Flux2升级过程中TLS握手失败的排查与解决

问题背景

在使用Flux2进行版本升级时，用户遇到了一个典型的TLS握手失败问题。具体表现为在执行flux bootstrap命令时，系统报错"remote error: tls: handshake failure"，导致无法完成Git仓库的克隆操作。

错误现象分析

当用户从Flux2 v0.37.0升级到最新版本时，系统尝试通过HTTPS协议克隆GitHub仓库时失败。错误日志显示：

1. 系统尝试访问Git仓库的info/refs端点时失败
2. 报错信息明确指出是TLS握手阶段出现问题
3. 手动测试发现部分设备访问相同URL时也会出现TLS警告

排查过程

初步检查

1. 验证了Flux CLI工具版本(v2.4.0)和集群中组件的健康状况，所有组件均显示正常
2. 尝试删除并重新创建flux-system命名空间中的secret
3. 测试了不同的bootstrap参数组合，包括使用--read-write-key和--token-auth=false

深入分析

1. 发现不同设备访问相同GitHub URL时表现不一致
2. 检查网络配置时发现Kubernetes节点上配置了搜索域(search domain)
3. 确认该搜索域配置影响了DNS解析过程

根本原因

问题根源在于节点的网络配置中设置了搜索域。这个配置导致：

1. 系统在进行DNS查询时自动附加了搜索域
2. 可能干扰了GitHub域名的正确解析
3. 最终导致TLS握手过程中证书验证失败

解决方案

1. 修改Ubuntu节点的netplan配置文件
2. 移除其中配置的搜索域参数
3. 应用网络配置变更

经验总结

1. 网络配置中的搜索域设置可能会影响Kubernetes集群中服务的网络通信
2. TLS握手失败问题往往与网络配置或DNS解析相关
3. 在排查类似问题时，应从基础网络配置开始检查
4. 不同设备表现不一致通常是网络配置差异的明显信号

最佳实践建议

1. 在生产环境中，应保持节点网络配置的简洁性
2. 避免在不必要的情况下配置搜索域
3. 升级前应全面检查集群的网络配置
4. 遇到TLS问题时，可尝试从不同网络环境测试以缩小问题范围

这个问题展示了基础设施配置对应用层协议的影响，提醒我们在排查复杂系统问题时，需要从底层基础设施开始逐步向上排查。