Container Service for Kubernetes:Troubleshoot service issues

Distribuição desigual de carga entre back-ends do CLB

Causa: O algoritmo de agendamento do CLB não é adequado ao padrão de tráfego.

Sintoma: Distribuição desigual de requisições entre os servidores de back-end.

Solução:

• Para services com externalTrafficPolicy: Local, adicione a anotação service.beta.kubernetes.io/alibaba-cloud-loadbalancer-scheduler:"wrr" para usar o agendamento weighted round-robin.

• Para services que utilizam conexões persistentes, adicione a anotação service.beta.kubernetes.io/alibaba-cloud-loadbalancer-scheduler:"wlc" para aplicar o agendamento weighted least connections. Isso evita que uma única conexão de longa duração monopolize o tráfego.

Erro 503 durante atualizações da aplicação

Causa: O draining de conexões ou o encerramento graceful do pod não estão configurados. Durante atualizações rolling, o CLB pode rotear tráfego para pods em fase de encerramento.

Sintoma: Erro 503 ao acessar o CLB durante uma atualização da aplicação.

Solução:

1. Adicione a anotação service.beta.kubernetes.io/alibaba-cloud-loadbalancer-connection-drain para ativar o draining de conexões. Consulte Common operations to manage listeners.

2. Configure readinessProbe e preStop no pod:

   • readinessProbe : Os pods entram nos back-ends do CLB somente após passarem na sondagem. Configure a frequência, o atraso e o limiar de falha da sondagem para corresponder ao tempo de inicialização da sua aplicação. Timeouts muito curtos causam reinícios repetidos do pod.

   • preStop e terminationGracePeriodSeconds : Defina preStop como o tempo necessário para sua aplicação drenar as requisições em andamento. Configure terminationGracePeriodSeconds para pelo menos 30 segundos a mais que o preStop.

   apiVersion: v1
   kind: Pod
   metadata:
     name: nginx
     namespace: default
   spec:
     containers:
     - name: nginx
       image: nginx
       # Liveness probe
       livenessProbe:
         failureThreshold: 3
         initialDelaySeconds: 30
         periodSeconds: 30
         successThreshold: 1
         tcpSocket:
           port: 5084
         timeoutSeconds: 1
       # Readiness probe
       readinessProbe:
         failureThreshold: 3
         initialDelaySeconds: 30
         periodSeconds: 30
         successThreshold: 1
         tcpSocket:
           port: 5084
         timeoutSeconds: 1
       # Graceful termination
       lifecycle:
         preStop:
           exec:
             command:
             - sleep
             - 30
     terminationGracePeriodSeconds: 60

CLB inacessível de dentro do cluster

Causa: A opção externalTrafficPolicy: Local está definida no service. O kube-proxy encaminha o tráfego apenas para pods no mesmo nó de origem da requisição. Se o nó não tiver um pod de back-end para o service, a conexão falhará. Isso afeta o tráfego interno do cluster roteado para o endereço do CLB. Consulte kube-proxy adds external-lb address to node-local iptables rule.

Sintoma: O CLB é acessível externamente ao cluster, mas as conexões falham quando originadas internamente.

Solução: Utilize uma das abordagens a seguir:

• Acesso via ClusterIP ou nome do service (recomendado para acesso interno): Use o ClusterIP ou o nome DNS do service em vez do endereço do CLB. Para Ingress, o nome do service é nginx-ingress-lb.kube-system.

• Alterne para externalTrafficPolicy: Cluster: O tráfego interno alcança o service independentemente da localização do pod, porém o IP de origem do cliente não é preservado. Para modificar o service de Ingress:

  Com um CLB de Ingress, os pods só conseguem acessar services expostos via Ingress/CLB a partir do nó onde o pod do Ingress está em execução.

  kubectl edit svc nginx-ingress-lb -n kube-system

• Use externalTrafficPolicy: Cluster com passagem direta de ENI (apenas Terway): Se o seu cluster utiliza Terway com ENIs ou múltiplos IPs por ENI, defina externalTrafficPolicy: Cluster e adicione a anotação service.beta.kubernetes.io/backend-type: "eni". Essa configuração preserva o IP de origem e permite o acesso interno. Consulte Use annotations to configure a Classic Load Balancer (CLB) instance.

  apiVersion: v1
  kind: Service
  metadata:
    annotations:
      service.beta.kubernetes.io/backend-type: eni
    labels:
      app: nginx-ingress-lb
    name: nginx-ingress-lb
    namespace: kube-system
  spec:
    externalTrafficPolicy: Cluster

CLB inacessível de fora do cluster

Causa: Uma ACL bloqueia o IP do cliente, o grupo vServer do CLB não possui back-ends ou a verificação de integridade (health check) está falhando.

Sintoma: Não é possível acessar a instância de CLB externamente ao cluster.

Solução:

1. Verifique se existem eventos de erro no service e resolva-os. Consulte Service error events and solutions.

   kubectl -n {your-namespace} describe svc {your-svc-name}

2. Verifique se há alguma ACL configurada na instância de CLB. Em caso afirmativo, confirme se ela permite tráfego de entrada proveniente do IP do cliente. Consulte Resource Access Management.

3. Confira se o grupo vServer do CLB está vazio. Se estiver, verifique se existe um pod associado ao service e em execução. Caso o pod não esteja íntegro, resolva o problema do pod primeiro. Consulte Troubleshoot pod issues.

4. Verifique se a verificação de integridade do listener do CLB está passando. Em caso de falha, confirme se o pod responde corretamente. Consulte CLB health check FAQ.

Impossível conectar ao service HTTPS de back-end

Causa: Quando há um certificado no listener do CLB, o CLB termina a conexão TLS e encaminha HTTP para os back-ends. Se targetPort apontar para uma porta HTTPS (por exemplo, 443), o pod rejeitará a requisição em texto puro com a mensagem "The plain HTTP request was sent to HTTPS port".

Sintoma: Falhas na conexão com o back-end após configurar HTTPS no listener do CLB.

Solução: Defina targetPort para a porta HTTP do pod. Por exemplo, se o Nginx serve HTTPS na porta 443, configure targetPort como 80.

apiVersion: v1
kind: Service
metadata:
  annotations:
    service.beta.kubernetes.io/alibaba-cloud-loadbalancer-protocol-port: "https:443"
    service.beta.kubernetes.io/alibaba-cloud-loadbalancer-cert-id: "${YOUR_CERT_ID}"
  name: nginx
  namespace: default
spec:
  ports:
  - name: http
    port: 80
    protocol: TCP
    targetPort: 80
  - name: https
    port: 443
    protocol: TCP
    targetPort: 80
  selector:
    run: nginx
  type: LoadBalancer