- 动态与公告
- 产品简介
- 购买指南
- 快速入门
- 操作指南
- 常见问题
- 常见问题汇总
- 权限相关
- Envoy Sidecar 未就绪导致 Pod 启动失败
- Envoy 异常状态码 431 Request Header Fields Too Large
- Envoy 默认会将 Header 转换为小写
- Headless Service 相关问题
- Istio-init crash
- Virtual Service 不生效
- Virtual Service 路由匹配顺序问题
- 公网 Ingress Gateway 不通
- 启用 Smart DNS 后解析失败
- 地域感知不生效
- 客户端状态码 426 Upgrade Required
- 没有自动注入 Sidecar
- 熔断不生效
- 访问 StatefulSet Pod IP 返回 404
- 重试策略导致服务异常
- 链路追踪信息不完整
- TCM 政策
- 词汇表
- 动态与公告
- 产品简介
- 购买指南
- 快速入门
- 操作指南
- 常见问题
- 常见问题汇总
- 权限相关
- Envoy Sidecar 未就绪导致 Pod 启动失败
- Envoy 异常状态码 431 Request Header Fields Too Large
- Envoy 默认会将 Header 转换为小写
- Headless Service 相关问题
- Istio-init crash
- Virtual Service 不生效
- Virtual Service 路由匹配顺序问题
- 公网 Ingress Gateway 不通
- 启用 Smart DNS 后解析失败
- 地域感知不生效
- 客户端状态码 426 Upgrade Required
- 没有自动注入 Sidecar
- 熔断不生效
- 访问 StatefulSet Pod IP 返回 404
- 重试策略导致服务异常
- 链路追踪信息不完整
- TCM 政策
- 词汇表
从公网访问 ingressgateway 不通。
常见原因
安全组没放通 NodePort
TCM 安装的 ingressgateway ，暴露方式默认使用 CLB 绑定节点 NodePort，所以流量链路是: client –> CLB –> NodePort –> ingressgateway。
关键链路在于 CLB –> NodePort，CLB 转发的数据包不会做 SNAT，所以报文到达节点时源 IP 就是 client 的公网 IP，如果节点安全组入站规则没有放通 client –> NodePort 链路的话，是访问不通的。
解决方案1： 节点安全组入站规则对公网访问 NodePort 区间端口(30000-32768):
解决方案2： 若担心直接放开整个 NodePort 区间所有端口有安全风险，可以只暴露 ingressgateway service 所用到的 Nodeport。
解决方案3： 若只允许固定 IP 段的 client 访问 ingressgateway，可以只对这个 IP 段放开整个 NodePort 区间所有端口。
解决方案4： 为 ingressgateway 启用 CLB 直通 Pod，这样流量就不经过 NodePort，所以就没有此安全组问题。启用 CLB 直通 Pod 需要集群网络支持 VPC-CNI，详细请参考 如何启用 CLB 直通 Pod 。
是
否
本页内容是否解决了您的问题？