Tôi có một nhóm có IP cụm là 10.233.70.35 trong cụm Kubernetes 1.19 kim loại trần với Calico 3.16.9 là CNI. Hãy gọi đây là nhóm A. Trong hầu hết các nút (khác với nút của nhóm A), một nhóm (Khoang B) trong cùng một không gian tên Kubernetes có thể truy cập nhóm A như được hiển thị trong pcap trên nút nơi nhóm A dưới đây:
# tcpdump -vv -i calib33bd7211a6|grep 10.233.109.62
tcpdump: nghe trên calib33bd7211a6, loại liên kết EN10MB (Ethernet), kích thước chụp 262144 byte
10.233.109.62.60372 > 10.233.70.35.tproxy: Flags [S], cksum 0x16af (đúng), seq 2138999970, win 64240, tùy chọn [mss 1460,sackOK,TS val 2089146656 ecr 0,nop,wscale 7], độ dài 0
10.233.70.35.tproxy > 10.233.109.62.60372: Flags [S.], cksum 0xc961 (sai -> 0x579e), seq 3985188010, ack 2138999971, win 65160, tùy chọn [mss 1460,sackOK,TS 9066615nop4 ,wscale 7], chiều dài 0
10.233.109.62.60372 > 10.233.70.35.tproxy: Flags [.], cksum 0x82fd (đúng), seq 1, ack 1, win 502, tùy chọn [nop,nop,TS val 2089146656 ecr 4061902615], độ dài 0
# tcpdump -vv -i tunl0|grep 10.233.109.62
tcpdump: nghe trên tunl0, RAW kiểu liên kết (IP thô), kích thước chụp 262144 byte
10.233.109.62.34294 > 10.233.70.35.tproxy: Flags [S], cksum 0xbd5b (đúng), seq 1964000002, win 64240, tùy chọn [mss 1460,sackOK,TS val 1018637359 ecr 0,nop,wscale 7], độ dài 0
10.233.70.35.tproxy > 10.233.109.62.34294: Flags [S.], cksum 0xc961 (sai -> 0x7b0b), seq 1667300057, ack 1964000003, win 65160, tùy chọn [mss 1460,sackOK,TS 38 val 24061,9op 378,9op ,wscale 7], chiều dài 0
10.233.109.62.34294 > 10.233.70.35.tproxy: Flags [.], cksum 0xa66a (đúng), seq 1, ack 1, win 502, tùy chọn [nop,nop,TS val 1018637359 ecr 4061982287], độ dài 0
10.233.109.62.34294 > 10.233.70.35.tproxy: Flags [F.], cksum 0x592f (đúng), seq 1, ack 1, win 502, tùy chọn [nop,nop,TS val 1018657129 ecr 4061982287], độ dài 0
10.233.70.35.tproxy > 10.233.109.62.34294: Cờ [F.], cksum 0xc959 (không chính xác -> 0x0bec), seq 1, ack 2, win 510, tùy chọn [nop,nop,TS val 4062002057 ecr 1018657129], độ dài 0
10.233.109.62.34294 > 10.233.70.35.tproxy: Flags [.], cksum 0x0bf3 (đúng), seq 2, ack 2, win 502, tùy chọn [nop,nop,TS val 1018657130 ecr 4062002057], độ dài 0
Tuy nhiên, trong một số máy (lại khác với nút của nhóm A), một nhóm (Khoang C) trong cùng một không gian tên k8s không thể truy cập nhóm A mặc dù nó có thể đến được đường hầm của nhóm Anút của như hình dưới đây:
# tcpdump -vv -i calib33bd7211a6|grep 10.233.82.51
tcpdump: nghe trên calib33bd7211a6, loại liên kết EN10MB (Ethernet), kích thước chụp 262144 byte
# tcpdump -vv -i tunl0|grep 10.233.82.51
tcpdump: nghe trên tunl0, RAW kiểu liên kết (IP thô), kích thước chụp 262144 byte
10.233.82.51.35038 > 10.233.70.35.tproxy: Flags [S], cksum 0xc924 (đúng), seq 2532090843, win 64240, tùy chọn [mss 1460,sackOK,TS val 3899329055 ecr 0,nop,wscale 7], độ dài 0
10.233.82.51.35038 > 10.233.70.35.tproxy: Flags [S], cksum 0xc529 (đúng), seq 2532090843, win 64240, tùy chọn [mss 1460,sackOK,TS val 3899330074 ecr 0,nop,wscale 7], độ dài 0
10.233.82.51.35038 > 10.233.70.35.tproxy: Flags [S], cksum 0xbd49 (đúng), seq 2532090843, win 64240, tùy chọn [mss 1460,sackOK,TS val 3899332090 ecr 0,nop,wscale 7], độ dài 0
10.233.82.51.35038 > 10.233.70.35.tproxy: Flags [S], cksum 0xacc9 (đúng), seq 2532090843, win 64240, tùy chọn [mss 1460,sackOK,TS val 3899336314 ecr 0,nop,wscale 7], độ dài 0
10.233.82.51.35038 > 10.233.70.35.tproxy: Flags [S], cksum 0x8cc9 (đúng), seq 2532090843, win 64240, tùy chọn [mss 1460,sackOK,TS val 3899344506 ecr 0,nop,wscale 7], độ dài 0
10.233.82.51.35038 > 10.233.70.35.tproxy: Flags [S], cksum 0x4dc9 (đúng), seq 2532090843, win 64240, tùy chọn [mss 1460,sackOK,TS val 3899360634 ecr 0,nop,wscale 7], độ dài 0
10.233.82.51.35038 > 10.233.70.35.tproxy: Flags [S], cksum 0xc9c8 (đúng), seq 2532090843, win 64240, tùy chọn [mss 1460,sackOK,TS val 3899394426 ecr 0,nop,wscale 7], độ dài 0
Tôi có thể làm gì để khắc phục điều này sao cho nhóm A có thể truy cập được bởi bất kỳ nhóm nào trong bất kỳ nút nào không?
Tất cả các nút nằm trong cùng một mạng con nhưng trải rộng trên hai công tắc L2. Tuy nhiên, sự cố này dường như xảy ra đối với một số nút trong một trong các công tắc vì nhóm AMáy của ông đã đến được đường hầm, nhận xét này không liên quan.
