.

Revise los eventos del Service para identificar la causa raíz y solucione el problema. Consulte Service errors and solutions.

Directiva de tráfico externo de Service de Ingress

La directiva de tráfico externo para el Service de Ingress. El valor predeterminado es Local. En el modo Cluster, las direcciones IP de los clientes no se conservan, lo que puede provocar resultados inexactos en las verificaciones de estado.

Mantenga la directiva como Local a menos que su carga de trabajo requiera el modo Cluster o necesite acceder al controlador de Ingress desde dentro del clúster mediante su dirección IP de SLB.

Dirección IP externa de Service de Ingress

Si el administrador de controladores de nube asignó una dirección IP externa al Service de Ingress. Sin una dirección IP, no es posible acceder al Ingress desde Internet.

Compruebe el estado del Service, el estado del administrador de controladores de nube y las cuotas de SLB. La mayoría de los problemas se manifiestan como eventos del Service.

Tipo de Service de Ingress

Si el Service referenciado en los parámetros de inicio del controlador de Ingress es de tipo LoadBalancer. Un tipo de Service distinto de LoadBalancer hace que el controlador de Ingress sea inaccesible desde Internet.

Cambie el tipo de Service a LoadBalancer si se requiere acceso externo. Esta verificación no aplica si su configuración utiliza intencionalmente un tipo de Service diferente.

Verificación de --force-namespace-isolation

Si se utiliza el parámetro de inicio obsoleto --force-namespace-isolation. Este parámetro quedó obsoleto en Ingress Controller 0.24.0.

Revise la versión de su controlador de Ingress y elimine el parámetro de inicio del Deployment.

Verificación de --sort-backends

Si se utiliza el parámetro de inicio obsoleto --sort-backends. Este parámetro quedó obsoleto en Ingress Controller 0.22.0.

Revise la versión de su controlador de Ingress y elimine el parámetro de inicio del Deployment.

Elemento de diagnóstico

Qué verifica

Cómo corregirlo

Instancia de SLB

Si existe la instancia de SLB utilizada por el controlador de Ingress.

Compruebe si el Service del controlador de Ingress tiene eventos anómalos y si la instancia de SLB aparece en la consola de SLB. Si la instancia se eliminó accidentalmente, vuelva a crear el Service. Consulte What do I do if I accidentally delete an SLB instance?

Estado de servidores backend de SLB

Si todos los servidores backend de la instancia de SLB están en buen estado.

Si los servidores backend no están en buen estado, busque eventos anómalos en el Service del controlador de Ingress y verifique que los pods del controlador no estén sobrecargados. Consulte NGINX Ingress controller troubleshooting.

ID de SLB

El ID de la instancia de SLB.

Solo informativo. No se requiere ninguna acción.

Recuento de conexiones de SLB

Si el número de conexiones activas en la instancia de SLB superó el 80% de su límite durante los últimos tres días. Al alcanzar el límite, se bloquean las nuevas conexiones de clientes.

Actualice la instancia de SLB a una especificación superior. Consulte Use an existing SLB instance.

Tasa de nuevas conexiones de SLB

Si la tasa de nuevas conexiones en la instancia de SLB superó el 80% de su límite durante los últimos tres días. Al alcanzar el límite, se impide que los clientes establezcan nuevas conexiones durante un periodo de tiempo.

Actualice la instancia de SLB a una especificación superior. Consulte Use an existing SLB instance.

QPS de SLB

Si las consultas por segundo (QPS) en la instancia de SLB superaron el 80% de su límite durante los últimos tres días. Al alcanzar el límite de QPS, se bloquean las conexiones de los clientes.

Actualice la instancia de SLB a una especificación superior. Consulte Use an existing SLB instance.

Host TLS y SecretName

Si los campos host y secretName están configurados para la configuración TLS. Ambos son obligatorios; omitir cualquiera de ellos interrumpe la terminación TLS.

Establezca tanto host como secretName en la sección TLS del Ingress, y asegúrese de que el host coincida con el del certificado.

Estado de verificación de salud de SLB

Si la instancia de SLB tuvo verificaciones de salud fallidas en los últimos tres días. Los fallos indican que los pods del controlador podrían estar sobrecargados o que existen errores en la configuración de SLB.

Busque eventos anómalos en el Service del controlador de Ingress y verifique que los pods no estén sobrecargados. Consulte NGINX Ingress controller troubleshooting.