OpenShift部署的动态Jenkins连接静态代理报错解决方法

两个报错分别对应两类配置错误：

1. 首次启动报8080端口不可达，是因为OpenShift默认创建的Jenkins路由仅转发Web UI的80/443流量，JNLP代理通信默认走独立TCP端口，配置的连接地址没有正确暴露代理通信端口，导致连接被拒。
2. 新建8080端口路由后报404，是因为新建的路由没有配置正确的路径转发规则，且错误地将jnlp文件下载地址指向了这个临时路由——jnlp文件本身通过Jenkins Web UI的主路由提供服务，单独给8080建的路由没有匹配到/computer/开头的代理接口路径，直接返回404。

• 固定Jenkins JNLP代理端口
  登录Jenkins控制台，进入Manage Jenkins > Configure Global Security，找到Agents配置块，将TCP port for JNLP agents设置为固定值（推荐用默认的50000，不要选随机端口，避免Pod重启后端口变更导致配置失效），保存配置。
• 修正OpenShift侧暴露规则
  1. 检查Jenkins对应的Service配置，确认已添加JNLP端口的映射：容器端口填你上一步设置的固定JNLP端口，服务端口和容器端口保持一致即可。
  2. 暴露JNLP端口供外部代理访问：OpenShift默认的HTTP路由仅支持七层流量转发，JNLP是四层TCP流量，可选择三种暴露方式：
  • 给JNLP端口创建Passthrough类型的TCP路由
  • 将JNLP端口对应的Service改为NodePort类型，通过集群节点IP+NodePort访问
  • 给JNLP端口创建LoadBalancer类型Service，通过负载均衡地址访问
  3. 确认Jenkins主路由可用性：不要用之前单独给8080建的临时路由，回到Manage Jenkins > Configure System，找到Jenkins Location配置块，将Jenkins URL设置为OpenShift默认创建的Jenkins Web访问地址（即最开始使用的xxx-xxx-xxx.apps.ocp1.uat.dbs.com地址），直接在浏览器访问这个地址能正常打开Jenkins控制台即为配置正确。
• 修正代理启动命令
  不要手动拼接jnlpUrl参数，直接打开Jenkins上创建的静态代理详情页，复制页面自动生成的启动命令。如果JNLP端口对外暴露的地址和Jenkins集群内部地址不一致，在启动命令中追加tunnel参数指定实际可访问的JNLP地址：

  java -jar agent.jar -jnlpUrl http://<你的Jenkins主路由地址>/computer/<代理名>/jenkins-agent.jnlp -secret <你的代理密钥> -workDir "<代理工作目录>" -tunnel <JNLP对外暴露地址>:<JNLP端口>
  

• 启动前连通性校验
  1. 在代理节点上执行curl命令访问jnlpUrl地址，确认能正常返回jnlp文件内容，无404/403错误
  2. 在代理节点上执行telnet命令测试JNLP暴露地址+端口，确认TCP连接能正常建立，无防火墙/安全组拦截

• 不要重复给Jenkins Web UI的8080端口创建路由：默认创建的主路由已经配置好了全路径转发规则，自建路由大概率缺失路径匹配规则，访问代理接口就会返回404。
• 不要混淆两个端口的作用：jnlp配置文件通过Web UI的80/443端口下载，代理启动后的长连接通信走独立的JNLP TCP端口，两个端口用途完全独立，不能混用。
• 如果用OpenShift内置的Jenkins镜像，不要随意修改Jenkins的Service端口配置，避免和镜像内置的健康检查规则冲突。

内容的提问来源于stack exchange，提问作者Srinivas