全部产品
Search
文档中心

服务网格 ASM:如何解决Kubernetes集群中的Pod无法访问入口网关的CLB地址的问题?

更新时间:Oct 30, 2023

本文介绍如何解决数据面Kubernetes集群中的Pod无法访问入口网关的CLB地址的问题。

问题现象

服务网格ASM已添加Kubernetes集群,并且使用Local类型的负载均衡CLB部署入口网关。当应用Pod访问入口网关暴露的CLB地址时,出现以下问题:

  • 部分节点上的Pod能访问入口网关暴露的CLB地址。

  • 部分节点上的Pod不能访问入口网关暴露的CLB地址。

问题原因

如果Kubernetes集群的服务配置了externalTrafficPolicy: Local,则只有部署了服务的后端Pod才能访问CLB地址。因为CLB地址是集群外使用,如果集群节点和Pod不能直接访问CLB地址,请求不会路由到负载均衡,而是被当作服务的扩展IP地址,被kube-proxy的iptables或IPVS转发。

如果集群节点或者Pod所在的节点上没有相应的后端服务Pod,就会发生网络不通的问题。而如果有相应的后端服务Pod,则可以正常访问CLB地址。更多信息,请参见iptables规则

解决方案

  • 您可以在Kubernetes集群内通过ClusterIP或者服务名访问CLB地址。其中入口网关的服务名为istio-ingressgateway.istio-system。

    说明

    推荐使用该方法。

  • 如果您不需要源IP,您可以使用以下方法。

    将入口网关服务中的externalTrafficPolicy修改为Cluster,但是在应用中会丢失源IP。关于修改入口网关的更多信息,请参见ASM网关CRD说明

    apiVersion: istio.alibabacloud.com/v1beta1
    kind: IstioGateway
    metadata:
      name: ingressgateway
      namespace: istio-system
      ....
    spec:
      externalTrafficPolicy: Cluster
    ....
  • 如果您使用的是Terway的ENI或者ENI多IP集群,您可以使用以下方法。该方法不会丢失源IP,也支持在集群内访问CLB地址。

    将入口网关服务中的externalTrafficPolicy修改为Cluster,并且添加ENI直通的Annotation,例如serviceAnnotations: service.beta.kubernetes.io/backend-type: eni。关于修改入口网关的更多信息,请参见ASM网关CRD说明

    apiVersion: istio.alibabacloud.com/v1beta1
    kind: IstioGateway
    metadata:
      name: ingressgateway
      namespace: istio-system
      ....
    spec:
      externalTrafficPolicy: Cluster
      maxReplicas: 5
      minReplicas: 2
      ports:
        - name: status-port
          port: 15020
          targetPort: 15020
        - name: http2
          port: 80
          targetPort: 80
        - name: https
          port: 443
          targetPort: 443
        - name: tls
          port: 15443
          targetPort: 15443
      replicaCount: 2
      resources:
        limits:
          cpu: '2'
          memory: 2G
        requests:
          cpu: 200m
          memory: 256Mi
      runAsRoot: false
      serviceAnnotations:
        service.beta.kubernetes.io/backend-type: eni
      serviceType: LoadBalancer