将GCP Kubernetes集群导入Rancher时出现WebSocket连接错误

首先，从你提供的Agent日志来看，核心错误是：

node.management.cattle.io "c-czjxh/m-348cfc5e3bed" not found

这个错误直接引发了后续的websocket: bad handshake，本质是Rancher Agent无法找到对应的集群管理CRD资源，或是权限不足无法访问，进而没法和Rancher服务器建立正常连接。下面是具体的排查和修复步骤：

1. 验证ClusterRoleBinding的权限配置 #

你之前执行了create clusterrolebinding操作，先确认这个绑定是否给Agent的ServiceAccount赋予了足够权限：

• 查看已创建的ClusterRoleBinding：

  kubectl get clusterrolebinding <你的绑定名称> -o yaml
  

• 确保绑定的ClusterRole具备集群级完整权限（比如默认的cluster-admin），因为Rancher Agent需要访问集群的CRD、节点、命名空间等所有资源才能完成注册和管理。如果是自定义角色，要确保包含node.management.cattle.io这类CRD的读写权限。

2. 重新部署Rancher Agent组件 #

如果Agent部署过程中出现资源缺失，建议先清理现有Agent资源，再重新执行导入命令：

• 删除Agent相关的命名空间和资源：

  kubectl delete namespace cattle-cluster-agent cattle-node-agent
  

• 回到Rancher控制台，重新生成GKE集群的导入命令（确保token是最新的，没有过期），然后在GKE集群的kubectl上下文环境中重新执行。

3. 检查GKE集群的网络连通性 #

websocket握手失败经常和网络不通有关：

• 确认GKE集群的节点出站规则允许访问Rancher服务器的443端口（wss协议走443端口），可以在GKE节点上执行测试：

  curl -I wss://rancher.mydomain.com/v3/connect
  

• 确保Rancher服务器的防火墙没有拦截来自GKE节点的websocket请求。

4. 验证Rancher端的集群状态 #

登录Rancher控制台，查看导入中的GKE集群状态：

• 如果集群显示“注册失败”，尝试点击“重新注册”按钮，触发Rancher重新生成注册信息。
• 检查Rancher服务器的日志，看是否有对应集群注册的错误信息，辅助定位问题。

额外提示 #

这个问题在Rancher 2.x导入GKE集群时比较常见，通常和权限配置不全、Agent部署不完整、网络拦截这几个因素相关，按上面的步骤逐一排查基本能解决。

内容的提问来源于stack exchange，提问作者edwinallenz