Kubernetes多Pod同时运行时触发503 upstream connect error问题咨询

这个报错是Contour底层的Envoy代理抛出的上游连接失败错误，结合“每隔一次请求报错一次”的特征，优先按以下路径排查：

• 检查Contour控制平面日志，执行命令kubectl logs -n projectcontour deployment/contour，重点查看有没有HTTPProxy配置校验失败、xDS规则推送异常、域名/路径匹配冲突的相关报错
• 检查所有HTTPProxy资源的匹配规则，确认是否存在相同域名+相同路径前缀匹配到多个HTTPProxy的场景，Contour遇到多规则匹配时会随机选择路由规则，是触发间隔报错的高频原因
• 检查对应服务的Endpoint列表，执行命令kubectl get endpoints <你的服务名>，确认是否存在未就绪的Pod IP被加入Endpoint，Envoy将请求转发到不可用IP时会直接抛出该错误
• 查看Envoy数据面的异常统计，执行命令kubectl exec -n projectcontour <Envoy Pod名称> -- curl -s localhost:9001/stats | grep "upstream_cx_connect_fail\|upstream_rq_503"，确认对应上游集群的连接失败次数是否和报错次数匹配
• 核对所有HTTPProxy的服务端口配置，确认spec.routes.services.port和对应Service的targetPort、Pod的containerPort完全一致，避免错配端口导致的连接失败

对应排查出的问题，按以下方案处理：

• 路由匹配冲突：给每个HTTPProxy配置更精确的路径匹配规则，或者通过spec.virtualhost.fqdn为不同服务分配独立的访问域名，避免多规则模糊匹配；如果集群内有多个Contour实例，需要给HTTPProxy添加spec.ingressClassName明确绑定对应实例
• 端口配置错配：统一核对HTTPProxy、Service、Pod三层的端口配置，确保端口号、协议（HTTP/HTTPS）完全匹配
• 连接池资源耗尽：多服务启动后上游连接数上涨，默认连接池配置不足会导致请求被拒，可在HTTPProxy中添加自定义连接池配置，示例如下：

spec:
  routes:
  - services:
    - name: 你的服务名称
      port: 80
    connectionPoolSettings:
      http:
        maxConnections: 2048
        maxPendingRequests: 1024
        maxRequests: 2048

• 异常Endpoint：给所有服务添加就绪探针（readinessProbe），确保只有正常运行的Pod会被加入Endpoint列表；也可在HTTPProxy中配置Envoy主动健康检查，自动剔除不可用的上游节点

内容的提问来源于stack exchange，提问作者chidog12