Kubernetes集群中GitLab Runner TLS握手失败问题求助

1. 企业内网TLS拦截/代理干扰 #

裸金属集群若部署在企业内网，大概率存在透明代理或SSL/TLS拦截设备（如防火墙、安全网关）。这类设备会替换gitlab.com的官方证书为内部CA签发的证书，但Pod默认未信任该内部CA，导致TLS握手时证书验证失败。

• 验证方法：在集群节点上直接执行curl -v https://gitlab.com，若节点能正常访问但Pod不行，即可确认是Pod的CA证书池缺少内部CA证书。

2. Pod DNS解析异常 #

Pod无法正确解析gitlab.com的IP，会导致连接到错误地址（如拦截设备的IP），进而触发证书不匹配的TLS握手失败。

• 验证方法：在Pod内执行nslookup gitlab.com，对比节点上的解析结果，若IP不一致，说明集群DNS（如CoreDNS）配置错误或被污染。

3. 集群网络策略/防火墙限制 #

• 集群内的NetworkPolicy可能禁止了Pod的443端口出站请求；
• 节点的iptables/防火墙规则拦截了Pod的出站流量，导致TLS握手数据包无法正常传输。
• 验证方法：检查节点iptables-save输出，或临时删除可疑的NetworkPolicy，观察Pod是否能正常访问。

4. 容器镜像CA证书缺失 #

部分轻量基础镜像（如alpine、distroless）默认未预装完整的根CA证书包，无法验证gitlab.com的官方证书。

• 验证方法：在Pod内执行ls /etc/ssl/certs/，若证书数量极少，说明镜像缺少根CA证书（比如alpine需安装ca-certificates包）。

5. 节点网络配置错误 #

• 节点路由表配置异常，导致Pod出站流量无法到达公网；
• 节点MTU设置过大，TLS握手数据包因分片丢失，触发握手超时或失败。
• 验证方法：检查节点路由表ip route确认默认网关正确；执行ping -M do -s 1472 gitlab.com，若丢包则说明MTU设置有问题。

内容的提问来源于stack exchange，提问作者kliker02