Eclipse Che 企业网络环境下 GitHub Token 添加问题解析

问题背景

在企业级开发环境中，Eclipse Che 作为云原生IDE平台，经常需要部署在受网络保护的内网环境中。近期有用户反馈在 Eclipse Che 7.98 版本中，当配置了企业网络设置后，添加 GitHub 个人访问令牌(PAT)时会出现连接超时问题，导致UI界面响应缓慢。

问题现象

用户报告的具体表现为：

1. 在配置了企业网络设置的 Eclipse Che 环境中，添加 GitHub 令牌后出现"HTTP connect timed out"错误
2. 错误日志显示 Che 服务器无法连接到 GitHub API 进行令牌验证
3. UI界面在添加令牌后需要等待很长时间才能重新响应

根本原因分析

经过深入排查，发现问题的根本原因在于：

1. 网络策略配置不当：用户虽然正确配置了网络服务的地址(squid.squid.svc.cluster.local:8080)，但在 Kubernetes NetworkPolicy 中错误地使用了网络服务的端口而非 Pod 的实际端口，导致网络连接被阻断。

2. Java HTTP 客户端网络配置：Eclipse Che 7.98 版本使用了 Java 的 HttpClient 进行 GitHub API 调用，但该客户端默认不会自动继承系统网络设置，需要显式配置。

3. 网络验证机制：Che 服务器在添加 GitHub 令牌时会立即尝试验证令牌有效性，这一验证过程需要通过企业网络访问 GitHub API，而网络策略的错误配置导致了连接失败。

解决方案

针对这一问题，我们推荐以下解决方案：

1. 正确配置网络策略

确保 Kubernetes NetworkPolicy 允许 Che 服务器 Pod 访问网络服务的正确端口。需要检查：

• 网络服务(Pod)实际监听的端口
• NetworkPolicy 中配置的端口是否匹配网络 Pod 端口
• 确保网络策略应用于正确的命名空间

2. 完整网络配置

在 CheCluster CRD 中，除了基本的网络URL配置外，还应确保以下配置完整：

spec:
  components:
    cheServer:
      network:
        nonNetworkHosts:
          - 127.0.0.0/8
          - 10.0.0.0/8
          - 172.16.0.0/12
          - 192.168.0.0/16
          - .hm.dm.ad
          - localhost
          - .svc.cluster.local
          - .svc
        port: '8080'
        url: http://squid.squid.svc.cluster.local

3. Java 客户端网络设置

对于 Java 应用的网络配置，可以通过以下方式确保 HttpClient 使用网络设置：

1. 通过环境变量设置：

env:
  - name: JAVA_OPTS
    value: >-
      -Dhttp.networkHost=squid.squid.svc.cluster.local
      -Dhttp.networkPort=8080
      -Dhttps.networkHost=squid.squid.svc.cluster.local
      -Dhttps.networkPort=8080
      -Dhttp.nonNetworkHosts="localhost|127.0.0.1|10.*|*.svc|*.svc.cluster.local"

2. 程序代码中显式配置： 对于使用 Java HttpClient 的代码，可以显式创建带网络设置的 HttpClient：

HttpClient client = HttpClient.newBuilder()
    .network(NetworkSelector.of(new InetSocketAddress("squid.svc.cluster.local", 8080)))
    .build();

最佳实践建议

1. 网络策略验证：在配置网络设置前，先使用临时 Pod 测试网络服务的可达性：

kubectl run -it --rm test-network --image=curlimages/curl -- curl -x http://squid.squid.svc.cluster.local:8080 https://api.github.com

2. 分阶段验证：

   • 先验证基础网络连接
   • 再验证网络配置
   • 最后验证 GitHub API 访问

3. 日志级别调整：在排查问题时，可以临时提高 Che 服务器的日志级别，获取更详细的网络连接信息。

4. 版本兼容性：注意不同 Che 版本对网络处理方式的差异，7.93 版本与 7.98 版本在 HttpClient 实现上有所不同。

总结

企业网络环境下的 Eclipse Che 部署需要特别注意网络策略和网络配置的完整性。通过正确配置 NetworkPolicy、完善网络设置以及确保 Java 应用正确使用网络设置，可以有效解决 GitHub 令牌添加时的连接问题。建议在实施前进行充分的测试验证，确保各组件间的网络连通性。