私有GKE集群与外部HTTPS负载均衡器健康检查失败及NEG部署异常求助

我之前调试GKE私有集群的NEG（网络端点组）和外部负载均衡器时，也碰到过类似的防火墙规则配置后仍无法正常工作的情况，给你几个具体的排查方向：

• 检查健康检查端口是否被防火墙放行
  你当前的防火墙规则只允许了tcp:30000-32767和tcp:9376的流量，但外部负载均衡器的健康检查通常会使用独立端口（比如80、443或自定义健康检查端口）。如果健康检查端口不在放行范围内，后端服务会被标记为不健康，负载均衡器就不会转发流量到节点。可以通过gcloud compute health-checks describe [HEALTH_CHECK_NAME]查看健康检查使用的端口，再将其添加到防火墙规则的--allow参数中。

• 确认防火墙规则的目标标签是否正确
  你提供的防火墙规则命令里没有指定--target-tags参数，这可能导致规则没有应用到GKE私有集群的节点上。GKE节点默认带有类似gke-[CLUSTER_NAME]-[NODE_POOL_NAME]-[HASH]的标签，需要将防火墙规则绑定到这个标签上才能确保生效。可以用gcloud compute instances describe [NODE_NAME] --format='value(tags.items)'查看节点标签，然后更新防火墙规则：

  gcloud compute firewall-rules update [RULE_NAME] --target-tags [NODE_TAGS]
  

• 验证NEG与后端服务的关联状态
  先检查NEG的端点是否正常注册：

  gcloud compute network-endpoint-groups describe [NEG_NAME] --region [REGION]
  

  确认输出中的networkEndpoints列表包含节点或Pod的正确IP和端口。再检查后端服务的健康状态：

  # 全局负载均衡器使用此命令
  gcloud compute backend-services get-health [BACKEND_SERVICE_NAME] --global
  # 区域负载均衡器替换为对应区域
  gcloud compute backend-services get-health [BACKEND_SERVICE_NAME] --region [REGION]
  

  如果后端显示不健康，优先排查健康检查配置和防火墙规则。

• 检查节点网络访问权限
  私有集群的节点默认没有公网IP（除非创建节点池时开启了公网访问），如果外部负载均衡器需要通过公网访问节点，需确保节点有公网IP，或配置Cloud NAT让节点能与负载均衡器控制平面通信。另外，确认VPC路由表没有阻止你添加的130.211.0.0/22等源IP段访问节点内部IP。

• 抓包验证流量到达情况
  在集群节点上执行tcpdump命令，抓取目标端口的流量，确认是否有来自负载均衡器源IP的请求：

  tcpdump -i any port [YOUR_SERVICE_PORT] and host [LB_SOURCE_IP_RANGE]
  

  如果没抓到流量，说明防火墙规则或路由有问题；如果抓到流量但无响应，可能是服务未正确监听端口或本身存在故障。

内容的提问来源于stack exchange，提问作者einonsy