K8s跨Namespace Pod访问Service失败排查与解决咨询

问题现象 #

尝试从两个不同命名空间的Pod访问service-ricplt-e2mgr-http Service：

• ricplt命名空间的rtmgr Pod：可正常ping通目标Service
• ricxapp命名空间的kpimon-go Pod：执行ping service-ricplt-e2mgr-http时提示Name or service not known

故障Pod（kpimon-go）关键信息 #

root@kpimon-go:/opt# cat /etc/resolv.conf 
nameserver 10.96.0.10
search ricxapp.svc.cluster.local svc.cluster.local cluster.local
options ndots:5

root@kpimon-go:/opt# ping service-ricplt-e2mgr-http
ping: service-ricplt-e2mgr-http: Name or service not known

正常Pod（rtmgr）关键信息 #

root@rtmgr:/# cat /etc/resolv.conf 
nameserver 10.96.0.10
search ricplt.svc.cluster.local svc.cluster.local cluster.local
options ndots:5

root@rtmgr:/# ping service-ricplt-e2mgr-http
PING service-ricplt-e2mgr-http.ricplt.svc.cluster.local (10.101.210.88) 56(84) bytes of data.
64 bytes from service-ricplt-e2mgr-http.ricplt.svc.cluster.local (10.101.210.88): icmp_seq=1 ttl=64 time=0.059 ms

集群Service与Pod信息 #

确认目标Service存在于ricplt命名空间：

/home/ravi>kubeclt get svc -n ricplt | grep e2mgr-http
service-ricplt-e2mgr-http   ClusterIP   10.101.210.88   <none>        3800/TCP   4h21m

原因分析 #

1. DNS搜索域差异：
   • rtmgr Pod的DNS搜索域包含ricplt.svc.cluster.local，ping短名称时DNS会自动补全该域，解析为service-ricplt-e2mgr-http.ricplt.svc.cluster.local，匹配到目标Service。
   • kpimon-go Pod的DNS搜索域仅包含ricxapp.svc.cluster.local及全局域，短名称搜索时不会遍历ricplt命名空间的域，导致解析失败。
2. 跨命名空间访问规则：K8s中跨命名空间访问Service必须使用完全限定域名（FQDN），格式为<服务名>.<命名空间>.svc.cluster.local，仅用短名称只能解析当前命名空间内的Service。

解决办法 #

1. 临时测试验证 #

直接使用FQDN访问目标Service：

ping service-ricplt-e2mgr-http.ricplt.svc.cluster.local

2. 永久解决方案 #

方案一：代码/配置中使用FQDN

在kpimon-go应用的配置或代码中，将Service地址改为完整的FQDN：service-ricplt-e2mgr-http.ricplt.svc.cluster.local，这是跨命名空间访问的标准方式。

方案二：修改Pod的DNS搜索域

通过Pod的dnsConfig字段添加ricplt命名空间的搜索域，让短名称可自动解析：

apiVersion: v1
kind: Pod
metadata:
  name: kpimon-go
  namespace: ricxapp
spec:
  containers:
  - name: kpimon-go
    image: <镜像地址>
  dnsConfig:
    searches:
    - ricxapp.svc.cluster.local
    - ricplt.svc.cluster.local
    - svc.cluster.local
    - cluster.local

方案三：在ricxapp命名空间创建代理Service

创建ExternalName类型的Service，将本地名称映射到目标Service的FQDN：

apiVersion: v1
kind: Service
metadata:
  name: service-ricplt-e2mgr-http
  namespace: ricxapp
spec:
  type: ExternalName
  externalName: service-ricplt-e2mgr-http.ricplt.svc.cluster.local

创建后，kpimon-go Pod即可通过短名称service-ricplt-e2mgr-http访问目标Service。

内容的提问来源于stack exchange，提问作者myquest5 sh