GKE集群中客户端Pod访问服务端ClusterIP服务5000端口失败问题排查

根因分析 #

你遇到的前端请求失败的核心问题是：React 属于客户端渲染框架，你写的 fetch 代码运行在访问前端的用户浏览器中，而非你部署在 GKE 里的 client Pod 内部。K8s 内部的 ClusterIP Service 域名只能在集群内部网络解析，公网环境的浏览器根本无法识别这类内部域名，也无法直接访问集群内部非暴露的服务。

异常现象解释 #

• busybox Pod 能正常访问 server-cluster-ip-service:5000：是因为 busybox 运行在集群内部，可正常解析 Service 域名并访问 ClusterIP，说明你的服务端 Deployment、Service 配置本身没有问题，集群内部网络连通性正常。
• 客户端 Pod 无法解析短域名，仅完整 FQDN 可解析：可先进入客户端 Pod 查看 /etc/resolv.conf 配置，确认 search 域是否包含 default.svc.cluster.local svc.cluster.local cluster.local，如果缺失一般是 Pod DNS 策略配置被修改，或镜像本身修改了 DNS 相关配置（比如部分精简 Alpine 镜像存在 nsswitch 配置缺失的问题）。
• 不带端口的完整 FQDN 返回非 JSON 200 状态：该请求根本没有到达你的服务端，大概率是本地环境域名解析规则（比如 hosts 配置、代理规则）将该域名解析到了其他公网80端口服务，返回的是其他站点内容。

安全组与Shielded节点检查说明 #

你的问题和节点安全组、GKE Shielded节点安全策略无关：ClusterIP Service 的流量仅在集群内部转发，不会经过节点公网安全组；且你已经验证了集群内部可正常访问服务端，说明网络拦截规则没有限制集群内部流量。
如果需要确认 Shielded 节点配置：

1. 登录GCP控制台，进入对应GKE集群详情页，切换到「节点」标签页，点击对应节点池，在「安全」分类下可直接查看Shielded GKE节点是否开启
2. 也可通过gcloud命令查询：gcloud container clusters describe 集群名 --zone 集群所在区域 | grep shieldedNodes

解决方案 #

要让浏览器侧的前端代码能正常访问到服务端，可选以下任意一种方案：

• 将服务端 Service 类型改为 NodePort 或 LoadBalancer，对外暴露公网访问地址，前端 fetch 代码直接写该公网地址+端口
• 集群部署 Ingress 控制器，配置 Ingress 规则将前端路径、后端接口路径分别对外暴露，前端直接用相对路径发起请求（比如 fetch('/api')），由 Ingress 负责将请求转发到对应的内部 Service
• 仅本地测试场景可使用 kubectl port-forward service/server-cluster-ip-service 5000:5000 将服务端端口映射到本地，前端请求写 http://localhost:5000 即可

内容的提问来源于stack exchange，提问作者Davtho1983