执行kubectl apply命令无法连接GKE集群服务器的问题求助

问题描述 #

我正在搭建GKE集群并通过kubectl交互，执行kubectl apply -f k8s/canary/namespace.yaml应用命名空间时出错。已在GKE控制台将自身IP添加到控制平面授权网络，使用Windows 10系统，kube/config配置如下：

apiVersion: v1
clusters:
- cluster:
    certificate-authority-data: [REDACTED]
    server: https://34.66.200.196
  name: gke_project-307907_us-central1_test
contexts:
- context:
    cluster: gke_project-307907_us-central1_test
    user: gke_project-307907_us-central1_test
  name: gke_project-307907_us-central1_test
current-context: gke_project-307907_us-central1_test
kind: Config
preferences: {}
users:
- name: gke_project-307907_us-central1_test
  user:
    exec:
      apiVersion: client.authentication.k8s.io/v1beta1
      command: gke-gcloud-auth-plugin.exe
      installHint: Install gke-gcloud-auth-plugin for use with kubectl by following
        https://cloud.google.com/blog/products/containers-kubernetes/kubectl-auth-changes-in-gke
      provideClusterInfo: true

执行命令后报错：

╰─ kubectl apply -f k8s/canary/namespace.yaml
Unable to connect to the server: dial tcp 34.66.200.196:443: connectex: A connection attempt failed because the connected party did not properly respond after a period of time, or established connection failed because connected host has failed to respond.

核心问题分析 #

报错显示无法连接GKE控制平面IP的443端口，属于网络连通性问题，优先从网络配置、授权规则、本地环境三个方向排查。

具体排查步骤 #

1. 验证本地公网IP是否正确添加到授权网络

   • 获取当前真实公网IP（可通过命令行执行curl ifconfig.me或访问公网IP查询站点），对比GKE控制台中「控制平面授权网络」列表里的IP：
     • 注意：若使用代理、VPN或运营商NAT，实际出口IP可能和本地网卡IP不同
     • 确保IP格式正确，建议手动添加/32后缀（如x.x.x.x/32），明确指定单个IP
   • 若IP不符，更新授权网络列表后等待2-3分钟生效（GKE控制平面规则更新存在延迟）

2. 测试本地到控制平面IP的网络连通性

   • Windows命令提示符执行：

     telnet 34.66.200.196 443
     

     或PowerShell执行：

     Test-NetConnection 34.66.200.196 -Port 443
     

   • 若测试失败，说明本地网络到GKE控制平面的443端口被阻断：
     • 检查本地防火墙、杀毒软件是否拦截出站443流量
     • 检查路由器是否封禁了对GCP us-central1区域IP段的访问
     • 尝试切换到手机热点网络，排除固定网络的限制

3. 确认kubeconfig配置的正确性

   • 验证gke-gcloud-auth-plugin是否正常工作：
     执行gke-gcloud-auth-plugin version，确保插件已正确安装且版本兼容当前kubectl
   • 重新生成kubeconfig配置，避免手动修改导致的错误：

     gcloud container clusters get-credentials test --zone us-central1 --project project-307907
     

   • 检查生成后的kubeconfig中server字段的IP是否和GKE控制台显示的控制平面IP一致

4. 检查GKE集群状态

   • 登录GKE控制台，确认集群状态为「运行中」，控制平面组件无异常
   • 若集群刚创建完成，等待5-10分钟让控制平面完全初始化后再尝试连接

额外注意事项 #

• Windows系统中，确保kubectl和gke-gcloud-auth-plugin都添加到系统环境变量PATH中，避免执行时找不到命令
• 若使用WSL2环境，需单独将WSL的公网IP添加到授权网络，或直接在WSL中执行gcloud命令生成适配WSL的kubeconfig

内容的提问来源于stack exchange，提问作者ImRopoxPro