GCP Kubernetes通过APIServer代理URL访问服务遇503错误求助

我正尝试从本地笔记本电脑访问GCP Kubernetes集群内的服务，执行kubectl proxy --port=8080命令后，通过端点http://127.0.0.1:8080/api/v1/namespaces/myns/services/mysvc/proxy/health-check访问服务时收到503错误，但访问服务元数据端点http://127.0.0.1:8080/api/v1/namespaces/myns/services/mysvc可正常返回结果。

错误响应 #

{
    "kind": "Status",
    "apiVersion": "v1",
    "metadata": {},
    "status": "Failure",
    "message": "error trying to reach service: dial tcp ip3:8080: i/o timeout",
    "reason": "ServiceUnavailable",
    "code": 503
}

服务配置信息 #

My service:
Name:                     mysvc
Namespace:                myns
Labels:                   app.kubernetes.io/instance=myns-mysvc-dev
Annotations:              cloud.google.com/load-balancer-type: Internal
Selector:                 app=mysvc
Type:                     LoadBalancer
IP Family Policy:         SingleStack
IP Families:              IPv4
IP:                       ip1
IPs:                      ip1
LoadBalancer Ingress:     ip2
Port:                     unset  443/TCP
TargetPort:               8080/TCP
NodePort:                 unset  30840/TCP
Endpoints:                ip3:8080
Session Affinity:         None
External Traffic Policy:  Cluster

• 验证后端Pod的可达性：在集群内启动临时Pod（如kubectl run -it --rm busybox --image=busybox:1.28），执行wget ip3:8080/health-check或curl ip3:8080/health-check，确认Pod内的服务是否能正常响应。如果集群内访问失败，说明服务本身未启动、端口配置错误，或Pod的就绪探针失效。
• 检查端口协议匹配性：服务暴露的Port是443/TCP（HTTPS），但TargetPort指向Pod的8080/TCP。若Pod内的服务仅提供HTTP服务，协议不匹配会导致连接超时。尝试改用HTTPS访问端点：https://127.0.0.1:8080/api/v1/namespaces/myns/services/mysvc/proxy/health-check，或调整服务Port为80/TCP以匹配HTTP服务。
• 确认集群网络策略与防火墙规则：检查GCP VPC防火墙是否允许控制平面（API Server）访问Pod所在节点的8080端口；同时排查集群内的NetworkPolicy资源，是否限制了API Server或kubectl proxy来源的流量访问目标Pod。
• 检查Pod内部监听状态：进入目标Pod（kubectl exec -it <pod-name> -n myns -- /bin/bash），执行netstat -tulpn确认8080端口是否被服务监听，且监听地址为0.0.0.0（若仅监听127.0.0.1，集群内外部均无法访问）。

内容的提问来源于stack exchange，提问作者Aiham Abu Rafaa