启用网络策略时Kubernetes健康检查失败

Question

这是我在描述吊舱时看到的：

警告不健康115s(x7超过2M55s)kubelet，准备探测失败：获取http://10.202.158.105:80/health/ready：拨号tcp 10.202.158.105:80/health/ready：连接：拒绝连接警告不健康115s(x7超过2M55s)kubelet，活跃探测失败：获取http://10.202.158.105:80/health/live：拨号tcp 10.202.158.105:80:connect：拒绝连接

如果禁用策略，健康检查将立即恢复运行。如果pod在应用网络策略之前已经健康，它将继续工作。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-ingress-all
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  ingress:
  - from:
    - namespaceSelector: {}
    ports:
    - protocol: TCP
      port: 80
    - protocol: TCP
      port: 8080

我很难找到任何关于如何解决这个问题的指导。是否需要启用出口策略来允许库贝莱特监控吊舱的健康检查？

该吊舱运行在Azure Kubernetes服务中，使用Calico网络。

Answer 1

看起来kube-probe使用了AKS中每个pod cidr的.1地址。我相信这将是linux桥接器在代理池VM上分配的地址，因此主机选择它作为到POD的最便宜的路由。

没有这个地址的pod，所以我看不出选择器如何匹配它，除非AKS在他们的实现中有一些内置的魔力。

kubectl get pods --all-namespaces -o json \
  | jq -r '.items[] | [ .status.podIP, .metadata.name ] | join("\t")'

可以使该策略与所有pod CIDR的源代码.1IP的特定规则一起工作。

kubectl get nodes -o json \
  | jq '.items[] | [ .metadata.name, .spec.podCIDR ]'
[
  "aks-agentpool-12345678-vmss000000",
  "10.212.0.0/24"
]
[
  "aks-agentpool-12345678-vmss000001",
  "10.212.1.0/24"
]

  ingress:
  - from:
    - ipBlock:
        cidr: 10.212.0.1/32
    - ipBlock:
        cidr: 10.212.1.1/32