EC2上Kubernetes主节点无法访问Service问题咨询

咱们一步步来定位问题，先从基础信息确认开始：

1. 先确认Service的核心配置 #

执行这条命令查看Service的详细信息：

kubectl get svc elastic -o wide

重点检查这几个字段：

• CLUSTER-IP：必须是正常的IP值（不能是<none>）
• PORT(S)：要显示9200/TCP，和你暴露的端口一致
• ENDPOINTS：应该显示worker节点上ElasticSearch Pod的IP+9200端口（如果是空的，说明Service和Pod的标签不匹配，得检查Pod的标签和Service的selector是否对应）

2. 测试主节点到Service的直接连通性 #

拿到上面的CLUSTER-IP后，在主节点上执行：

curl http://<CLUSTER-IP>:9200
# 或者用telnet测试端口是否开放
telnet <CLUSTER-IP> 9200

如果连不上，继续往下排查。

3. 检查Kubernetes网络插件状态 #

kubeadm部署集群后必须安装网络插件，才能让跨节点的Pod和Service正常通信。执行这条命令查看kube-system下的网络插件Pod：

kubectl get pods -n kube-system

找类似flannel-xxx、calico-node-xxx这类的Pod，确保它们全都是Running状态。如果没有这些Pod，说明你漏装了网络插件——这是最常见的原因，赶紧装一个（比如flannel，直接执行官方提供的yaml即可）。

4. 检查AWS安全组规则 #

AWS节点的安全组需要放开这些关键流量：

• 节点之间的Pod网络端口（比如flannel用UDP 8472，calico用UDP 4789，具体看你用的网络插件）
• Kubernetes Service集群IP段的流量（默认是10.96.0.0/12），允许主节点和worker节点双向访问
• 允许主节点和worker节点之间的ICMP（ping）流量，方便测试基础连通性

5. 验证kube-proxy的工作状态 #

kube-proxy负责Service的流量转发，先看它的运行状态：

kubectl get pods -n kube-system -l k8s-app=kube-proxy

确保所有节点上的kube-proxy Pod都是Running。如果有异常，查看日志找问题：

kubectl logs <kube-proxy-pod-name> -n kube-system

日志里如果出现端口占用、iptables规则配置失败的信息，针对性解决即可。

6. 跳过Service，直接测试主节点到Pod的连通性 #

如果前面的步骤都没问题，咱们绕开Service，直接访问worker节点上的ElasticSearch Pod：
先拿到Pod的IP：

kubectl get pod elastic-664569cb68-flrrz -o wide | awk '{print $6}'

然后在主节点上执行：

curl http://<POD-IP>:9200

如果能通，说明问题出在Service的转发逻辑上（比如kube-proxy配置、iptables规则）；如果还是不通，那就是节点之间的网络或者Pod网络的问题（回到步骤3和4）。

额外小提示 #

ElasticSearch 2.x版本默认需要调整JVM堆内存参数，可能出现容器显示Running但实际未正常启动的情况，你可以查看Pod日志确认：

kubectl logs elastic-664569cb68-flrrz

如果日志里有内存不足的报错，需要给Pod添加资源限制或者修改ElasticSearch的启动参数。

内容的提问来源于stack exchange，提问作者DanielSP