AKS Pod无法通过External IP访问，求配置排查与访问方案

配置文件本身问题排查 #

你的Deployment和Service配置语法无明显错误：

• Deployment的selector.matchLabels与Pod模板的metadata.labels（app: organization）完全匹配，能正常关联Pod
• Service的selector同样匹配Pod标签，端口映射（port:9080对应targetPort:9080）符合常规配置逻辑
• 已配置镜像拉取密钥guidesecret，确保镜像拉取环节的权限配置到位

访问问题排查步骤 #

1. 确认Pod运行状态 #

执行命令：

kubectl get pods -l app=organization

检查Pod的STATUS是否为Running：

• 若显示ImagePullBackOff/ErrImagePull，需验证guidesecret是否正确关联Azure ACR权限，或镜像地址test.azurecr.io/organizationservice:latest是否存在、tag是否正确
• 若Pod无法正常启动，查看日志定位问题：

  kubectl logs <pod-name>
  

2. 验证Service与Pod的关联状态 #

执行命令：

kubectl describe svc organization-service

查看Endpoints字段：

• 若字段为空，说明Service未找到匹配的Pod，需检查Pod的实际标签（执行kubectl describe pod <pod-name>查看Labels），或确认Deployment的selector无拼写错误

3. 检查LoadBalancer的外部IP状态 #

执行命令：

kubectl get svc organization-service

• 若EXTERNAL-IP长期处于<pending>状态，说明AKS集群未配置好Azure负载均衡器的相关权限，或集群所在VNet存在配置限制
• 若EXTERNAL-IP已分配，先在集群内部验证服务可用性：

  kubectl run -it --rm debug-pod --image=busybox -- wget -qO- <cluster-ip>:9080
  

  若内部访问失败，说明服务本身未正常提供服务

4. 检查Pod内部端口监听情况 #

进入Pod内部验证应用是否在9080端口监听：

kubectl exec -it <pod-name> -- netstat -tulpn | grep 9080

若无监听结果，说明应用实际启动端口并非9080，需调整Deployment的containerPort或Service的targetPort为实际端口

5. 检查Azure网络安全组（NSG）配置 #

AKS节点池对应的NSG需开放9080端口的入站规则，否则外部流量无法到达LoadBalancer：

• 在Azure门户找到集群节点池的NSG
• 添加入站规则：源设为Any、端口范围填9080、协议选TCP、动作为允许

内容的提问来源于stack exchange，提问作者Taqi Rizvi