☰

K3s - ダイヤル tcp 10.43.0.1:443: 接続: 接続拒否

tag-icon • tag-icon k3s
K3s - ダイヤル tcp 10.43.0.1:443: 接続: 接続拒否

次のように K3s マルチマスター組み込みクラスターを作成しました。

ホスト名: k3s01

curl -sfL https://get.k3s.io | K3S_TOKEN=xxx INSTALL_K3S_EXEC="server --disable servicelb --disable traefik --bind-address=10.0.0.4 --tls-san 10.0.0.4 --node-external-ip=168.119.x.x --node-ip=10.0.0.4 --flannel-iface=enp7s0 --advertise-address=PUBIP-OF-LB --cluster-init" sh -

ホスト名: k8s02

curl -sfL https://get.k3s.io | K3S_TOKEN=xxx INSTALL_K3S_EXEC="server --disable servicelb --disable traefik --bind-address=10.0.0.2 --tls-san 10.0.0.2 --node-ip 10.0.0.2 --node-external-ip=168.119.x.x  --flannel-iface=enp7s0 --server=https://10.0.0.4:6443" sh -

ホスト名: k8s03

curl -sfL https://get.k3s.io | K3S_TOKEN=xxx INSTALL_K3S_EXEC="server --disable servicelb --disable traefik --bind-address=10.0.0.3 --tls-san 10.0.0.3 --node-ip 10.0.0.3 --node-external-ip=168.119.x.x  --flannel-iface=enp7s0 --server=https://10.0.0.4:6443" sh -

LB-IP 経由で kubectl を使用してローカル マシンから接続できます。LB: tcp 6443 -> 6443

上記のノード内から kubectl を使用することもできます。Hetzner に CSI をデプロイしましたが、これも問題なく動作します。test-deployment でテストしました。

しかし、そのすべて（これまでのところは問題なく動作しています）の後、ingress-nginx をインストールしようとしました。デプロイメントは問題なく開始されました。しかし、ingress-nginx-controller の次のログに示されているように、クラスター内から apiserver との通信に問題があることがわかりました。

E1204 11:42:25.216392       8 leaderelection.go:321] error retrieving resource lock ingress-nginx/ingress-controller-leader-nginx: Get "https://10.43.0.1:443/api/v1/namespaces/ingress-nginx/configmaps/ingress-controller-leader-nginx": dial tcp 10.43.0.1:443: connect: connection refused

うーん、奇妙ですね! では、いくつか確認してみましょう。

kubectl get svc kubernetes -o yaml

apiVersion: v1
kind: Service
metadata:
  creationTimestamp: "2020-12-04T11:22:25Z"
  labels:
    component: apiserver
    provider: kubernetes
  managedFields:
  - apiVersion: v1
    fieldsType: FieldsV1
    fieldsV1:
      f:metadata:
        f:labels:
          .: {}
          f:component: {}
          f:provider: {}
      f:spec:
        f:clusterIP: {}
        f:ports:
          .: {}
          k:{"port":443,"protocol":"TCP"}:
            .: {}
            f:name: {}
            f:port: {}
            f:protocol: {}
            f:targetPort: {}
        f:sessionAffinity: {}
        f:type: {}
    manager: k3s
    operation: Update
    time: "2020-12-04T11:22:25Z"
  name: kubernetes
  namespace: default
  resourceVersion: "10434"
  selfLink: /api/v1/namespaces/default/services/kubernetes
  uid: f0993556-3b7f-40aa-a293-45170cb03002
spec:
  clusterIP: 10.43.0.1
  ports:
  - name: https
    port: 443
    protocol: TCP
    targetPort: 6443
  sessionAffinity: None
  type: ClusterIP
status:
  loadBalancer: {}

見た目はGTM。

kubectl get endpoints -o yaml

apiVersion: v1
items:
- apiVersion: v1
  kind: Endpoints
  metadata:
    creationTimestamp: "2020-12-04T11:22:25Z"
    labels:
      endpointslice.kubernetes.io/skip-mirror: "true"
    managedFields:
    - apiVersion: v1
      fieldsType: FieldsV1
      fieldsV1:
        f:metadata:
          f:labels:
            .: {}
            f:endpointslice.kubernetes.io/skip-mirror: {}
        f:subsets: {}
      manager: k3s
      operation: Update
      time: "2020-12-04T11:23:39Z"
    name: kubernetes
    namespace: default
    resourceVersion: "808"
    selfLink: /api/v1/namespaces/default/endpoints/kubernetes
    uid: cb450392-b4c9-4c2f-bfde-1a3b20ac4b5d
  subsets:
  - addresses:
    - ip: 167.233.x.x
    - ip: 168.119.x.x
    - ip: 168.119.x.x
    ports:
    - name: https
      port: 6443
      protocol: TCP
kind: List
metadata:
  resourceVersion: ""
  selfLink: ""

さて、なぜここに Pub IP があるのでしょうか? 1 つのポッド内から確認して、IP の 1 つを直接呼び出してみましょう。

kubectl exec -it ingress-controler-pod-xxxx -- bash

bash-5.0$ curl https://167.233.x.x:6443 --insecure
{
  "kind": "Status",
  "apiVersion": "v1",
  "metadata": {

  },
  "status": "Failure",
  "message": "Unauthorized",
  "reason": "Unauthorized",
  "code": 401
}bash-5.0$ curl https://10.43.0.1:443
curl: (7) Failed to connect to 10.43.0.1 port 443: Connection refused

わかりました。それは奇妙ですね!

また、次のようなエラーが発生することもあります:

Error from server: error dialing backend: dial tcp: lookup k8s02: Try again

ポッドにトップ exex を実行しようとしたとき、またはログを表示しようとしたときに表示されます。これは、別のホストで実行されている宛先ポッドに対してこれを実行しようとした場合にのみ発生します。

DNSに何か問題がありますか?

cat /etc/resolv.conf
nameserver 127.0.0.53
options edns0 trust-ad

ホストを名前で解決できません。ただし、K3s セットアップで IP を指定しました。ホスト間で動作する DNS が必要ですか? K3s インストール パラメータに何か問題がありますか?

答え1

私も同様の問題を抱えていましたが、これは DNS 解決の設定ミスが原因でした。ノードのホスト名を相互に解決できるかどうかを確認してください。

関連情報