AWS上具有Kops的Kubernetes群集-节点端口服务不可用

Question

我在访问Kubernetes群集上的NodePort服务时遇到困难。

球门

设置ALB入口控制器，以便我可以使用webockets和超文本传输协议/2

根据该控制器的要求设置NodePort服务

采取的步骤

之前，在AWS eu-west-1上创建了Kops（版本1.6.2）群集。nginx ingress的kops插件以及Kube lego也已添加。ELB入口工作正常。

使用该项目指定的IAM配置文件，使用自定义AWS密钥设置ALB入口控制器。

使用kubectl replace--force将服务类型从LoadBalancer更改为NodePort

> kubectl describe svc my-nodeport-service
Name:                   my-node-port-service
Namespace:              default
Labels:                 <none>
Selector:               service=my-selector
Type:                   NodePort
IP:                     100.71.211.249
Port:                   <unset> 80/TCP
NodePort:               <unset> 30176/TCP
Endpoints:              100.96.2.11:3000
Session Affinity:       None
Events:                 <none>

> kubectl describe pods my-nodeport-pod
Name:           my-nodeport-pod
Node:           <ip>.eu-west-1.compute.internal/<ip>
Labels:         service=my-selector
Status:         Running
IP:             100.96.2.11
Containers:
  update-center:
    Port:               3000/TCP
    Ready:              True
    Restart Count:      0

(ssh into node)
$ sudo netstat -nap | grep 30176
tcp6       0      0 :::30176                :::*                    LISTEN      2093/kube-proxy

后果

ALB的卷曲悬挂

从卷曲

预期

从ALB和直接到节点的Curl：node-port应该返回200“Ok”（服务对根的超文本传输协议响应）

更新：在github上创建的问题引用了以上内容，在某些情况下提供了一些进一步的详细信息：

• https://github.com/kubernetes/kubernetes/issues/50261




Answer 1

主服务器的SG无需打开节点端口范围即可使：工作。

因此，只有工人的SG需要打开端口范围。

Answer 2

默认情况下，Kops不会将EC2实例配置为允许来自外部的NodePort流量。

为了让集群外的流量到达节点端口，您必须在AWS上的EC2控制台中编辑EC2实例（即Kubernetes节点）的配置。

在EC2控制台中单击“安全组”Kops应该将它为集群创建的原始安全组注释为节点。

我们需要修改这些安全组，以便将流量从节点报告的默认端口范围转发到实例。

单击安全组，单击规则并添加以下规则。

在节点和主节点上打开的端口范围：30000-32767

这将允许internet上的任何人访问集群上的节点端口，因此请确保您希望这些节点端口公开。

或者，您可以只从ALB入口控制器为ALB创建的安全组中允许它，而不是从任何来源。但是，由于这些可以重新创建，因此可能需要修改关于修改kubernetes服务的规则。我建议显式地将节点端口指定为预先确定的已知节点端口，而不是随机分配的节点端口。