GKE中Kubernetes LoadBalancer无法通过curl访问的排查及请求追踪咨询

一、概念误用排查 #

你对CLUSTER-IP（集群内部访问）和EXTERNAL-IP（外部访问）的理解是正确的，核心问题不在概念误用，而是访问方式或配置存在疏漏。

二、正确访问LoadBalancer后端Pod的步骤 #

1. 修正访问协议与端口 #

从kubectl get svc的输出看，Service仅声明了TCP协议，未配置TLS相关规则。如果你的Pod内运行的是HTTP服务，需将访问命令改为：

curl -X GET http://2.2.2.2:1111/path

若Pod服务确实是HTTPS，需额外检查：

• Service的targetPort是否指向Pod的HTTPS端口（如443）
• 是否为Service配置了TLS证书（通过Ingress或Service的TLS字段）

2. 验证Service与Pod的关联有效性 #

执行以下命令排查关联问题：

• 核对Service的标签选择器与Pod标签是否匹配：

  # 查看Service的选择器
  kubectl describe svc mylb -n mynamespace | grep -A2 Selector
  # 查看Pod的标签
  kubectl get pods -n mynamespace --show-labels
  

• 检查Service的Endpoints是否正常（即是否关联到运行中的Pod）：

  kubectl get endpoints mylb -n mynamespace
  

  若输出为空，说明标签选择器不匹配或Pod未处于Running状态。

3. 确认Pod自身服务可用性 #

通过端口转发直接访问Pod，验证服务本身是否正常：

kubectl port-forward <你的Pod名称> 本地端口:Pod容器端口 -n mynamespace
# 示例：若Pod容器端口为8080，本地用8080访问
kubectl port-forward pod-xxx-yyy 8080:8080 -n mynamespace
# 本地执行
curl http://localhost:8080/path

4. 检查GKE负载均衡健康状态 #

登录GCP控制台，进入负载均衡页面，找到对应的LoadBalancer：

• 查看后端服务的健康检查结果，若健康检查失败，LoadBalancer会将Pod从后端池中移除，导致请求无法转发
• 确认防火墙规则是否允许外部流量访问Service的1111端口（GKE通常会自动创建规则，但需排查是否被手动修改）

三、追踪请求转发路径的方法 #

1. 查看Pod日志 #

直接查看Pod的应用日志，确认是否有请求到达：

kubectl logs <你的Pod名称> -n mynamespace
# 实时查看日志
kubectl logs -f <你的Pod名称> -n mynamespace

若日志中无请求记录，说明请求未到达Pod，需排查LoadBalancer或Service的转发规则。

2. 标记请求来源 #

在Pod的应用代码中添加日志逻辑，记录每个请求的来源IP和请求路径，这样可以明确追踪到哪些请求被转发到了该Pod。

3. 利用GKE监控工具 #

在GCP控制台的监控页面，查看LoadBalancer的流量指标：

• 查看入站流量是否到达LoadBalancer
• 查看后端服务的请求转发成功率，定位是LoadBalancer层面还是Pod层面的问题

内容的提问来源于stack exchange，提问作者Some Name