AKS kann d@APOS@Image net aus engem private Registry hannert Ärem VPN zéien
De kubelet zitt iwwer d@APOS@Netzwierk vum Node, net iwwer de VPN vum Pod. Entscheet no de Rutten vum Node, dem Node-DNS, all Endpoint deen den Zuch beréiert, dann TLS an Identitéit.
Äre Laptop zitt d’Image ouni Problemer, awer de Pod bleift an ImagePullBackOff. De Virschlag, de Firmen-VPN-Client als Sidecar lafe ze loossen, hëlleft net, well den Zuch geschitt ier Äre Container existéiert: de kubelet freet d’Container-Runtime um Node, d’Image ze huelen, an d’Runtime benotzt den Netzwierk-Namespace vum Node.
D’Reiefolleg vun den Operatiounen entscheet d’Schicht
Fir d’éischt gëtt den Numm opgeléist, duerno Verbindung, Authentifikatioun an den Download vun de Schichten, an eréischt duerno start de Container. Alles wat de Pod mam VPN mécht, geschitt duerno, dofir ass en Tunnel dee am Cluster funktionéiert kee Beweis fir den Zuch.
Dofir ass en Image am Cache sou en iwwerzeegend Ligen: en Node deen d’Image virun Wochen gezunn huet, liwwert et weider, den Deployment gesäit gesond aus, an de Feeler erschéngt eréischt wann de Scheduler eng Replika op en neien Node setzt. Scale-up oder Node-Austausch sinn den Ausléiser, net d’Ursaach.
Dräi Conditiounen entscheeden d’Reparatur
D’Erreechbarkeet hänkt vu Routing, Numm-Opléisung an der Rei Endpointen of. Wann d’Subnetz vum Node net an d’Registry-Netzwierk route ka, hëlleft keng Umeldung. Wann den Numm net iwwer den DNS-Wee vum Node opgeléist gëtt, fänkt d’Verbindung net un. Wann just de Manifest erreechbar ass an de Blob net, fält den Zuch hallef duerch.
| Condition | Typical symptom | Where to look |
|---|---|---|
| Node subnet has no route to the registry network | Timeout, no connection | Effective routes on the node NIC, gateway transit, return path on-premises |
| Node resolver cannot see the private zone | Name resolution failure in events | VNet DNS settings and the resolver the node actually uses |
| Only the manifest endpoint is reachable | Auth succeeds, layer download fails | Every hostname the registry hands out during the pull |
| TLS or identity is wrong | Certificate error, 401 or 403 | Server certificate name and trust, scoped pull identity |
Nëmme VNet-Peering gëtt net all Gateway-Transit-Opbau, an eng Route an eng Richtung ass keng Route déi funktionéiert. Den Node brauch en ënnerstëtzte Wee iwwer de geplangte VPN-Gateway, an d’Registry-Säit eng Retourroute op d’Subnetz vum Node.
Liest de Feeler ier Dir eng Léisung wielt
Fänkt mat den Eventer vum Pod an dem Node un, op deen en gefall ass, mat Ären echte Nimm: kubectl describe pod app-example -n team-example an kubectl get pod app-example -n team-example -o wide. Den Eventtext trennt en net opgeléisten Hostname vun engem Timeout, eng Zertifikatsoflehnung vun engem fehlenden Image, an eng Autorisatiounsfeeler vun allem.
Authentifikatioun ass deen am meeschte iwwerschätzte Hiewel. imagePullSecret gëtt der Runtime d’Umeldung fir d’Registry; et installéiert keng Route, ännert den Resolver vum Node net an mécht en onvertrauenswürdegt Zertifikat net gülteg. Seet den Event datt den Zuch net autoriséiert war, kuckt no dem Ëmfang vun der Identitéit; seet en datt d’Verbindung ofgelaf ass, sinn d’Umeldungen irrelevant.
D’Kubernetes-Dokumentatioun zu Images ass d’Referenz fir den Zuchverhalen an d’Umeldunge vu private Registryen, an et lount sech se eemol ze liesen ier Dir den Netzwierk ännert, well se d’Grenz tëscht Authentifikatioun an Transport kloer mécht.
Baut de Wee ënner dem Pod
Schafft an dëser Reiefolleg. Route fir d’éischt den Netzwierk vum Node: bestätegt datt d’Subnetz en ënnerstëtzte Wee an d’Registry-Netzwierk huet, kontrolléiert d’effektiv Rutten um Node, d’Sécherheetsregelen op béide Säiten an d’Retourroute op der Registry-Säit.
Duerno léist den Numm aus dem Kontext vum Node op. Den Resolver vum Node ass net d’DNS-Konfiguratioun vum Pod, an den Erfolleg am Pod ass kee Beweis fir d’Host-Runtime. Benotzt e geréiert private DNS amplaz vun engem permanente Hosts-Andrag; den Andrag lieft bis den Node ersat gëtt an verschwënnt duerno roueg.
Duerno beweist all Endpoint. Eng Registry kann dem Client een eegene Authentifikatiounsservice an eng eege Blob-Späicherung ginn. De Manifest z’erreechen beweist bal näischt iwwer d’Schichten. Zum Schluss fäerdeg TLS an Autorisatioun: en Zertifikat gülteg fir den Numm vun der Registry an duerch ënnerstëtzt Node-Konfiguratioun vertraut, plus eng Zuch-Identitéit limitéiert op d’Liesen vun deem Repository.
Iwwerpréift et op engem Node deen Dir net vun Hand gefléckt hutt
Den Test dee zilt ass en neien Zuch an en kompletten Download vun alle Schichten op engem gëeegenten Node, am beschten engem deen duerch Skaléierung oder Austausch entstanen ass. Dat deckt all Poolen of déi de Workload placéiere kënnen, och déi vergiessen. Eng Handreparatur op engem Node ass kee Deployment-Modell, an den nächsten Autoscale-Event fënnt d’Lück.
De Cluster an engem aneren VNet nei opbauen kann de Wee änneren, awer dat ass de leschte Mëttel an net den éischten Diagnoseschrëtt. Vergläicht den existéierenden Node-Netzwierk mat der néideger privater Route an den ënnerstëtzten AKS-Netzwierksteierungen ier Dir eng Migratioun virschloft, a haalt d’Verbindung vun der Applikatioun no dem Start als separat Iwwerpréifung: de Pod dee mat sengem Backend schwätzt ass eng aner Kontroll wéi den Node deen d’Image erofllued.