首页
/ Terraform AWS EKS中Fargate Pod访问kube-dns问题的解决方案

Terraform AWS EKS中Fargate Pod访问kube-dns问题的解决方案

2025-06-12 06:58:55作者:蔡怀权

问题背景

在使用Terraform AWS EKS模块部署混合架构的Kubernetes集群时,很多开发者会遇到Fargate Pod无法访问运行在托管节点组上的kube-dns服务的问题。这种架构通常将核心系统组件(如CoreDNS)部署在托管节点上,而将其他工作负载(如Kubernetes Dashboard)部署在Fargate上。

问题现象

当Fargate Pod尝试解析其他命名空间中的服务时,DNS查询会失败。通过部署dnsutils工具进行测试,可以看到类似"nslookup: can't resolve"的错误信息。这表明Fargate Pod无法访问集群的DNS服务。

根本原因分析

这个问题源于AWS EKS的安全组配置机制:

  1. Fargate Pod会自动使用集群的主安全组(cluster primary security group)进行网络通信
  2. 托管节点组使用单独的安全组(node security group)
  3. 默认情况下,节点安全组没有允许来自集群主安全组的DNS(UDP 53端口)流量

解决方案

方案一:添加必要的安全组规则

可以通过Terraform添加必要的安全组规则,允许从集群主安全组到节点安全组的DNS流量:

resource "aws_security_group_rule" "fargate_to_node_dns_udp" {
  security_group_id        = module.eks.node_security_group_id
  type                     = "ingress"
  from_port                = 53
  to_port                  = 53
  protocol                 = "udp"
  source_security_group_id = module.eks.cluster_primary_security_group_id
}

方案二:将集群主安全组附加到节点

另一种方法是配置EKS模块,将集群主安全组附加到托管节点:

module "eks" {
  # ...其他配置...
  attach_cluster_primary_security_group = true
}

这种方法更简单,但可能会扩大节点的网络访问权限。

进阶方案:完全Fargate架构

对于完全使用Fargate的架构(如将CoreDNS也部署在Fargate上),需要双向配置安全组规则:

resource "aws_security_group_rule" "ingress_coredns_fargate_port_tcp" {
  description              = "CoreDNS Fargate dns query"   
  type                     = "ingress"
  from_port                = 53
  to_port                  = 53
  protocol                 = "tcp"
  source_security_group_id = module.eks.node_security_group_id
  security_group_id        = module.eks.cluster_primary_security_group_id
}

resource "aws_security_group_rule" "ingress_coredns_fargate_port_udp" {
  description              = "CoreDNS Fargate dns query"
  type                     = "ingress"
  from_port                = 53
  to_port                  = 53
  protocol                 = "udp"
  source_security_group_id = module.eks.node_security_group_id
  security_group_id        = module.eks.cluster_primary_security_group_id
}

安全考虑

在实施这些解决方案时,需要注意:

  1. 尽量遵循最小权限原则,只开放必要的端口
  2. 对于生产环境,建议使用第一种方案(精确添加规则)而非附加整个安全组
  3. 定期审核安全组规则,确保没有不必要的访问权限

总结

在AWS EKS混合架构中,Fargate Pod和托管节点之间的DNS通信需要特别注意安全组配置。通过合理配置安全组规则,可以确保网络通信的正常进行,同时保持集群的安全性。根据实际架构需求选择最适合的解决方案,并在实施后进行全面测试验证。

登录后查看全文
热门项目推荐
相关项目推荐