GKE集群内连接外部服务（Kafka/数据库）路由故障求助

我来帮你梳理下这个问题的排查方向——节点能通但Pod连不上外部服务的情况，在GKE里通常和网络策略、集群网络配置或者Endpoints的细节有关，咱们一步步来：

1. 先区分是网络连通性问题还是Service/Endpoints配置问题 #

首先在Pod里直接测试访问外部服务的IP，而不是用Service名称：

nc 10.132.0.5 9092

• 如果直接IP也连不通：说明是Pod到外部IP的网络链路有问题，重点看防火墙、集群网络模式；
• 如果直接IP能通但Service名称不通：说明是Service/Endpoints或者DNS解析的问题，重点检查配置和CoreDNS状态。

2. 检查Service与Endpoints的配置一致性 #

虽然你的示例配置看起来没问题，但还是要确认两者的关键参数完全匹配：

• 执行kubectl describe endpoints kafka，确认Addresses里的IP是10.132.0.5，且状态正常；
• 执行kubectl describe service kafka，确认ClusterIP已分配，Ports的port和targetPort都是9092，且Endpoints字段显示的是正确的IP:端口；
• 注意：Service和Endpoints的metadata.name必须完全一致，否则关联会失败。

3. 排查网络策略（NetworkPolicy）的影响 #

如果你的GKE集群启用了NetworkPolicy，默认可能会限制Pod的出站流量：

• 可以临时创建一个允许所有出站流量的策略来测试（记得测试后删除）：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-all-egress
  namespace: default # 替换成你的Pod所在Namespace
spec:
  podSelector: {}
  policyTypes:
  - Egress
  egress:
  - {}

应用后再测试Pod连接，如果能通，说明之前的NetworkPolicy限制了出站流量，需要调整策略允许访问目标IP/端口。

4. 检查VPC防火墙规则 #

GKE节点所在的VPC防火墙可能阻止了Pod的出站流量：

• 首先获取集群的Pod CIDR：

gcloud container clusters describe <你的集群名称> --zone <集群所在区域> | grep podCidr

• 然后在VPC控制台创建一条防火墙规则，允许Pod CIDR段访问10.132.0.5的9092端口（方向为出站）；
• 注意：GKE的节点防火墙规则通常允许节点的流量，但Pod的流量（尤其是VPC-native模式下）需要单独配置。

5. 验证DNS解析是否正常 #

如果直接IP能通但Service名称不通，检查Pod的DNS解析：

• 在Pod里执行nslookup kafka，看是否返回Service的ClusterIP；
• 查看/etc/resolv.conf，确认DNS服务器是集群的CoreDNS IP（通常是10.xx.0.10）；
• 如果解析失败，检查CorePods的状态：kubectl get pods -n kube-system -l k8s-app=kube-dns，查看是否有异常，或者查看日志：kubectl logs -n kube-system -l k8s-app=kube-dns。

6. 确认GKE集群的网络模式 #

如果你的集群是VPC-native（IP别名）模式，Pod使用的是VPC内的IP段，需要确保目标外部IP在VPC的路由范围内，或者VPC有到该IP的路由；如果是传统路由模式，Pod的流量会经过节点NAT，此时要确保节点的NAT规则允许访问目标IP。

按照这个顺序排查，应该能定位到问题所在。

内容的提问来源于stack exchange，提问作者tna0y