无法通过Lisp连接Kubernetes内网服务，curl请求正常

你的核心问题是：Common Lisp通过comm:open-tcp-stream无法连接Kubernetes内网服务（返回NIL），但curl可以正常访问，且该函数连接非K8s服务正常。以下是针对性的排查和解决步骤：

1. 验证主机与端口参数的正确性 #

• 确认传入call-service的host参数是纯域名（比如xxxxxx-xxxx-xxxxx.xxxxxxx-xxxx.xxxx.intranet），不要包含http://或路径部分（/v1/qualification）。
• 确认port参数：如果是HTTP服务，默认是80；如果是HTTPS，默认是443。curl访问时如果没指定端口，说明用的是默认端口，检查Lisp调用时是否传对了端口值。
• 手动在Lisp环境里测试域名解析：

  (comm:lookup-hostname "xxxxxx-xxxx-xxxxx.xxxxxxx-xxxx.xxxx.intranet")
  

  如果返回NIL或错误IP，说明Lisp的DNS解析有问题，需要检查系统DNS配置或Lisp环境的解析参数。

2. 调整连接超时设置 #

comm:open-tcp-stream的:timeout参数设为3秒可能过短，Kubernetes服务的DNS解析或网络链路可能需要更长时间。尝试调大该值，比如改为10秒：

(setf http-stream (comm:open-tcp-stream host port :ssl-ctx ssl-val
                                        :direction :io
                                        :read-timeout timeout
                                        :write-timeout 3
                                        :timeout 10))

3. 检查SSL/TLS配置 #

• 虽然你的URL是http://开头，但有些K8s Ingress会强制重定向到HTTPS。尝试将:ssl-ctx设为comm:make-ssl-client-context（如果之前传的是NIL），并将端口改为443：

  (setf ssl-val (comm:make-ssl-client-context))
  (setf http-stream (comm:open-tcp-stream host 443 :ssl-ctx ssl-val
                                          :direction :io
                                          :read-timeout 10
                                          :write-timeout 3
                                          :timeout 10))
  

• 如果服务用的是自签名证书，需要在SSL上下文里加载根证书：

  (setf ssl-val (comm:make-ssl-client-context :ca-file "/path/to/root-ca.crt"))
  

4. 修复HTTP请求格式问题 #

你的函数发送请求时缺少必要的HTTP头，Kubernetes的Ingress或服务可能需要Host头才能正确路由。修改请求发送部分，添加完整的HTTP请求头：

(format http-stream "POST /v1/qualification HTTP/1.1~c~c" (code-char 13) (code-char 10))
(format http-stream "Host: ~a~c~c" host (code-char 13) (code-char 10))
(format http-stream "Content-Length: ~d~c~c" (length request-msg) (code-char 13) (code-char 10))
(format http-stream "Content-Type: application/json~c~c~c~c" (code-char 13) (code-char 10) (code-char 13) (code-char 10))
(format http-stream "~a" request-msg)

（根据实际请求方法（GET/POST）和内容类型调整）

5. 排查网络权限差异 #

• 确认Lisp进程和curl运行在同一个网络命名空间下：如果Lisp是容器化部署的，检查容器的网络配置是否能访问K8s服务的ClusterIP或Ingress IP。
• 检查Kubernetes的网络策略：是否允许Lisp进程所在的IP或命名空间访问该服务。
• 检查系统防火墙/SELinux：是否限制了Lisp进程的出站网络连接。

6. 启用更详细的调试信息 #

修改代码，捕获comm:open-tcp-stream的具体错误信息，而不是只判断是否为流：

(handler-case
    (setf http-stream (comm:open-tcp-stream host port :ssl-ctx ssl-val
                                            :direction :io
                                            :read-timeout timeout
                                            :write-timeout 3
                                            :timeout 3))
  (error (e)
    (format t "Connection error: ~a~%" e)))

这能帮你定位到底是DNS失败、连接拒绝还是SSL握手错误。

内容的提问来源于stack exchange，提问作者Raymond Indwar