Kubernetes中gRPC客户端无法连接无头服务问题求助

1. 确认gRPC Server Pod的端口监听状态 #

• 进入gRPC Server Pod，执行netstat -tulpn或ss -tulpn，确认容器内有进程监听0.0.0.0:50051端口。如果没有，说明gRPC服务本身没启动或端口配置错误。
• 检查Server Pod的就绪/存活探针配置，若探针失败，Pod会被标记为未就绪，无头服务不会把它加入端点列表。

2. 核对无头服务的端口映射与端点 #

• 查看无头服务的YAML配置，确保spec.ports里的port和targetPort都指向50051，协议为TCP：

  ports:
    - name: grpc
      port: 50051
      targetPort: 50051
      protocol: TCP
  

• 执行kubectl describe service bbl-org-server，查看Endpoints字段，确认有对应的Server Pod IP和50051端口。如果端点为空，说明服务和Pod的标签匹配有问题，检查服务的selector是否和Pod的标签一致。

3. 测试TCP层面的连通性 #

• 从客户端Pod执行nc -zv bbl-org-server.default.svc.cluster.local 50051或telnet bbl-org-server.default.svc.cluster.local 50051，验证TCP端口是否能正常连通。ping通只说明IP可达，但TCP端口可能被拦截或未开放。

4. 验证客户端连接逻辑 #

• 检查NodeJS客户端代码，确认没有错误配置gRPC连接参数，比如是否误开启了代理设置（grpc.enable_http_proxy），或者连接超时设置过短。
• 尝试用Server Pod的直接IP替换服务域名连接（比如10.xx.xx.xx:50051），如果能连上，说明问题出在服务域名解析或服务路由；如果还是失败，说明是Pod内部gRPC服务的问题。

5. 排查网络策略与CNI限制 #

• 查看客户端所在Namespace的网络策略：kubectl get networkpolicies，确认没有规则禁止访问Server Pod的50051端口。
• 检查集群CNI插件（如Calico、Flannel）的配置，确认没有拦截Pod间的TCP流量。

6. 查看gRPC服务端日志 #

• 查看Server Pod的gRPC服务日志，确认是否有连接请求到达，是否有初始化失败、权限错误等日志。即使是无安全凭证的连接，服务端也可能有启动异常的日志输出。

内容的提问来源于stack exchange，提问作者Sharan K