Linkerd网格集群中Pod自调用Readiness/Liveness端点的异常问题问询

在运行Linkerd的Kubernetes集群中，已接入服务网格的某Pod出现异常：存在两次Readiness和Liveness探针调用，一次来自kubelet（日志中10.56.108.1 → 10.56.108.3的请求），另一次来自Pod自身的本地回环调用（10.56.108.3 → 10.56.108.3的请求）。其他Pod无此现象，抓包日志如下：

61500 8585.442787151  10.56.108.1 → 10.56.108.3  HTTP 177 GET /readyz HTTP/1.1
61501 8585.442829241  10.56.108.3 → 10.56.108.1  TCP 68 5200 → 53564 [ACK] Seq=1 Ack=110 Win=43648 Len=0 TSval=885352394 TSecr=1855609776
61502 8585.443101851  10.56.108.3 → 10.56.108.3  HTTP 158 GET /readyz HTTP/1.1
61503 8585.443136941  10.56.108.3 → 10.56.108.3  TCP 68 5200 → 49518 [ACK] Seq=178 Ack=181 Win=43776 Len=0 TSval=2132012422 TSecr=2132012422
61504 8585.443699891  10.56.108.3 → 10.56.108.3  HTTP 245 HTTP/1.1 200 OK
61505 8585.443706991  10.56.108.3 → 10.56.108.3  TCP 68 49518 → 5200 [ACK] Seq=181 Ack=355 Win=43648 Len=0 TSval=2132012423 TSecr=2132012423
61506 8585.443804231  10.56.108.3 → 10.56.108.1  HTTP 198 HTTP/1.1 200 OK

• Pod注解的探针代理配置冲突
  若该Pod单独设置了config.linkerd.io/proxy-await: "true"、config.linkerd.io/proxy-readiness-probe或linkerd.io/ready-to-run等注解，可能触发Linkerd sidecar主动向应用发起探针请求，加上kubelet的原生调用，形成两次请求。检查该Pod的注解配置，确认是否存在重复或错误的探针代理规则。

• Sidecar的enableProbeHandler参数异常配置
  Linkerd Proxy的--enable-probe-handler参数默认用于代理kubelet的探针请求，但如果该Pod的sidecar被额外配置了内部探针逻辑（比如通过config.linkerd.io/proxy-config注解自定义配置），会导致sidecar主动发起本地探针调用，与kubelet的请求叠加。查看该Pod的sidecar容器启动参数，确认是否存在重复的探针处理配置。

• 异常的流量路由规则
  若该Pod关联的ServiceProfile或TrafficSplit资源中，错误地将/readyz这类探针路径配置了内部转发规则，会导致sidecar在代理kubelet请求时，触发额外的本地回环调用。检查关联的Linkerd流量规则资源，确认是否有针对探针路径的错误路由配置。

• ProxyInit的iptables规则错误
  ProxyInit容器负责配置Pod的网络转发规则，如果该Pod的ProxyInit配置了错误的iptables规则（比如将出站的探针请求又转发回本地应用端口），会导致请求循环，形成本地回环的二次调用。对比正常Pod与异常Pod的ProxyInit参数及生成的iptables规则，排查差异点。

内容的提问来源于stack exchange，提问作者Andrew Hare