Container Service for Kubernetes:Troubleshoot service issues

Distribuição desigual de carga entre back-ends do CLB

Causa: O algoritmo de agendamento do CLB não é adequado ao padrão de tráfego.

Sintoma: Distribuição desigual de requisições entre os servidores de back-end.

Solução:

• Para serviços com externalTrafficPolicy: Local, adicione a anotação service.beta.kubernetes.io/alibaba-cloud-loadbalancer-scheduler:"wrr" para usar agendamento round-robin ponderado.

• Para serviços que utilizam conexões persistentes, adicione a anotação service.beta.kubernetes.io/alibaba-cloud-loadbalancer-scheduler:"wlc" para agendamento por menor número de conexões ponderado. Isso evita que uma única conexão de longa duração monopolize o tráfego.

Erro 503 durante atualizações de aplicação

Causa: A drenagem de conexões ou o encerramento gracioso de pods não estão configurados. Durante atualizações contínuas (rolling updates), o CLB pode rotear tráfego para pods em fase de encerramento.

Sintoma: Erro 503 ao acessar o CLB durante uma atualização de aplicação.

Solução:

1. Adicione a anotação service.beta.kubernetes.io/alibaba-cloud-loadbalancer-connection-drain para ativar a drenagem de conexões. Consulte Operações comuns para gerenciar listeners.

2. Configure readinessProbe e preStop no pod:

   • readinessProbe : Os pods entram nos back-ends do CLB somente após passarem na sonda. Defina a frequência, o atraso e o limiar de falha da sonda para corresponder ao tempo de inicialização da sua aplicação. Timeouts muito curtos causam reinícios repetidos dos pods.

   • preStop e terminationGracePeriodSeconds : Defina preStop para o tempo necessário para sua aplicação drenar as requisições em andamento. Configure terminationGracePeriodSeconds para pelo menos 30 segundos a mais que o preStop.

   apiVersion: v1
   kind: Pod
   metadata:
     name: nginx
     namespace: default
   spec:
     containers:
     - name: nginx
       image: nginx
       # Liveness probe
       livenessProbe:
         failureThreshold: 3
         initialDelaySeconds: 30
         periodSeconds: 30
         successThreshold: 1
         tcpSocket:
           port: 5084
         timeoutSeconds: 1
       # Readiness probe
       readinessProbe:
         failureThreshold: 3
         initialDelaySeconds: 30
         periodSeconds: 30
         successThreshold: 1
         tcpSocket:
           port: 5084
         timeoutSeconds: 1
       # Graceful termination
       lifecycle:
         preStop:
           exec:
             command:
             - sleep
             - 30
     terminationGracePeriodSeconds: 60

CLB inacessível de dentro do cluster

Causa: A opção externalTrafficPolicy: Local está definida no serviço. O kube-proxy encaminha tráfego apenas para pods no mesmo nó de origem da requisição. Se o nó não tiver um pod de back-end para o serviço, a conexão falhará. Isso afeta o tráfego interno do cluster roteado para o endereço do CLB. Consulte kube-proxy adds external-lb address to node-local iptables rule.

Sintoma: O CLB é acessível de fora do cluster, mas as conexões falham quando originadas internamente.

Solução: Utilize uma das seguintes abordagens:

• Acesso via ClusterIP ou nome do serviço (recomendado para acesso interno): Use o ClusterIP ou o nome DNS do serviço em vez do endereço do CLB. Para Ingress, o nome do serviço é nginx-ingress-lb.kube-system.

• Alterne para externalTrafficPolicy: Cluster: O tráfego interno alcança o serviço independentemente da localização do pod, mas o IP de origem do cliente não é preservado. Para modificar o serviço de Ingress:

  Com um CLB de Ingress, os pods só conseguem acessar serviços expostos via Ingress/CLB a partir do nó onde o pod do Ingress está em execução.

  kubectl edit svc nginx-ingress-lb -n kube-system

• Use externalTrafficPolicy: Cluster com passagem direta de ENI (apenas Terway): Se seu cluster usa Terway com ENIs ou múltiplos IPs por ENI, defina externalTrafficPolicy: Cluster e adicione a anotação service.beta.kubernetes.io/backend-type: "eni". Isso preserva o IP de origem e permite o acesso interno. Consulte Usar anotações para configurar uma instância de Classic Load Balancer (CLB).

  apiVersion: v1
  kind: Service
  metadata:
    annotations:
      service.beta.kubernetes.io/backend-type: eni
    labels:
      app: nginx-ingress-lb
    name: nginx-ingress-lb
    namespace: kube-system
  spec:
    externalTrafficPolicy: Cluster

CLB inacessível de fora do cluster

Causa: Uma ACL bloqueia o IP do cliente, o grupo vServer do CLB não possui back-ends ou a verificação de integridade está falhando.

Sintoma: A instância de CLB não pode ser acessada de fora do cluster.

Solução:

1. Verifique se há eventos de erro no serviço e resolva-os. Consulte Eventos de erro de serviço e soluções.

   kubectl -n {your-namespace} describe svc {your-svc-name}

2. Verifique se existe alguma ACL configurada na instância de CLB. Em caso afirmativo, confirme se ela permite tráfego de entrada do IP do cliente. Consulte Resource Access Management.

3. Verifique se o grupo vServer do CLB está vazio. Se estiver, confirme se há um pod associado ao serviço e em execução. Caso o pod esteja com falha, resolva primeiro o problema do pod. Consulte Solucionar problemas de pods.

4. Verifique se a verificação de integridade do listener do CLB está passando. Se estiver falhando, confirme se o pod responde corretamente. Consulte FAQ de verificação de integridade do CLB.

Impossível conectar ao serviço HTTPS de back-end

Causa: Com um certificado no listener do CLB, o CLB termina a conexão TLS e encaminha HTTP para os back-ends. Se targetPort apontar para uma porta HTTPS (por exemplo, 443), o pod rejeitará a requisição em texto simples com a mensagem "The plain HTTP request was sent to HTTPS port".

Sintoma: Falha nas conexões de back-end após configurar HTTPS no listener do CLB.

Solução: Defina targetPort para a porta HTTP do pod. Por exemplo, se o Nginx serve HTTPS na porta 443, defina targetPort como 80.

apiVersion: v1
kind: Service
metadata:
  annotations:
    service.beta.kubernetes.io/alibaba-cloud-loadbalancer-protocol-port: "https:443"
    service.beta.kubernetes.io/alibaba-cloud-loadbalancer-cert-id: "${YOUR_CERT_ID}"
  name: nginx
  namespace: default
spec:
  ports:
  - name: http
    port: 80
    protocol: TCP
    targetPort: 80
  - name: https
    port: 443
    protocol: TCP
    targetPort: 80
  selector:
    run: nginx
  type: LoadBalancer