使用K8s JS客户端调用AWS上的K8s API-Server频繁出现ECONNREFUSED错误求助

你遇到的这种每4-5次请求就触发ECONNREFUSED的间歇性问题，在AWS托管的Kubernetes集群里挺常见的，大概率和连接复用、集群限流或者网络配置有关，我给你几个实用的排查和解决思路：

1. 优化客户端连接复用配置 #

K8s JS客户端默认的连接管理可能没做优化，频繁创建新连接容易触发AWS或集群的连接限制。试试显式配置HTTP Agent开启连接复用：

const k8s = require('@kubernetes/client-node');
const https = require('https');

// 配置带连接池的Keep-Alive Agent
const keepAliveAgent = new https.Agent({
  keepAlive: true,
  maxSockets: 10, // 可根据你的请求并发量调整
  keepAliveMsecs: 30000 // 和后面ELB超时匹配更稳妥
});

const kc = new k8s.KubeConfig();
kc.loadFromDefault();

// 给API客户端绑定自定义Agent
const coreApi = kc.makeApiClient(k8s.CoreV1Api);
coreApi.requestAgent = keepAliveAgent;
coreApi.defaultHeaders['Connection'] = 'keep-alive';

这样能复用已有连接，减少新连接的创建，降低触发连接拒绝的概率。

2. 检查AWS ELB的连接配置 #

如果你的K8s Master是通过AWS ELB暴露的，ELB的默认设置可能导致连接中断：

• 调整ELB的Idle Timeout：默认60秒，要是客户端连接空闲时间超过这个值，ELB会主动断开连接。建议把它改成和keepAliveMsecs接近的数值（比如30秒）。
• 查看CloudWatch指标：检查ELB的RejectedConnectionCount指标，要是有持续增长，说明ELB的连接数达到上限了，可能需要扩容ELB或者调整控制平面节点数。

3. 验证K8s API Server的限流设置 #

API Server默认有请求限流机制，要是请求频率超过阈值就会拒绝连接。先查看当前配置：

kubectl describe pod kube-apiserver-$(kubectl get nodes -l node-role.kubernetes.io/master -o jsonpath='{.items[0].metadata.name}') -n kube-system | grep -E "max-requests-inflight|max-mutating-requests-inflight"

如果限流值过低，可以调整API Server的启动参数；或者在客户端加个重试逻辑，应对偶尔的连接拒绝：

// 封装带重试的请求函数
async function retryOnConnRefused(apiCall, retries = 3) {
  try {
    return await apiCall();
  } catch (err) {
    if (err.code === 'ECONNREFUSED' && retries > 0) {
      console.log(`连接被拒绝，重试中... 剩余${retries}次`);
      await new Promise(resolve => setTimeout(resolve, 1000));
      return retryOnConnRefused(apiCall, retries - 1);
    }
    throw err;
  }
}

// 使用示例
const allPods = await retryOnConnRefused(() => coreApi.listPodForAllNamespaces());

4. 排查底层网络问题 #

• 持续测试连通性：在客户端机器上用nc -zv <master-node-external-ip> 443循环测试，看是否有间歇性的连接失败。
• 检查安全组：确认客户端所在的AWS安全组允许访问Master节点的443端口，没有临时的规则变更。
• 查看API Server日志：检查Master节点上kube-apiserver的日志，看是否有明确的拒绝连接记录：

kubectl logs kube-apiserver-$(kubectl get nodes -l node-role.kubernetes.io/master -o jsonpath='{.items[0].metadata.name}') -n kube-system | grep -i "refused"

内容的提问来源于stack exchange，提问作者user1570901