GCP部署ejabberd服务器后无法通过Ingress访问问题求助

核心问题分析 #

你遇到的问题主要来自三个方面：

• 命名空间不一致：Deployment在默认命名空间，而Service和Ingress在development命名空间，导致Ingress无法找到后端Service。
• 健康检查失败：GCE Ingress依赖BackendConfig的健康检查，如果后端实例被标记为不健康，流量不会被转发。
• 协议不兼容：ejabberd的5222端口是XMPP（纯TCP协议），而GCE HTTP Ingress仅支持HTTP/HTTPS流量转发，无法处理纯TCP的XMPP请求。

分步解决方案 #

1. 统一资源命名空间 #

首先将Deployment移至development命名空间，确保所有资源在同一命名空间下：
修改Deployment.yaml，添加命名空间配置：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: ejabberd-deployment
  namespace: development  # 新增这一行
spec:
  replicas: 1
  selector:
    matchLabels:
      app: ejabberd-deployment
  template:
    metadata:
      labels:
        app: ejabberd-deployment
    spec:
      containers:
        - name: ejabberd-container
          image: ejabberd/ecs
          ports:
            - containerPort: 5222
            - containerPort: 5443
            - containerPort: 4369 

2. 修正健康检查配置 #

当前BackendConfig使用HTTPS类型检查/ws路径，若该端点不可用（返回404/非200状态），健康检查会失败。可以换成更可靠的TCP健康检查（仅验证端口是否开放），或者确认ejabberd的正确健康检查端点：

方案A：使用TCP健康检查（推荐）

修改Backendconfig.yaml：

apiVersion: cloud.google.com/v1
kind: BackendConfig
metadata:
  name: ejabberd-backend-config
  namespace: development  # 新增命名空间
spec:
  healthCheck:
    checkIntervalSec: 15
    port: 5443
    type: TCP
    healthyThreshold: 1
    unhealthyThreshold: 3
    timeoutSec: 15

方案B：使用HTTPS健康检查（需确认端点有效性）

先通过LoadBalancer的5443端口测试https://<LB-IP>/ws是否返回200状态码，若返回404，替换为ejabberd的有效端点（比如默认Web Admin的/admin，或API端点/api/status）：

spec:
  healthCheck:
    checkIntervalSec: 15
    port: 5443
    type: HTTPS
    requestPath: /api/status  # 替换为实际有效路径
    healthyThreshold: 1
    unhealthyThreshold: 3
    timeoutSec: 15

3. 调整Service的BackendConfig关联 #

将Service的BackendConfig注释改为按端口关联，避免默认配置影响所有端口：
修改Service.yaml的annotation：

metadata:
  name: ejabberd-service
  namespace: development
  annotations:
    cloud.google.com/backend-config: '{"ports": {"443":"ejabberd-backend-config"}}'  # 指定仅443端口使用该配置

4. 优化Ingress配置 #

去掉冗余的defaultBackend（已有host规则），调整路径匹配规则：
修改Ingress.yaml：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ejabberd-ingress
  namespace: development  # 新增命名空间
  annotations:
    kubernetes.io/ingress.class: "gce"
spec:
  tls:
    - hosts:
        - dev-chat.mydomain.com
      secretName: ssl-secretname
  rules:
    - host: dev-chat.mydomain.com
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: ejabberd-service
                port:
                  number: 443

替代方案（处理XMPP 5222端口流量） #

由于GCE HTTP Ingress不支持纯TCP协议转发，若需通过公网访问ejabberd的XMPP服务（5222端口），可采用以下两种方式：

方案1：单独创建LoadBalancer Service #

创建仅暴露5222端口的LoadBalancer Service：

apiVersion: v1
kind: Service
metadata:
  name: ejabberd-xmpp-service
  namespace: development
spec:
  ports:
  - port: 5222
    targetPort: 5222
    protocol: TCP
    name: xmpp
  selector:
    app: ejabberd-deployment
  type: LoadBalancer

方案2：使用GCP TCP Proxy Load Balancer #

通过GCP控制台或gcloud命令创建TCP Proxy Load Balancer，直接将公网IP映射到ejabberd的5222端口，适合生产环境的高可用场景。

验证步骤 #

1. 重新应用所有配置：

kubectl apply -f Deployment.yaml -f Service.yaml -f Backendconfig.yaml -f Ingress.yaml -n development

2. 查看Ingress状态：

kubectl get ingress ejabberd-ingress -n development

确认ADDRESS已分配，且READY状态为True。
3. 检查健康检查状态：

gcloud compute backend-services describe <backend-service-name> --region <your-region>

（backend-service-name可从Ingress的事件中获取，或通过GCP控制台查看）

内容的提问来源于stack exchange，提问作者Navin Vinayagam