无法通过代理/堡垒机连接GKE私有集群及CICD部署问题求助

方案1：代理Pod服务的Privoxy拦截问题 #

问题原因 #

kubectl请求被Privoxy拦截，通常是Privoxy配置未允许访问GKE控制平面，或是kubectl的代理配置指向错误，也可能是Privoxy规则阻止了HTTPS隧道请求。

解决步骤 #

• 调整Privoxy配置，允许访问GKE控制平面：
  找到Privoxy的配置文件（如config或user.action），添加规则允许对GKE控制平面IP的请求：

  { +forward-override{forward-socks5 localhost:1080 .} }
  CONTROLLER_IP
  

  若为内部可信环境，也可直接允许所有请求通过：

  { +accept-all }
  *
  

• 验证kubeconfig的代理配置：
  确保kubeconfig中proxy-url正确指向代理服务的ClusterIP或NodePort，示例：

  clusters:
  - cluster:
      certificate-authority-data: XXX
      server: https://CONTROLLER_IP
      proxy-url: http://proxy-service.default.svc.cluster.local:8118
    name: gke-cluster
  

• 重启Privoxy Pod加载新配置：

  kubectl rollout restart deployment proxy-deployment
  

• 测试连接：

  kubectl get nodes --kubeconfig=your-config-file
  

方案2：堡垒机VM的Proxy 403错误问题 #

问题原因 #

堡垒机的代理配置拒绝了对container.googleapis.com的请求，或是堡垒机公网IP未加入GKE集群授权列表，也可能是gcloud的代理参数配置错误。

解决步骤 #

• 确认堡垒机IP在GKE授权列表中：
  登录GCP控制台，进入目标GKE集群的“私有集群”设置，检查堡垒机的公网IP是否在“授权的外部IP范围”内，不在的话添加进去。
• 清除或修正gcloud代理配置：
  若堡垒机无需代理即可访问GCP API，执行以下命令清除代理设置：

  gcloud config unset proxy/type
  gcloud config unset proxy/address
  gcloud config unset proxy/port
  gcloud config unset proxy/credentials_file
  

  若必须使用代理，确保代理允许访问container.googleapis.com，并配置正确：

  gcloud config set proxy/type http
  gcloud config set proxy/address PROXY_IP
  gcloud config set proxy/port PROXY_PORT
  

• 测试连通性：

  telnet CONTROLLER_IP 443
  

• 重新获取集群凭证并测试：

  gcloud container clusters get-credentials autopilot-cluster-1 --region us-central1 --project <my-project-id>
  kubectl get pods
  

内容的提问来源于stack exchange，提问作者Amit Thakur