Container Service for Kubernetes:Service の問題のトラブルシューティング

CLB バックエンド間の負荷分散が不均一

原因：CLB のスケジューリングアルゴリズムがトラフィックパターンに適していません。

症状：バックエンドサーバー間でリクエストの分散が不均一です。

解決策：

• externalTrafficPolicy: Local の Service の場合は、service.beta.kubernetes.io/alibaba-cloud-loadbalancer-scheduler:"wrr" アノテーションを追加して、重み付けラウンドロビンスケジューリングを使用してください。

• 永続的な接続を使用する Service の場合は、service.beta.kubernetes.io/alibaba-cloud-loadbalancer-scheduler:"wlc" アノテーションを追加して、重み付け最小接続スケジューリングを使用してください。 これにより、1 つの長寿命接続がトラフィックを独占するのを防ぐことができます。

アプリケーション更新中の 503 エラー

原因：コネクションドレイニングまたは Pod のグレースフルターミネーションが設定されていません。 ローリングアップデート中に、CLB が終了中の Pod にトラフィックをルーティングする可能性があります。

症状：アプリケーションの更新中に CLB にアクセスすると 503 エラーが発生します。

解決策：

1. service.beta.kubernetes.io/alibaba-cloud-loadbalancer-connection-drain アノテーションを追加して、コネクションドレイニングを有効にしてください。 詳細については、「リスナーを管理するための一般的な操作」をご参照ください。

2. Pod で readinessProbe と preStop を設定してください。

   • readinessProbe：Pod は、このプローブに合格した後にのみ CLB バックエンドに参加するようになります。 アプリケーションの起動時間に合わせて、プローブの頻度、遅延、および失敗のしきい値を設定してください。 タイムアウトが短すぎると、Pod の再起動が繰り返されます。

   • preStop と terminationGracePeriodSeconds：preStop は、アプリケーションが処理中のリクエストをドレイニングするために必要な時間に設定してください。 terminationGracePeriodSeconds は、preStop よりも少なくとも 30 秒長く設定してください。

   apiVersion: v1
   kind: Pod
   metadata:
     name: nginx
     namespace: default
   spec:
     containers:
     - name: nginx
       image: nginx
       # Liveness プローブ
       livenessProbe:
         failureThreshold: 3
         initialDelaySeconds: 30
         periodSeconds: 30
         successThreshold: 1
         tcpSocket:
           port: 5084
         timeoutSeconds: 1
       # Readiness プローブ
       readinessProbe:
         failureThreshold: 3
         initialDelaySeconds: 30
         periodSeconds: 30
         successThreshold: 1
         tcpSocket:
           port: 5084
         timeoutSeconds: 1
       # グレースフルターミネーション
       lifecycle:
         preStop:
           exec:
             command:
             - sleep
             - 30
     terminationGracePeriodSeconds: 60

クラスター内から CLB にアクセスできない

原因：Service で externalTrafficPolicy: Local が設定されています。 kube-proxy は、リクエストの送信元と同じノード上の Pod にのみトラフィックを転送します。 ノードに Service のバックエンド Pod がない場合、接続は失敗します。 これは、CLB アドレスにルーティングされるクラスター内トラフィックに影響します。 詳細については、「kube-proxy が外部 LB アドレスをノードローカルの iptables ルールに追加する」をご参照ください。

症状：CLB はクラスターの外部からはアクセスできますが、内部からの接続は失敗します。

解決策：次のいずれかのアプローチを使用してください。

• ClusterIP またはサービス名経由のアクセス (クラスター内アクセスに推奨)：CLB アドレスの代わりに、Service の ClusterIP または DNS 名を使用してください。 Ingress の場合、サービス名は nginx-ingress-lb.kube-system です。

• externalTrafficPolicy: Cluster への切り替え：Pod の配置に関係なく、クラスター内トラフィックは Service に到達しますが、クライアントの送信元 IP は保持されません。 Ingress Service を変更するには、次のコマンドを実行してください。

  Ingress CLB を使用すると、Pod は Ingress Pod を実行しているノードからのみ Ingress/CLB で公開されているサービスにアクセスできます。

  kubectl edit svc nginx-ingress-lb -n kube-system

• ENI パススルーで externalTrafficPolicy: Cluster を使用する (Terway のみ)：クラスターが Terway を ENI または ENI ごとの複数の IP で使用している場合は、externalTrafficPolicy: Cluster を設定し、service.beta.kubernetes.io/backend-type: "eni" アノテーションを追加してください。 これにより、送信元 IP が保持され、クラスター内アクセスが可能になります。 詳細については、「アノテーションを使用したクラシックロードバランサー (CLB) インスタンスの設定」をご参照ください。

  apiVersion: v1
  kind: Service
  metadata:
    annotations:
      service.beta.kubernetes.io/backend-type: eni
    labels:
      app: nginx-ingress-lb
    name: nginx-ingress-lb
    namespace: kube-system
  spec:
    externalTrafficPolicy: Cluster

クラスター外から CLB にアクセスできない

原因：ACL がクライアント IP をブロックしているか、CLB VServer グループにバックエンドがないか、ヘルスチェックが失敗しています。

症状：クラスターの外部から CLB インスタンスに到達できません。

解決策：

1. Service のエラーイベントを確認し、解決してください。 詳細については、「Service のエラーイベントと解決策」をご参照ください。

   kubectl -n {your-namespace} describe svc {your-svc-name}

2. CLB インスタンスに ACL が設定されているかどうかを確認してください。 設定されている場合は、クライアント IP からのインバウンドトラフィックが許可されていることを確認してください。 詳細については、「Resource Access Management」をご参照ください。

3. CLB VServer グループが空かどうかを確認してください。 空の場合は、Pod が Service に関連付けられて実行中であることを確認してください。 異常な場合は、まず Pod の問題を解決してください。 詳細については、「Pod の問題のトラブルシューティング」をご参照ください。

4. CLB リスナーのヘルスチェックに合格するかどうかを確認してください。 失敗した場合は、Pod が正しく応答することを確認してください。 詳細については、「CLB ヘルスチェックのよくある質問」をご参照ください。

バックエンドの HTTPS サービスに接続できない

原因：CLB リスナーに証明書がある場合、CLB は TLS を終端し、HTTP をバックエンドに転送します。 targetPort が HTTPS ポート (例：443) を指している場合、Pod は "The plain HTTP request was sent to HTTPS port" というメッセージで平文リクエストを拒否します。

症状：CLB リスナーで HTTPS を設定した後、バックエンド接続が失敗します。

解決策：targetPort を Pod の HTTP ポートに設定してください。 たとえば、Nginx が 443 で HTTPS を提供している場合は、targetPort を 80 に設定してください。

apiVersion: v1
kind: Service
metadata:
  annotations:
    service.beta.kubernetes.io/alibaba-cloud-loadbalancer-protocol-port: "https:443"
    service.beta.kubernetes.io/alibaba-cloud-loadbalancer-cert-id: "${YOUR_CERT_ID}"
  name: nginx
  namespace: default
spec:
  ports:
  - name: http
    port: 80
    protocol: TCP
    targetPort: 80
  - name: https
    port: 443
    protocol: TCP
    targetPort: 80
  selector:
    run: nginx
  type: LoadBalancer