AKS升级后Hazelcast集群无法连接Kubernetes Master求助

1. 集群网络组件版本不兼容 #

AKS升级时，kube-proxy、CNI插件（如Azure CNI或Calico）可能未同步升级到对应Kubernetes版本的兼容版本。新版K8s可能对CNI规则、流量转发逻辑有变更，旧版组件无法适配，直接导致Pod间路由异常，甚至阻断Pod对Master节点API的访问。

• 检查方式：执行kubectl get pods -n kube-system，查看kube-proxy、azure-cni-node（或calico-node）的镜像版本，确认是否与AKS控制平面版本匹配。

2. ZONE_AWARE特性禁用引发的网络拓扑故障 #

ZONE_AWARE特性负责跨可用区的Pod调度与网络策略协调，升级后该特性被强制禁用会打乱原有跨区网络拓扑：比如Service端点无法正确分发到对应可用区的Pod，或者节点间的跨区路由规则失效，进而引发Pod间通信失败，甚至影响Pod与跨区Master节点的连接。

• 检查方式：执行kubectl describe node <节点名称>查看节点的topology.kubernetes.io/zone标签是否正常；同时查看kube-controller-manager的配置参数，确认是否存在相关特性的强制禁用项。

3. Master API服务器的访问控制变更 #

AKS升级可能默认更新API服务器的网络安全组（NSG）规则或RBAC权限策略：比如新增规则限制Pod所在子网访问Master API的6443端口，或者重置了服务账户的权限，导致Pod内应用无法通过服务账户访问Master API。

• 检查方式：查看AKS集群对应的NSG规则，确认Pod子网到Master API端点的6443端口是否允许通行；执行kubectl auth can-i --as=system:serviceaccount:<命名空间>:<服务账户名> get pods，测试目标服务账户的集群访问权限。

4. CoreDNS服务异常 #

Pod间通信依赖CoreDNS解析Service域名，AKS升级后若CoreDNS出现配置错误、Pod崩溃或资源不足，会导致Pod无法解析目标Service地址，同时若CoreDNS无法解析Master API的内部域名kubernetes.default.svc.cluster.local，也会触发无法连接Master的报错。

• 检查方式：执行kubectl get pods -n kube-system -l k8s-app=kube-dns查看CoreDNS Pod状态；进入故障Pod执行nslookup <服务名>.<命名空间>.svc.cluster.local和nslookup kubernetes.default.svc.cluster.local，测试域名解析是否正常。

5. 应用残留网络配置问题 #

即便移除了端口暴露标签，应用可能仍残留旧的硬编码配置（如旧Master地址、过时的Service端口），或者升级后Deployment的环境变量被重置，导致应用无法正确识别集群内部服务和Master API地址。

• 检查方式：查看Deployment的环境变量配置，确认是否存在指向旧集群地址的参数；进入故障Pod执行env | grep KUBERNETES，检查集群相关环境变量是否正确。

内容的提问来源于stack exchange，提问作者Prateek Goel