GCP Kubernetes集群中LoadBalancer暴露Tekton EventListener连接异常排查

1. 验证Service与EventListener的关联配置 #

• 检查Service的selector是否匹配EventListener Pod的标签：

  kubectl get service <your-lb-service-name> -o yaml | grep -A 5 spec.selector
  kubectl get pods -l <selector-key>=<selector-value> -n <your-namespace>
  

  确保输出的Pod列表包含对应的EventListener Pod，否则Service无法路由流量。
• 确认Service的端口映射正确：Tekton EventListener默认监听8080端口，需检查Service的spec.ports[].targetPort是否设置为8080，而非80。如果把80端口映射到错误的targetPort，会直接导致连接拒绝。

2. 检查EventListener Pod的运行状态 #

• 确认Pod处于Running状态：

  kubectl get pods -n <your-namespace> | grep eventlistener
  

  如果Pod状态异常（如CrashLoopBackOff），先排查启动问题。
• 进入Pod内部验证端口监听：

  kubectl exec -it <eventlistener-pod-name> -- netstat -tulpn
  

  需看到0.0.0.0:8080处于LISTEN状态，否则说明EventListener配置有误（如触发器定义错误、ServiceAccount权限不足）。

3. 排查GCP LoadBalancer的状态与配置 #

• 确认Service的外部IP已分配完成：

  kubectl get service <your-lb-service-name>
  

  如果EXTERNAL-IP显示为<pending>，说明GCP LB仍在创建中，等待5-10分钟后再测试。
• 检查GCP负载均衡器的健康检查：
  登录GCP控制台，找到对应LB的后端服务，确认健康检查的端口为Service的NodePort（如30758），且健康检查路径为/health（Tekton EventListener默认健康检查端点）。若健康检查失败，LB会停止转发流量，导致超时。
• 验证防火墙规则：
  GCP会自动为LoadBalancer创建允许外部流量的防火墙规则，可通过以下命令确认：

  gcloud compute firewall-rules list | grep k8s-fw
  

  确保规则允许0.0.0.0/0访问Service对应的NodePort（30758）和LB端口（如80）。

4. 测试集群内部连通性 #

• 先测试EventListener Pod的直接访问：

  kubectl run -it --rm debug-pod --image=busybox -- curl <eventlistener-pod-ip>:8080
  

  若能正常响应，说明EventListener本身无问题，故障点在外部LB层；若失败，排查Pod内部配置。
• 测试Service的ClusterIP访问：

  kubectl run -it --rm debug-pod --image=busybox -- curl <service-cluster-ip>:<service-port>
  

  若失败，说明Service的端口映射或selector配置错误。

5. 查看EventListener日志定位问题 #

kubectl logs <eventlistener-pod-name> -n <your-namespace>

日志中若出现权限错误（如无法创建PipelineRun）、触发器解析失败等信息，需针对性修复配置（如调整ServiceAccount权限、修正触发器定义）。

内容的提问来源于stack exchange，提问作者San Jaisy