Kubernetes master请求worker节点内网IP获取日志超时该如何修复

该报错的根本原因是：Worker节点加入集群时默认上报自身的内网IP给APIServer，Kubernetes APIServer默认使用该内网IP与Worker节点的kubelet进程通信，而AWS上的Master节点和本地托管的Worker节点内网无法互通，因此请求超时。

方案1：修改Worker节点kubelet配置，上报公网IP #

该方案操作最简单，适合单Worker节点、公网IP固定的场景：

• 登录本地Worker节点，找到kubelet启动参数配置文件，常见路径为/var/lib/kubelet/kubeadm-flags.env或/etc/default/kubelet，不同发行版路径可能存在差异
• 在KUBELET_EXTRA_ARGS配置项末尾添加参数：--node-ip=WORKER_PUBLIC_IP，将WORKER_PUBLIC_IP替换为你本地Worker节点的实际公网IP
• 执行命令重启kubelet服务：systemctl daemon-reload && systemctl restart kubelet
• 回到Master节点执行kubectl get nodes -o wide，确认Worker节点的INTERNAL-IP字段已经更新为公网IP，此时再测试日志查询功能即可正常使用

方案2：调整APIServer地址选择优先级，优先访问ExternalIP #

如果集群有多个跨公网部署的Worker节点，可以统一调整APIServer的访问逻辑：

• 首先给Worker节点配置ExternalIP字段：执行kubectl edit node 你的Worker节点名称，在status.addresses配置段下添加如下内容：

  - address: WORKER_PUBLIC_IP
    type: ExternalIP
  

• 登录Master节点，编辑APIServer的静态Pod manifest文件，路径为/etc/kubernetes/manifests/kube-apiserver.yaml
• 在command配置段下添加启动参数：--kubelet-preferred-address-types=ExternalIP,InternalIP,Hostname
• 保存文件后kubelet会自动重启APIServer，等待启动完成后APIServer会优先使用节点的ExternalIP与kubelet通信

方案3：搭建内网隧道打通跨环境网络 #

如果不想将kubelet端口暴露到公网，推荐使用该更安全的方案：

• 在AWS Master节点和本地Worker节点之间搭建内网隧道，可选工具包括WireGuard、VXLAN、frp等
• 配置隧道路由规则，让Master节点可以直接通过Worker节点的内网IP访问到kubelet服务
• 该方案不需要修改Kubernetes层面的任何配置，同时避免了公网暴露服务的安全风险，更适合生产环境使用

• 采用前两种公网访问方案时，需要提前放开Worker节点的防火墙、以及本地网络的端口映射规则，允许Master节点的公网IP访问Worker节点的10250端口
• 端口放开时请做好访问控制，不要对全公网开放10250端口，避免出现安全漏洞

内容的提问来源于stack exchange，提问作者user13843526