Terraform AWS EKS中Fargate Pod访问kube-dns问题的解决方案

问题背景

在使用Terraform AWS EKS模块部署混合架构的Kubernetes集群时，很多开发者会遇到Fargate Pod无法访问运行在托管节点组上的kube-dns服务的问题。这种架构通常将核心系统组件（如CoreDNS）部署在托管节点上，而将其他工作负载（如Kubernetes Dashboard）部署在Fargate上。

问题现象

当Fargate Pod尝试解析其他命名空间中的服务时，DNS查询会失败。通过部署dnsutils工具进行测试，可以看到类似"nslookup: can't resolve"的错误信息。这表明Fargate Pod无法访问集群的DNS服务。

根本原因分析

这个问题源于AWS EKS的安全组配置机制：

1. Fargate Pod会自动使用集群的主安全组（cluster primary security group）进行网络通信
2. 托管节点组使用单独的安全组（node security group）
3. 默认情况下，节点安全组没有允许来自集群主安全组的DNS（UDP 53端口）流量

解决方案

方案一：添加必要的安全组规则

可以通过Terraform添加必要的安全组规则，允许从集群主安全组到节点安全组的DNS流量：

resource "aws_security_group_rule" "fargate_to_node_dns_udp" {
  security_group_id        = module.eks.node_security_group_id
  type                     = "ingress"
  from_port                = 53
  to_port                  = 53
  protocol                 = "udp"
  source_security_group_id = module.eks.cluster_primary_security_group_id
}

方案二：将集群主安全组附加到节点

另一种方法是配置EKS模块，将集群主安全组附加到托管节点：

module "eks" {
  # ...其他配置...
  attach_cluster_primary_security_group = true
}

这种方法更简单，但可能会扩大节点的网络访问权限。

进阶方案：完全Fargate架构

对于完全使用Fargate的架构（如将CoreDNS也部署在Fargate上），需要双向配置安全组规则：

resource "aws_security_group_rule" "ingress_coredns_fargate_port_tcp" {
  description              = "CoreDNS Fargate dns query"   
  type                     = "ingress"
  from_port                = 53
  to_port                  = 53
  protocol                 = "tcp"
  source_security_group_id = module.eks.node_security_group_id
  security_group_id        = module.eks.cluster_primary_security_group_id
}

resource "aws_security_group_rule" "ingress_coredns_fargate_port_udp" {
  description              = "CoreDNS Fargate dns query"
  type                     = "ingress"
  from_port                = 53
  to_port                  = 53
  protocol                 = "udp"
  source_security_group_id = module.eks.node_security_group_id
  security_group_id        = module.eks.cluster_primary_security_group_id
}

安全考虑

在实施这些解决方案时，需要注意：

1. 尽量遵循最小权限原则，只开放必要的端口
2. 对于生产环境，建议使用第一种方案（精确添加规则）而非附加整个安全组
3. 定期审核安全组规则，确保没有不必要的访问权限

总结

在AWS EKS混合架构中，Fargate Pod和托管节点之间的DNS通信需要特别注意安全组配置。通过合理配置安全组规则，可以确保网络通信的正常进行，同时保持集群的安全性。根据实际架构需求选择最适合的解决方案，并在实施后进行全面测试验证。