解决hetzner-k3s创建Worker节点时SSH连接超时问题

在使用hetzner-k3s工具创建Kubernetes集群时，用户可能会遇到Worker节点创建失败的问题，表现为SSH连接超时。本文将深入分析这一问题的原因及解决方案。

问题现象

用户在配置文件中正确设置了SSH密钥路径和网络访问规则后，执行集群创建命令时出现以下错误：

[Instance nicely-master1] Instance status: running
Error creating instance: timeout after 00:00:05
Instance creation for nicely-master1 failed. Try rerunning the create command.

启用DEBUG模式后，可以看到更详细的错误信息：

ssh: connect to host 159.69.50.XX port 22: Connection timed out
[Instance nicely-master1] debug1: Connecting to 159.69.50.XX [159.69.50.XX] port 22.
[Instance nicely-master1] debug1: connect to address 159.69.50.XX port 22: Connection timed out

问题分析

1. 网络配置检查：用户已在配置文件中正确设置了allowed_networks.ssh为0.0.0.0/0，理论上应允许所有IP访问SSH端口。

2. SSH密钥验证：用户尝试了不同SSH密钥算法(RSA和ED25519)以及是否使用SSH代理，问题依旧存在。

3. 环境差异：问题在Ubuntu系统上出现，但在MacOS上可以正常工作，表明问题可能与运行环境相关。

4. 防火墙规则：深入检查后发现，Hetzner防火墙的出站规则中，端口22被关闭，这是导致连接超时的根本原因。

解决方案

1. 检查防火墙出站规则：

   • 登录Hetzner Cloud控制台
   • 导航至防火墙设置
   • 确保TCP端口22的出站规则已启用
   • 保存更改并重试集群创建

2. 验证网络连通性：

   • 在运行hetzner-k3s的主机上执行telnet <master-ip> 22测试连接
   • 使用traceroute检查网络路径

3. 临时解决方案：

   • 如果无法修改防火墙规则，可考虑在本地开发环境(MacOS)上运行hetzner-k3s工具
   • 或者使用云上的跳板机作为中间节点

最佳实践建议

1. 网络规划：

   • 明确区分入站和出站规则
   • 生产环境中建议限制SSH访问源IP范围

2. 多环境测试：

   • 在部署前在不同环境中验证配置
   • 特别注意云服务商特有的网络限制

3. 日志收集：

   • 始终使用DEBUG=true环境变量运行命令
   • 保存完整的日志输出以便分析

4. 渐进式部署：

   • 先创建单节点集群验证基础功能
   • 逐步增加节点数量和复杂度

总结

在云环境中部署Kubernetes集群时，网络配置往往是问题的关键所在。hetzner-k3s工具虽然简化了集群创建过程，但仍需用户对底层网络架构有基本了解。特别是云服务商的安全组和防火墙规则，它们可能包含默认限制，需要仔细检查入站和出站两个方向的规则设置。

通过本次问题的解决过程，我们认识到全面检查网络配置的重要性，不仅需要关注入站规则，出站规则同样可能成为瓶颈。这种系统性的排查思路可以应用于各类云原生工具的部署过程中。