azure - 内部 Azure AKS api 服务器没有返回证书

Question

在新创建的 AKS 集群上，我们在 pod 设置 k8s 资源(调用 https://10.0.0.1:443/api/v1/namespaces/kube-system/.. )时遇到问题。与 api 的 TLS 握手超时时出错。通过使用 OpenSSL 登录 pod，我可以看到服务器没有返回任何证书。

openssl s_client -connect 10.0.0.1:443
CONNECTED(00000003)

write:errno=0
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 0 bytes and written 293 bytes
Verification: OK
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
No ALPN negotiated
Early data was not sent
Verify return code: 0 (ok)

我们尝试过升级等，但没有成功。关于如何重新创建这些证书有什么建议吗？

Answer 1

我们现在已经解决了这个问题。对于其他面临此问题的人来说，这实际上是防火墙问题。我们的网络中有一个 Azure 防火墙，并且有一个允许 http 和 https 导出流量的 ApplicationNetworkRule。由于 SNI 失败，应用程序规则阻止了所有 k8s 证书。将FW规则更改为端口80/443上的网络规则解决了问题