裸金属环境下HAProxy无法对接Kubernetes NodePort后端问题咨询

该问题90%以上概率由HAProxy所在主机的SELinux策略拦截导致，其余可能原因如下：

• 你提到的禁用SELinux是K8s集群节点的操作，遗漏了HAProxy独立主机的SELinux配置。RHEL/CentOS系列系统默认SELinux处于Enforcing模式时，运行HAProxy的进程安全上下文为haproxy_t，默认规则禁止该类服务进程主动向外发起TCP连接到非标准Web端口，而你手动执行curl命令的进程属于无限制的unconfined_t上下文，不会触发该策略拦截，因此出现手动访问正常、HAProxy连接被拒的差异。日志中的General socket error (Permission denied)是SELinux拦截的典型特征。
• 仅关闭firewalld服务不会自动清空已下发的iptables/nftables规则，HAProxy主机可能存在遗留的出站拦截规则，阻止了HAProxy进程的连接请求。
• 若你手动修改过HAProxy的运行用户为非root用户，且未配置CAP_NET_BIND_SERVICE、CAP_NET_RAW等必要的网络能力，也会出现发起连接时权限不足的问题。

• 运行上下文不同：手动执行的curl继承当前登录用户的权限和安全上下文，默认不受系统服务类安全策略限制；HAProxy作为系统后台服务运行，有独立的安全上下文、权限约束和资源限制。
• 源端口选择逻辑不同：curl默认随机选择高位源端口发起连接，部分HAProxy配置会指定固定源端口发起连接，可能触发端口相关的安全策略拦截。
• 网络特性配置不同：HAProxy默认可能开启TCP Fast Open、地址透传等额外网络特性，可能和当前主机的内核网络配置冲突导致报错。

• 先执行getenforce查看HAProxy主机的SELinux状态，若返回Enforcing，执行setsebool -P haproxy_connect_any 1开启HAProxy出站连接权限，测试服务是否恢复正常。若要彻底关闭SELinux，修改/etc/selinux/config文件中SELINUX=disabled，重启主机后生效。
• 执行iptables -F && iptables -t nat -F && iptables -t mangle -F && iptables -X清空HAProxy主机的残留iptables规则，排除规则拦截影响。
• 若上述操作无效，可尝试临时以root用户手动启动HAProxy进程测试，排查是否为服务运行用户的权限配置问题。

内容的提问来源于stack exchange，提问作者Adam Winter