托管Azure Kubernetes集群连接报错：执行kubectl cluster-info遇TLS握手超时

先还原你遇到的错误场景：

执行kubectl cluster-info命令后出现如下错误：
Kubernetes master运行于https://xxx-xxx-aks-yyyy.hcp.westeurope.azmk8s.io:443；
如需进一步调试诊断集群问题，请使用kubectl cluster-info dump命令；
无法连接到服务器：net/http: TLS handshake timeout。
命令执行环境：Rifats-MacBook-Pro:~ rifaterdemsahin$ kubectl cluster-info

这个TLS握手超时问题大概率和网络连通性、认证配置或者本地环境有关，我给你整理几个实用的排查和解决步骤：

1. 验证网络连通性 #

TLS握手超时最常见的原因是本地网络无法正常访问AKS的API服务器。你可以用nc命令测试端口可达性：

nc -zv xxx-xxx-aks-yyyy.hcp.westeurope.azmk8s.io 443

如果返回连接失败，那大概率是你的公司防火墙、VPN或者本地网络策略阻止了443端口的出站请求，需要联系网络团队确认是否允许访问该AKS API地址。

2. 刷新AKS集群的kubeconfig配置 #

有时候kubeconfig里的认证凭证过期或者配置有误，也会导致握手异常。你可以重新获取最新的集群配置：

az aks get-credentials --resource-group <你的资源组名称> --name <AKS集群名称>

执行完这条命令后，再重新运行kubectl cluster-info试试，它会自动更新本地的~/.kube/config文件。

3. 检查本地系统时间与证书状态 #

TLS握手对系统时间的同步要求很高，如果你的Mac系统时间和AKS服务器时间偏差过大，会触发证书验证失败。你可以：

• 打开Mac的「系统偏好设置」→「日期与时间」，勾选「自动设置日期与时间」，确保时间同步正常。
• 重新获取kubeconfig的步骤已经覆盖了证书有效性的检查，这一步可以顺带解决证书配置异常的问题。

4. 排查本地代理干扰 #

如果你本地开启了HTTP/HTTPS代理，可能会阻断kubectl和AKS的TLS连接。可以临时关闭代理试试：

unset HTTP_PROXY HTTPS_PROXY NO_PROXY

之后再执行kubectl cluster-info测试。如果关闭代理后正常，你需要把AKS的API地址加入到代理的白名单中。

5. 用dump命令获取详细诊断日志 #

按照错误提示，你可以执行kubectl cluster-info dump来获取更详细的连接日志，这能帮你定位更具体的问题：

kubectl cluster-info dump --output-directory ./aks-diagnostic-logs

生成的日志文件里会包含TLS握手过程的详细错误信息，方便进一步排查。

内容的提问来源于stack exchange，提问作者Rıfat Erdem Sahin