Ní féidir le AKS an íomhá a tharraingt ó chlárlann phríobháideach taobh thiar de do VPN
Tarann an kubelet trí líonra an nóid, ní trí VPN an phod. Socraigh de réir bealaí an nóid, DNS an nóid, gach endpoint a mbaineann an tarraingt leis, ansin TLS agus féiniúlacht.
Tarann do ríomhaire glúine an íomhá gan fadhb, ach fanann an pod i ImagePullBackOff, agus molann duine an cliant VPN corparáideach a rith mar sidecar. Ní chabhróidh sé sin, mar tarlaíonn an tarraingt sula bhfuil do choimeádán ann: iarrann an kubelet ar an container runtime ar an nóid an íomhá a fháil, agus úsáideann an runtime spásainm líonra an nóid. Níl aon bhealach ag VPN laistigh den workload chuige sin, agus caithfear a íomhá chúnta féin a tharraingt ar dtús.
Socraíonn ord na n-oibríochtaí an tsraith
Tagann réiteach an ainm ar dtús. Réitíonn an kubelet, tríd an runtime, ainm na clárlainne, ceanglaíonn, fíoraíonn, íoslódálann na sraitheanna agus ní thosaíonn sé an coimeádán go dtí sin. Tarlaíonn gach rud a dhéanann do pod le VPN tar éis an tsraithe sin, mar sin ní cruthúnas ar an tarraingt é tollán a oibríonn sa chluster.
Sin é an fáth a bhfuil íomhá i dtaisce ina bréag chomh hiomlán. Leanann nód a tharraing an íomhá seachtainí ó shin ag freastal uirthi, breathnaíonn an deployment sláintiúil, agus ní thagann an teip chun solais go dtí go gcuireann an sceidealóir macasamhail ar nód níos nuaí. Má tá scale-up, athsholáthar nóid nó uasghrádú pool sa líne ama, caith leo mar spreagadh, ní mar chúis.
Cinneann trí choinníoll an deisiú
Tagann inrochtaineacht ar chlárlann phríobháideach ó node pool bainistithe síos go dtí ródú, réiteach ainmneacha agus an tacar endpoint. Mura féidir le fo-líonra an nóid ródú chuig líonra na clárlainne, ní chabhróidh aon dintiúir. Má ródaíonn sé ach nach réitíonn ainm na clárlainne trí chonair DNS an nóid, ní thosaíonn an nasc riamh. Má oibríonn an dá rud don endpoint manifest ach ní don endpoint blob a atreoraíonn an chlárlann chuige, teipeann an tarraingt leathbhealach.
| Condition | Typical symptom | Where to look |
|---|---|---|
| Node subnet has no route to the registry network | Timeout, no connection | Effective routes on the node NIC, gateway transit, return path on-premises |
| Node resolver cannot see the private zone | Name resolution failure in events | VNet DNS settings and the resolver the node actually uses |
| Only the manifest endpoint is reachable | Auth succeeds, layer download fails | Every hostname the registry hands out during the pull |
| TLS or identity is wrong | Certificate error, 401 or 403 | Server certificate name and trust, scoped pull identity |
Ní thugann peering VNet amháin gach socrú gateway transit duit go huathoibríoch, agus ní bealach a oibríonn é bealach atá ann i dtreo amháin. Teastaíonn conair thacaithe ón nód tríd an VPN gateway atá beartaithe nó trí fhearas ceadaithe, agus teastaíonn bealach fillte chuig fo-líonra an nóid ó thaobh na clárlainne.
Léigh an teip sula roghnaíonn tú deisiú
Tosaigh le himeachtaí an phod agus leis an nód ar thuirling sé, le do fhíorainmneacha: kubectl describe pod app-example -n team-example agus kubectl get pod app-example -n team-example -o wide. Scarann téacs an imeachta ainm ósta gan réiteach ó timeout, diúltú teastais ó íomhá atá ar iarraidh, agus teip údaraithe ó gach ceann acu. Tá ceathrar úinéirí éagsúla ag an gceathrar sin.
Is é an fíordheimhniú an luamhán is mó a ndéantar rómheastachán air. Tugann imagePullSecret dintiúir na clárlainne don runtime; ní shuiteálann sé bealach, ní athraíonn sé réititheoir an nóid agus ní dhéanann sé teastas neamhiontaofa bailí. Má deir an t-imeacht nach raibh an tarraingt údaraithe, féach ar scóip na féiniúlachta. Má deir sé gur éag an nasc, tá na dintiúir neamhábhartha.
Doiciméadú íomhánna Kubernetes is ea an tagairt d’iompar tarraingthe agus do dhintiúir chlárlann príobháideach, agus is fiú é a léamh uair amháin sula n-athraíonn tú an líonra, mar déanann sé an teorainn idir fíordheimhniú agus iompar soiléir.
Tóg an bealach faoin bpod
Oibrigh san ord seo, mar níl ciall le gach céim go dtí go seasann an ceann roimhe. Ródaigh líonra an nóid ar dtús: deimhnigh go bhfuil conair thacaithe ag an bhfo-líonra chuig líonra na clárlainne, seiceáil na bealaí éifeachtacha ar an nód, na rialacha slándála ar an dá cheann agus an bealach fillte ar thaobh na clárlainne.
Ansin réitigh an t-ainm ó chomhthéacs an nóid. Ní hé réititheoir an nóid cumraíocht DNS an phod, agus ní cruthúnas ar an runtime ósta é rath taobh istigh de phod. Úsáid DNS príobháideach bainistithe in ionad iontráil bhuan i hosts; maireann an iontráil go dtí go n-athsholáthraítear an nód agus ansin imíonn sé go ciúin.
Ansin cruthaigh gach endpoint. Féadann clárlann seirbhís fíordheimhniúcháin ar leithligh agus stóras blob ar leithligh a thabhairt don chliant. Ní chruthaíonn teacht ar an endpoint manifest mórán faoi na sraitheanna. Ar deireadh, críochnaigh TLS agus údarú: teastas bailí d’ainm na clárlainne agus iontaofa trí chumraíocht nóid thacaithe, móide féiniúlacht tarraingthe atá teoranta do léamh na stórais sin.
Fíoraigh é ar nód nach ndearna tú a dheisiú de láimh
Is é an tástáil a chomhraítear tarraingt úr agus íoslódáil iomlán de gach sraith ar nód oiriúnach, go hidéalach ceann a cruthaíodh trí scale nó athsholáthar. Clúdaíonn sé sin gach pool a d’fhéadfadh an workload a chur, lena n-áirítear iad siúd a rinne tú dearmad orthu. Ní samhail imlonnaithe é deisiú láimhe ar aon nód amháin, agus aimseoidh an chéad imeacht autoscale eile an bhearna.
Féadann athchruthú an chluistir i VNet eile an bealach a athrú, ach is é sin an rogha dheireanach seachas an chéad chéim diagnóiseach. Cuir líonra nóid reatha i gcomparáid leis an mbealach príobháideach atá ag teastáil agus leis na rialuithe líonra AKS tacaithe sula molann tú imirce, agus coinnigh nascacht an fheidhmchláir tar éis tosaithe mar fhíorú ar leith: is seiceáil eile é an pod ag caint lena backend ná an nód ag íoslódáil na híomhá.