GCP GKE集群中仅tenant服务连接Cloud PostgreSQL超时如何解决？

1. 网络连通性基础排查 #

• 先确认Pod调度节点分布：执行kubectl get pods -o wide，对比三个服务Pod的NODE字段，确认tenant Pod是否和另外两个正常服务运行在不同节点。如果节点不同，优先核查异常节点的VPC网络权限：
  • 检查GCP Cloud SQL私有IP的授权访问范围，是否包含tenant节点所在的子网网段
  • 检查VPC防火墙规则，是否对tenant节点开放了到10.15.128.10:5432的出口流量
• 进入tenant Pod手动测试连通性：
  执行kubectl exec -it tenant-5c4b4d55dd-jvdbh -- /bin/bash进入容器后，依次执行：
  • ping 10.15.128.10 验证三层网络可达性
  • nc -zv 10.15.128.10 5432 验证数据库端口连通性
    若以上测试失败，直接判定为网络层问题，与业务代码无关。

2. Kubernetes层面规则排查 #

• 检查集群网络策略：执行kubectl get networkpolicy，如果存在配置的网络策略，确认是否限制了tenant Pod访问10.15.128.0/24网段5432端口的出口流量，另外两个服务可能已配置放行规则但tenant未包含在内。
• 检查tenant Pod的特殊配置：对比tenant与正常服务的Pod YAML配置，排查是否存在特殊注解、ServiceAccount绑定、污点容忍等配置导致网络路由异常。

3. 镜像与依赖验证 #

• 重新核对Cloud Build构建tenant镜像的日志，确认Npgsql数据库驱动版本、运行时环境与另外两个正常服务完全一致，排查构建过程中依赖缺失、环境变量配置错误的问题。
• 复用identityServer的镜像创建临时测试Pod，模拟tenant的调度配置，若测试Pod可正常连接数据库则判定为tenant镜像构建问题，若仍无法连接则进一步确认是调度/网络层问题。

4. GCP免费配额核查 #

• 进入GCP控制台配额页面，核查对应可用区的内部IP配额、VPC连接数配额是否已耗尽，免费试用额度的配额限制可能会导致部分节点的对外连接被拦截。
• 核查Cloud SQL实例的当前连接数、CPU/内存负载，排除实例资源耗尽导致的新连接被拒绝问题。

5. 交叉验证测试 #

• 通过nodeSelector将tenant Pod强制调度到identityServer所在的正常节点，若调度后连接正常则可确认问题出在原节点的网络配置/权限上。
• 临时放开VPC防火墙对应网段的5432端口规则，验证是否为防火墙规则误拦截导致的连接失败。

内容的提问来源于stack exchange，提问作者sambath999