IBM Kubernetes集群kubectl port-forward连接被拒、日志TLS握手报错问题

根因说明 #

kubectl get、kubectl describe 这类常规资源查询命令仅需要和Kubernetes APIServer的443端口完成单向通信即可，而kubectl port-forward和kubectl logs需要APIServer和节点侧kubelet建立双向TLS加密的长连接，IBM Kubernetes Service（IKS）的默认安全策略和其他云厂商K8s集群存在差异，是该问题的核心诱因。

分步修复步骤 #

• 步骤1：更新本地集群kubeconfig配置
  部分情况下本地保存的IBM集群CA证书过期或不完整，会触发长连接场景的TLS握手错误，优先到IBM云控制台重新下载对应集群的kubeconfig配置替换本地文件，完成后执行常规命令确认连通性正常后再测试异常命令。
• 步骤2：放开kubelet端口访问限制
  IKS默认安全组会拦截外部对集群节点10250端口（kubelet TLS服务端口）的访问，而kubectl port-forward和kubectl logs都需要通过该端口和kubelet通信：

  常规资源查询命令仅需要访问APIServer的443端口，所以不会触发异常
  登录IBM云控制台，在对应集群的安全组入站规则中，添加本地出口IP对10250端口的TCP允许规则。

• 步骤3：确认集群端点访问权限
  如果你的IBM集群开启了仅私有端点访问，需要确认本地已经通过VPN、专线等方式接入集群所在的私有网络，公网环境下请求会被拦截导致TLS握手失败。
• 步骤4：临时校验问题根因
  可添加跳过TLS校验参数临时测试，确认问题是否和证书/端口限制相关：
  测试日志命令：kubectl logs {pod_name} --insecure-skip-tls-verify
  测试端口转发命令：kubectl port-forward {pod_name} {本地端口}:{目标端口} --insecure-skip-tls-verify
  如果上述命令可以正常执行，即可确认问题根因为证书校验或端口访问限制，回到前三个步骤完成配置修复即可，不建议长期使用跳过TLS校验的参数。

内容的提问来源于stack exchange，提问作者Alec Jones