K8s中Nginx Ingress暴露的gRPC服务Go访问报连接关闭问题如何解决

核心原因 #

你的Ingress配置了nginx.ingress.kubernetes.io/ssl-redirect: "true"，会强制将所有HTTP请求重定向到HTTPS协议，而grpcurl默认会自动对443端口发起TLS握手，因此可以正常请求。
你的Golang代码中使用grpccon.WithInsecure()配置是用于明文HTTP gRPC请求，请求到443端口后Nginx要求进行TLS握手，客户端未做对应TLS配置会直接断开连接，因此返回rpc error : code = Unavailable desc = connection closed错误。

修复方案 #

方案1：配置正规TLS凭证（推荐，适用于生产环境） #

如果你的Ingress使用的是公认可信机构颁发的证书，直接使用默认TLS配置即可：

import (
  "crypto/tls"
  "google.golang.org/grpc/credentials"
)

// 替换原有Dial逻辑
creds := credentials.NewTLS(&tls.Config{
  ServerName: "<你的Ingress绑定的域名>", // 必须和证书的通用名/备用名匹配
})
conn, err := grpc.Dial("<address>:443", grpc.WithTransportCredentials(creds))
if err != nil {
  log.Fatalf("连接建立失败: %v", err)
}

如果使用自签名证书，将证书的CA根证书添加到TLS配置的RootCAs字段即可。

方案2：临时测试跳过TLS校验（仅测试环境使用，禁止生产部署） #

如果是测试场景不需要校验证书合法性，可以使用跳过TLS校验的配置，注意不要使用已废弃的WithInsecure()：

import "google.golang.org/grpc/credentials/insecure"

creds := insecure.NewCredentials()
conn, err := grpc.Dial("<address>:443", grpc.WithTransportCredentials(creds), grpc.WithBlock())

附加排查项 #

• 不要忽略Dial方法返回的错误，你原有代码中直接用_丢弃了连接建立阶段的错误，会导致无法提前感知握手失败的具体原因
• 可在Dial时添加超时配置，提前定位连接问题：

  ctx, cancel := context.WithTimeout(context.Background(), 5*time.Second)
  defer cancel()
  conn, err := grpc.DialContext(ctx, "<address>:443", grpc.WithTransportCredentials(creds), grpc.WithBlock())
  

• 确认Ingress的443端口无防火墙、安全组拦截，TLS证书配置和域名匹配
• 确认gRPC客户端库版本和服务端版本兼容，避免版本差异导致的握手失败

内容的提问来源于stack exchange，提问作者Olive