单节点K8s中WebSocket转TCP动态端口连接失败求助

1. 动态端口的网络可达性验证 #

• 确认Flask分配的动态端口是否在K8s默认NodePort区间（30000-32767）内，不在此范围的端口可能被集群网络规则拦截
• 在WebSocket代理的Pod内执行telnet <节点IP> <动态端口>或nc -zv <节点IP> <动态端口>，直接测试TCP连通性，判断是端口未监听还是网络不通
• 若动态端口绑定在Flask Pod内部，需确认该Pod是否通过Service暴露了端口，且Service的端口映射规则正确

2. SSH隧道的创建有效性检查 #

• 查看Flask服务日志，确认SSH隧道是否成功建立，重点排查是否存在SSH认证失败、目标IP无法访问、隧道命令执行错误等日志
• 手动在Flask Pod内执行相同的SSH隧道命令（例如ssh -L <动态端口>:<目标IP>:5900 <用户名>@<目标IP>），验证隧道是否能正常建立，再通过telnet localhost <动态端口>测试隧道内部的RFB数据转发是否正常

3. Kubernetes网络规则排查 #

• 检查集群是否配置了NetworkPolicy，确认是否存在阻止WebSocket代理Pod与Flask Pod/动态端口所在节点通信的规则
• 查看节点防火墙（iptables/firewalld）规则，确认动态端口是否被允许入站和出站流量
• 核对Ingress配置，确保添加了nginx.ingress.kubernetes.io/websocket-services注解，且关联的Service端口与WebSocket代理的NodePort一致

4. WebSocket代理代码逻辑校验 #

• 确认代理服务获取动态端口后，是否正确拼接了目标连接地址，比如是否误用了Pod内部IP而非节点IP，或端口号拼接错误
• 查看代理服务的错误日志，提取TCP连接失败的具体信息：是connection refused（端口未监听）还是timeout（网络不通），以此缩小排查范围

5. 单节点K8s环境特殊问题排查 #

• 若Flask服务未启用hostNetwork模式，其创建的动态端口仅绑定在Pod内部，WebSocket代理Pod无法直接访问，需通过NodePort或ClusterIP Service暴露端口
• 在节点上执行netstat -tulpn，确认动态端口是否真的被SSH隧道进程监听，排查是否存在端口冲突被其他进程占用的情况

内容的提问来源于stack exchange，提问作者Adam