kubernetes - Kubernetes日志命令TLS握手超时

Question

我正在运行开源kube版本1.9，在运行kubectl logs命令时收到TLS握手超时错误，其他kubectl命令运行正常。

#:/etc/kubernetes/pki> kubectl get pods
NAME                          READY     STATUS    RESTARTS   AGE
app1-9         1/1       Running   0          2d

#:/etc/kubernetes/pki> kubectl logs counter
Error from server: Get https://XX.XX.XX.XXXX:10250/containerLogs/default/counter/count: net/http: TLS handshake timeout

kubectl版本是:

Client Version: version.Info{Major:"1", Minor:"9", GitVersion:"v1.9.0", GitCommit:"925c127ec6b946659ad0fd596fa959be43f0cc05", GitTreeState:"clean", BuildDate:"2017-12-15T21:07:38Z", GoVersion:"go1.9.2", Compiler:"gc", Platform:"linux/amd64"}
Server Version: version.Info{Major:"1", Minor:"9", GitVersion:"v1.9.0", GitCommit:"925c127ec6b946659ad0fd596fa959be43f0cc05", GitTreeState:"clean", BuildDate:"2017-12-15T20:55:30Z", GoVersion:"go1.9.2", Compiler:"gc", Platform:"linux/amd64"}

我看到apiserver在10250上运行。如何使 kubectl通过SSL连接到apiserver？

Answer 1

I see the apiserver is running on 10250. How to make kubectl connect to apiserver over the SSL?

实际上，不是10250上运行的 apiserver，而是 kubelet Pod已调度在其上的Node上 counter的端口。当请求日志时， apiserver将 kubectl重定向到实际的Node，以便将日志直接从 kubelet中流式传输(而不是将日志从kubelet中通过apiserver流式传输到您)。

遇到连接超时的气味非常像机器与节点之间的安全组配置错误。我不知道是否有人可以将kubelet端口固定到特定端口，以便将其静态列入白名单，但这似乎是以前有人遇到过的问题。