AKS中Node.js应用Pod访问NAS失败的排查与方案咨询

网络层面排查 #

• 验证DNS解析：在Pod内执行nslookup xxx.abc.com，确认能解析到NAS的正确IP，若解析失败，检查AKS集群的CoreDNS配置是否正常。
• 测试端口连通性：用nc -zv xxx.abc.com 445或telnet xxx.abc.com 445检查SMB默认端口是否能连通，若不通，排查：
  • AKS集群的网络策略是否允许Pod访问外部445端口；
  • 集群节点的NSG规则是否放行出站445流量；
  • NAS端的防火墙/访问控制列表是否允许AKS Pod所在IP段访问。

SMB客户端与协议排查 #

• 对比smbclient版本：在Pod和开发VM分别执行smbclient --version，若版本差异大，可能存在协议兼容性问题，尝试在Pod的命令中指定SMB版本，比如添加--protocol SMB3参数。
• 检查smb.conf细节：确认Pod内/etc/samba/smb.conf的全局配置（比如workgroup）与VM完全一致，若NAS要求特定工作组，可在命令中添加-W <NAS_WORKGROUP>参数。

权限与安全策略排查 #

• 切换用户执行：若Pod以非root用户运行，尝试用root身份执行命令（kubectl exec -it <pod-name> -- su - root -c 'smbclient -c "mkdir \"test_folder/test1\"" //xxx.abc.com/share_dev/ -U '' --password '''），排除用户权限问题。
• 临时关闭SELinux：在Pod内执行setenforce 0后重试，若成功，说明SELinux策略阻止了SMB操作，需调整Pod的安全上下文或SELinux规则。
• 验证NAS匿名访问权限：确认NAS共享share_dev允许匿名访问，且未限制客户端IP（比如仅开放开发VM的IP，AKS Pod IP不在白名单）。

调试日志与抓包 #

• 启用详细调试日志：执行smbclient -d 5 -c "mkdir \"test_folder/test1\"" //xxx.abc.com/share_dev/ -U '' --password ''，通过日志定位是连接失败、身份验证错误还是命令执行问题。
• 网络抓包：在Pod内执行tcpdump -i any port 445 -w smb_traffic.pcap，然后将pcap文件导出到本地分析，查看SMB握手、数据传输阶段是否有异常。

使用AKS SMB CSI驱动 #

直接将NAS共享挂载为Pod的存储卷，应用可像操作本地文件系统一样上传文件，无需调用smbclient：

1. 创建SMB存储类（指定NAS主机、共享名、匿名访问参数）；
2. 创建PVC绑定该存储类；
3. 在Deployment的容器配置中挂载PVC到指定路径。

Node.js原生SMB库 #

在应用代码中使用SMB客户端库（如@marsaud/smb2）直接连接NAS，执行文件操作，摆脱对系统smbclient的依赖，示例代码片段：

const SMB2 = require('@marsaud/smb2');
const smbClient = new SMB2({
  share: '\\\\xxx.abc.com\\share_dev',
  username: '',
  password: '',
});

smbClient.mkdir('test_folder/test1')
  .then(() => console.log('目录创建成功'))
  .catch(err => console.error('创建失败:', err));

Sidecar容器模式 #

添加一个专门处理SMB操作的sidecar容器，与主应用容器共享存储卷，主应用将文件写入共享卷后，由sidecar容器负责上传至NAS，避免主应用环境的依赖问题。

内容的提问来源于stack exchange，提问作者Anitha.R