Kubernetes: диагностика сети, сервисов и хранилища

(Шпаргалка по типовым проблемам Service, DNS, Ingress и PVC)

1. Порядок диагностики сетевой проблемы

Проверить Service kubectl get svc -n <ns>
Проверить Endpoints kubectl get endpoints <svc> -n <ns>
Сверить selector и labels подов kubectl get pods --show-labels -n <ns>
Проверить readiness подов kubectl get pods -o wide -n <ns>
Проверить DNS изнутри кластера kubectl run tmp --rm -it --image=busybox:1.36 -- nslookup <svc>
Проверить NetworkPolicy и Ingress kubectl get networkpolicy,ingress -n <ns>

2. Полезные команды

kubectl describe svc <svc> -n <ns>
порты, selector и связанные endpoints
kubectl get endpointslices -l kubernetes.io/service-name=<svc>
реальные IP подов за сервисом
kubectl port-forward svc/<svc> 8080:80 -n <ns>
обойти Ingress и проверить сервис напрямую
kubectl get events -n <ns> --field-selector type=Warning
только предупреждения
kubectl rollout status deployment/<name> -n <ns>
статус обновления деплоя
kubectl rollout undo deployment/<name> -n <ns>
откат к предыдущей версии
kubectl auth can-i list pods -n <ns> --as=<user>
проверка прав RBAC
kubectl get pvc -n <ns>
состояние заявок на хранилище

3. Топ типовых проблем сети и хранилища

Симптом	Возможные причины	Как проверить	Исправление
Service не отвечает (connection refused, timeout)	Selector не совпадает с labels подов, неверный targetPort, под не готов	`kubectl describe svc <svc>` `kubectl get endpoints <svc>`	Исправить selector или labels Проверить targetPort Исправить readiness probe
Endpoints пустые	Ни один под не прошёл readiness, либо labels не совпадают	`kubectl get pods --show-labels` `kubectl describe pod <pod>`	Сверить labels с selector Проверить readiness probe
DNS не резолвит имя сервиса	Упали поды CoreDNS, неверное имя, нестандартный dnsPolicy	`kubectl get pods -n kube-system -l k8s-app=kube-dns` `nslookup <svc>.<ns>.svc.cluster.local`	Перезапустить или восстановить CoreDNS Использовать полное имя сервиса
502 / 503 через Ingress	Сервис-бэкенд не найден, неверный порт, не тот ingressClassName	`kubectl describe ingress <name>` `kubectl get ingressclass`	Проверить имя и порт сервиса в Ingress Указать корректный ingressClassName
Трафик между подами блокируется	Политика NetworkPolicy запрещает входящий или исходящий трафик	`kubectl get networkpolicy -n <ns>` `kubectl describe networkpolicy <name>`	Добавить разрешающее правило Проверить podSelector и namespaceSelector
PVC застрял в Pending	Нет подходящего StorageClass или PV, либо не задан класс по умолчанию	`kubectl describe pvc <pvc>` `kubectl get storageclass`	Указать существующий StorageClass Проверить объём и access mode
Деплой завис, ProgressDeadlineExceeded	Новые поды не проходят readiness, не хватает ресурсов	`kubectl rollout status deployment/<name>` `kubectl describe deployment <name>`	Исправить новую версию Откатить через `rollout undo`
Error from server (Forbidden)	Нет прав в RBAC для ServiceAccount или пользователя	`kubectl auth can-i <verb> <resource> --as=<user>`	Добавить Role и RoleBinding с нужными правами

4. Пример: корректная readiness probe

readinessProbe:
  httpGet:
    path: /healthz
    port: 8080
  initialDelaySeconds: 5
  periodSeconds: 10
  failureThreshold: 3

Под попадает в Endpoints только после успешной проверки. Если путь или порт указаны неверно, сервис будет пустым, даже когда приложение работает.

5. Лучшие практики

Всегда задавайте readiness probe, иначе трафик пойдёт на неготовые поды
Используйте единые labels и проверяйте их в selector сервиса
Описывайте NetworkPolicy по принципу «запрещено всё, кроме нужного»
Для проверки сервиса используйте port-forward, чтобы отделить проблему Ingress от проблемы приложения
Перед релизом проверяйте, что rollout status завершается успешно

2. Kubernetes: диагностика сети, сервисов и хранилища

1. Порядок диагностики сетевой проблемы

2. Полезные команды

3. Топ типовых проблем сети и хранилища

4. Пример: корректная readiness probe

5. Лучшие практики