GKE SSL证书配置失败排查：域名不可见问题求助

问题分析与解决方案 #

证书生效等待时间 #

DNS记录的全球生效通常需要24-48小时，尽管部分地区可能在几小时内完成解析，但Let's Encrypt的ACME验证要求域名在全球多数节点都能正确解析到你的GKE静态IP。如果你的DNS记录TTL设置较高（比如默认3600秒以上），生效时间会更长。你可以通过本地dig或nslookup命令，换不同网络环境测试，确认解析是否已全局生效。

DNS配置检查要点 #

需手动验证以下核心项：

• 确认子域名www.example.enterprise.com的A记录指向你预留的全局静态IP（GKE Ingress仅支持全局IP，区域级静态IP无法使用）
• 检查该子域名是否存在冲突的CNAME记录，若之前配置过CNAME需先删除
• 确认DNS记录的TTL值，建议临时调整为300秒（5分钟）以加速生效，证书配置完成后再改回默认值
• 若主域名enterprise.com托管在其他服务商，需确认主域名的DNS设置中已添加NS记录，授权example.enterprise.com子域的解析到Google Cloud DNS服务器

Kubernetes YAML配置问题排查 #

你的配置存在一处关键错误，会直接导致Ingress路由失效和证书验证失败：

Ingress配置错误

原Ingress的spec.rules结构错误，将host和http拆分为两个独立规则，导致控制器无法识别该域名的路由配置：

# 错误结构
spec: 
  rules:
  - host: www.example.enterprise.com
  - http:
      paths:
      ...

正确的结构应将http嵌套在host对应的规则下：

# 修正后的Ingress配置
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: example-ingress
  annotations:
    kubernetes.io/ingress.global-static-ip-name: example-ip
    networking.gke.io/managed-certificates: example-managed-cert
    ingressClassName: "gce" # GKE内置Ingress控制器
  namespace: production
spec: 
  rules:
  - host: www.example.enterprise.com
    http: # 嵌套在host规则内
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: example-service-general
            port:
              number: 80
      - path: /oauth2callback
        pathType: Prefix
        backend:
          service:
            name: example-service-auth
            port:
              number: 3000

其他配置验证

• ManagedCertificate：配置正确，域名与Ingress的host一致，命名空间匹配
• Service配置：两个NodePort Service的selector与Pod标签（name: example-pod, app: example）匹配，端口映射正确，无明显问题

后续操作建议 #

1. 修正Ingress配置并重新应用：kubectl apply -f ingress.yaml -n production
2. 等待DNS完全生效（最长48小时），期间可通过kubectl describe managedcertificate example-managed-cert -n production查看证书状态
3. 若超过48小时仍未生效，检查GKE Ingress控制器日志，确认ACME挑战是否被正确响应

内容的提问来源于stack exchange，提问作者Marctrix