当LoadBalancer在GKE上工作时，为什么入口失败？

Question

由于健康检查失败，我无法进入GKE工作。我已经尝试了我能想到的所有调试步骤，包括：

• 已验证我没有任何配额不足
• 验证我的服务可以从集群内访问
• 验证我的服务在k8s/GKE负载均衡器后面工作。
• 验证Health z检查正在传递Stackdrigs日志

...我很乐意获得有关如何调试或修复的任何建议。详情如下！

我在GKE上设置了一个类型为LoadBalancer的服务。通过外部IP效果很好：

apiVersion: v1
kind: Service
metadata:
  name: echoserver
  namespace: es
spec:
  ports:
  - port: 80
    targetPort: 8080
    protocol: TCP
  type: LoadBalancer
  selector:
    app: echoserver

然后，我尝试在同一服务上设置入口：

apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: echoserver-ingress
  namespace: es
  annotations:
    kubernetes.io/ingress.class: "gce"
    kubernetes.io/ingress.global-static-ip-name: "echoserver-global-ip"
spec:
  backend:
    serviceName: echoserver
    servicePort: 80

入口已创建，但它认为后端节点不健康：

$ kubectl --namespace es describe ingress echoserver-ingress | grep backends
  backends:     {"k8s-be-31102--<snipped>":"UNHEALTHY"}

在GKE web控制台中检查入口后端的状态，我看到了同样的情况：

运行状况检查详细信息按预期显示：

... 我可以在群集中的pod内成功调用该服务：

# curl  -vvv echoserver  2>&1 | grep "< HTTP"
< HTTP/1.0 200 OK

# curl  -vvv echoserver/healthz  2>&1 | grep "< HTTP"
< HTTP/1.0 200 OK

我可以通过NodePort对服务进行寻址：

# curl  -vvv 10.0.1.1:31102  2>&1 | grep "< HTTP" 
< HTTP/1.0 200 OK

（这是不言而喻的，因为我在步骤1中设置的负载平衡器服务生成了一个工作正常的网站。）

我还看到Health z检查在StackDrive日志中传递：

关于配额，我检查发现我只使用了30个后端服务中的3个：

$ gcloud compute project-info describe | grep -A 1 -B 1  BACKEND_SERVICES
- limit: 30.0
  metric: BACKEND_SERVICES
  usage: 3.0

Answer 1

我有这个问题，最终遇到了https://stackoverflow.com/a/50645953/9276，这让我查看了防火墙设置。果不其然，我添加的最后几个节点端口服务没有在防火墙规则中启用，因此来自指向它们的入口的健康检查都失败了。手动将新主机端口添加到防火墙规则为我解决了此问题。

但是，与链接的答案不同，我没有正在使用的无效证书。我猜还有其他错误或奇怪的状态会导致这种行为，但我还没有找到规则停止自动管理的原因。

可能无关，我在我们的qa环境中没有这个问题，只是生产，所以可能有GCP项目级别的设置在起作用。

Answer 2

您已将超时值配置为1秒。也许将其增加到5秒会解决问题。

Answer 3

几周前也有类似的问题。对我来说，修复它的方法是在服务描述中添加一个NodePort，以便Google Cloud Loadbalancer可以探测这个NodePort。对我有用的配置：

apiVersion: v1
kind: Service
metadata: 
  name: some-service
spec: 
  selector: 
    name: some-app
  type: NodePort
  ports: 
    - port: 80
      targetPort: 8080
      nodePort: 32000
      protocol: TCP

入口可能需要一段时间才能发现这一点。您可以重新创建入口以加快速度。