K8s新Pod无法连接SFTP服务器问题排查与解决方案咨询

• K8s容器化应用每次启动新Pod，连接SFTP服务器时均出现超时失败
• Pod所在宿主机可通过以下命令成功连接SFTP：

  sshpass -p password sftp user@ip-address
  

• Pod使用的Python连接脚本如下：

  transport = paramiko.Transport((host, 22))
  transport.connect(username, password, hostkey=None, pkey=none)
  connect = paramiko.SFTPClient.from_transport(transport)
  

• 推测失败原因：新Pod每次分配的IP不在SFTP服务器的白名单范围内

针对Pod IP未在SFTP白名单导致的连接问题，可通过以下几种配置修改解决：

1. 启用宿主机网络模式 #

让Pod直接使用宿主机的网络栈，这样Pod对外访问的IP就是已在白名单中的宿主机IP。修改Pod的Deployment或Pod定义：

spec:
  hostNetwork: true

注意：该方式会占用宿主机端口，同一宿主机上不能有多个Pod使用相同端口，且会降低Pod的网络隔离性。

2. 配置SNAT实现源地址转换 #

通过K8s集群网络插件或节点iptables规则，将Pod的出站流量源地址转换为宿主机IP：

• 如果使用Calico、Flannel等CNI插件，可配置集群级或Namespace级的SNAT规则，让指定Pod的流量以宿主机IP出站。
• 也可通过iptables在节点上手动配置（可通过DaemonSet批量部署到所有节点）：

  iptables -t nat -A POSTROUTING -s <Pod子网CIDR> -d <SFTP服务器IP> -j SNAT --to-source <宿主机IP>
  

3. 扩展SFTP白名单范围 #

如果SFTP服务器支持，直接将K8s集群的Pod整个子网段加入白名单，这样所有Pod的IP都会被允许访问。这种方式无需修改Pod配置，适合Pod数量多、IP频繁变化的场景。

关于宿主机公钥存入ConfigMap的疑问 #

不需要将宿主机公钥存入Pod的ConfigMap。你的Python脚本已通过hostkey=None跳过主机密钥验证，且当前使用密码认证方式，和宿主机公钥无关。若后续改用密钥认证，只需将SFTP服务器认可的密钥对存入ConfigMap或Secret，挂载到Pod中使用即可，无需使用宿主机的公钥。

内容的提问来源于stack exchange，提问作者Harish