创建AWS EKS集群后kubectl无法连接服务器的问题求助

核心问题 #

你遇到的dial tcp [IP:Port]: i/o timeout错误，本质是集群API endpoint公网访问已关闭（endpointPublicAccess: false），而当前执行kubectl的环境（比如本地电脑、非集群VPC内的机器）处于VPC外部，无法通过内网访问集群API。

解决步骤 #

1. 临时开启公网访问（测试场景） #

如果只是临时需要从外部访问集群，可以开启公网访问并限制IP范围：

• 执行命令修改集群配置（替换[CLUSTER_NAME]和你的公网IP）：

  aws eks update-cluster-config --name [CLUSTER_NAME] --region ap-southeast-1 --resources-vpc-config endpointPublicAccess=true,publicAccessCidrs=["你的公网IP/32"]
  

• 等待集群更新完成（执行aws eks describe-cluster --name [CLUSTER_NAME]查看status是否回到ACTIVE）
• 重新同步kubeconfig：

  aws eks update-kubeconfig --name [CLUSTER_NAME] --region ap-southeast-1 --profile default
  

• 再次测试kubectl get svc

2. 生产环境合规方案（保持公网关闭） #

如果要维持集群的内网访问限制，推荐以下方式：

• 使用VPC内跳板机：在集群所在VPC内创建EC2实例，通过该实例执行kubectl操作（需确保EC2安全组允许出站到集群API的443端口）
• AWS VPN连接：通过AWS VPN Client将本地网络接入集群VPC，实现内网访问
• Session Manager无公网访问：给VPC内的EC2实例附加SSM权限，通过AWS Session Manager远程连接到实例，无需为EC2分配公网IP

3. 额外检查项 #

• 确认kubeconfig的server字段与集群实际endpoint一致：从aws eks describe-cluster的endpoint字段复制替换kubeconfig中的[SERVER_URL]
• 验证AWS凭证有效性：执行aws sts get-caller-identity --profile default，确认返回正确的账号信息
• 检查kubectl版本兼容性：确保kubectl版本与EKS集群版本差距不超过1个大版本（比如集群是1.27，kubectl用1.26-1.28版本）

内容的提问来源于stack exchange，提问作者Woody1193