检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
为什么容器无法连接互联网？ 当容器无法连接互联网时，首先需要排查容器所在节点能否连接互联网。其次，需要查看容器的网络配置是否正确，例如DNS配置是否可以正常解析域名。 排查项一：节点能否连接互联网 登录ECS控制台。 查看节点对应的弹性云服务器是否已绑定弹性IP或者配置NAT网关。 如图1，若弹
同一个IP地址和端口号下对外提供多个基于TLS的访问域名，且不同的域名可以使用不同的安全证书。开启SNI后，允许客户端在发起TLS握手请求时就提交请求的域名信息。负载均衡收到TLS请求后，会根据请求的域名去查找证书：若找到域名对应的证书，则返回该证书认证鉴权；否则，返回缺省证书（服务器证书）认证鉴权。
检查项内容 检查当前CoreDNS关键配置Corefile是否同Helm Release记录存在差异，差异的部分可能在插件升级时被覆盖，影响集群内部域名解析。 解决方案 您可在明确差异配置后，单独升级CoreDNS插件。 配置Kubectl命令，具体请参见通过kubectl连接集群。 获取当前生效的Corefile。
节点ARP表项超过限制 问题现象 ARP缓存超限，容器网络的访问出现异常，例如coredns域名解析概率失败。 问题根因 出现该问题的原因是节点上容器缓存的ARP表项超过限制。 问题定位 在节点操作系统内核为4.3以上时，dmsg日志中会有显性的打印neighbor table
隔。 同时支持使用通配符，例如： “*”表示允许所有域访问。 填写一级泛域名，如“http(s)://*.example.com”表示允许该域名下的所有子域名访问。 须知： 出于安全考虑，建议指定确切的域名，防止未经授权的域访问敏感资源。 nginx.ingress.kubernetes
指定Access-Control-Allow-Origin响应头的值，表示允许访问的域。 支持以下取值： 通配符*：表示允许所有域名访问。 配置域名列表：必须为http://或者https://开头的域名，支持填写一级泛域名。格式为“http(s)://example.com”或“http(s)://example
按比例发布：按访问灰度发布服务的请求比例。 按HTTP请求头 键：a 值：b 灰度转发策略配置 域名：实际访问的域名地址，不配置时可通过IP地址访问Ingress。请确保所填写的域名已注册并备案，一旦配置了域名规则后，必须使用域名访问。 开启灰度：开启灰度后，集群外部访问流量将按此规则转发至目标服务。
流量切换前，假设您已将业务域名通过A记录解析的方式指向了自建Nginx Ingress的公网地址。您可以使用DNS的流量权重分配，逐步将访问原Nginx Ingress的流量切换至新的ELB Ingress。 图1 使用DNS切流 您可以通过以下步骤完成流量的切换。 进入公网域名列表页面。 在
止插件实例因需要调度过多的节点而出现OOM等异常。因此，在调整集群规格后，请您同时考虑调整插件资源配额。 CoreDNS域名解析 CoreDNS所能提供的域名解析QPS与CPU消耗成正相关，集群中的节点/容器数量增加时，CoreDNS实例承受的压力也会同步增加。请根据集群的规模，
资源配额可以限制命名空间下的资源使用，进而支持以命名空间为粒度的资源划分。 须知： 您可以根据需要在命名空间中设置资源配额，避免因资源过载导致集群或节点异常。 例如，如果您的集群资源有限，但需要使用多个命名空间来隔离不同业务的资源，为了确保集群稳定和资源合理分配，您可以为每个命名空间设置资源配额。
use-context externalTLSVerify 关于集群双向认证的说明请参见域名双向认证。 域名双向认证 CCE当前支持域名双向认证。 集群API Server绑定EIP后，使用kubectl连接集群时域名双向认证默认不开启，可通过 kubectl config use-context
创建完成后，选中后单击“复制”即可完成同步。 专线打通场景 配置VPC终端节点。 获取VPC内网访问IP及域名（华为云VPC内默认会自动加域名解析规则，不需要配置hosts；非华为云节点需要配置hosts），可以在终端节点详情页的“内网域名”中查询。 Harbor上配置镜像仓库。 Harbor在1.10.5以上版
StatefulSet的网络标识 StatefulSet创建后，可以看下Pod是有固定名称的，那Headless Service是如何起作用的呢，那就是使用DNS，为Pod提供固定的域名，这样Pod间就可以使用域名访问，即便Pod被重新创建而导致Pod的IP地址发生变化，这个域名也不会发生变化。 Headless
集群规模。 VPC路由网络默认支持容器与同一VPC的虚拟机直接互访，与其他VPC的主机在配置对等连接策略后可以支持直接互访。此外，云专线/VPN等混合组网场景在合理规划后可以支持对端直接与容器互访。 父主题： 网络
默认取值： 不涉及 说明： Annotations不用于标识和选择对象。Annotations中的元数据可以是small或large，structured或unstructured，并且可以包括标签不允许使用的字符。 可通过加入"cluster.install.addons.extern
集群外临时ECS 将MinIO服务端安装在集群外，能够保障集群发生灾难性故障时，备份文件不会受到影响。 集群内的空闲节点 您可以远程登录节点安装MinIO服务端，也可以选择容器化安装MinIO，请参考Velero官方文档。 如使用容器化安装MinIO： Velero官方文档提供的YAML文件中存储类型为empty
的目标用户在中国大陆，可以不用考虑不同区域造成的网络时延问题。 在除中国大陆以外的亚太地区有业务的用户，可以选择“中国-香港”、“亚太-曼谷”或“亚太-新加坡”区域。 在非洲地区有业务的用户，可以选择“南非-约翰内斯堡”区域。 在欧洲地区有业务的用户，可以选择“欧洲-巴黎”区域。
约束与限制 CCE容器存储（Everest）版本要求1.2.42及以上版本。 挂载存储的节点必须能够访问OBS桶，跨区域通常使用公网或专线打通。您可以在需要使用OBS的节点上Ping OBS的Endpoint来确定是否能够访问。 仅支持PV跨区域使用OBS桶，然后再使用PVC绑定PV，且
整的恢复到快照时间点。 您可以创建快照，从而快速保存指定时刻云硬盘的数据。同时，您还可以通过快照创建新的云硬盘，这样云硬盘在初始状态就具有快照中的数据。 使用须知 快照功能仅支持v1.15及以上版本的集群，且需要安装基于CSI的everest插件才可以使用。 基于快照创建的云硬盘
容器网络插件 CoreDNS域名解析 NGINX Ingress控制器 节点本地域名解析加速 父主题： 插件
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
