检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
您需要确认访问异常是否由Ingress引起，当存在域名解析异常、安全组规则错误、Service异常或工作负载本身异常时，都可能会引起Ingress访问不通。 以下排查顺序遵从由外到内的规则： 检查域名解析或安全组规则是否正常，排除集群外部可能存在的问题。 执行以下命令检查域名在权威DNS的解析是否生效。
若nameserver设置为10.247.x.x说明DNS对接到集群的CoreDNS，需要确保集群CoreDNS工作负载运行正常。如果是其他IP地址，则表示采用云上DNS或者用户自建的DNS，请您自行确保解析正常。 更多域名解析异常的排查思路，请参见CCE集群中域名解析失败。 父主题：
io/upstream-hash-by: "$request_uri"代表按照请求uri进行hash。 nginx.ingress.kubernetes.io/upstream-hash-by: "$request_uri$host"代表按照请求uri和域名进行hash。 nginx.ingress
Service时，DNS查询会如实的返回每个真实的EndPoint（Pod的IP地址）。对应到每一个EndPoints，即每一个Pod，都会有对应的DNS域名；这样Pod之间就可以互相访问，达到实例间发现和访问的效果。 Headless Service使用场景 当某个工作负载的多个Pod之间没有
Ingress中配置的证书配套。 创建证书时，未指定域名 通过curl命令测试时报错信息如下： SSL: unable to obtain common name from peer certificate 请在创建证书时指定域名。 访问的域名和HTTPS证书的域名不一致 通过curl命令测试时报错信息如下：
间操作集群。 自定义 SAN：主题备用名称（SAN）允许将多种值（包括IP地址、域名等）与证书关联，在集群访问证书中签入自定义SAN后，可以通过SAN定义的域名或IP访问集群。详情请参见通过自定义域名访问集群。 此操作将会短暂重启 kube-apiserver 并更新集群访问证书
某企业在华为云使用CCE集群，并通过自建Nginx Ingress Controller配置Ingress转发规则，配置域名和路径的转发策略，且对外通过DNS域名提供服务。客户端访问域名example.com时，Nginx Ingress接收到请求会根据对应的转发策略将流量转发至对应Service的Pod上。
CoreDNS配置优化包含客户端优化及服务端优化。 在客户端，您可以通过优化域名解析请求来降低解析延迟，通过使用合适的容器镜像、节点DNS缓存NodeLocal DNSCache等方式来减少解析异常。 优化域名解析请求 选择合适的镜像 避免IPVS缺陷导致的DNS概率性解析超时 使用节点DNS缓存NodeLocal
400 CCE.02400001 Invalid request. 请求体不合法。 请参考返回的message和CCE接口文档修改请求体，或联系技术支持。 400 CCE.03400001 Invalid request. 请求体不合法。 请参考返回的message和CCE接口文档修改请求体，或联系技术支持。
同一个IP地址和端口号下对外提供多个基于TLS的访问域名，且不同的域名可以使用不同的安全证书。开启SNI后，允许客户端在发起TLS握手请求时就提交请求的域名信息。负载均衡收到TLS请求后，会根据请求的域名去查找证书：若找到域名对应的证书，则返回该证书认证鉴权；否则，返回缺省证书（服务器证书）认证鉴权。
创建弹性负载均衡ELB后，使用default命名空间创建80端口的http监听，在CCE中只允许在本命名空间下创建同一端口的其它ingress（实际转发策略可根据域名、service来区分）；所以出现客户侧在其它命名空间无法创建相同端口的ingress的情况（会提示端口冲突）。 解决方法 可以使用yam
matchLabels 否 matchLabels object 参数解释： evs盘的匹配字段。 约束限制： storageType设置为system（系统盘）时，无需设置此字段。 取值范围： 支持DataVolume中的size、volumeType、iops、throughput、met
io/upstream-hash-by: "$request_uri"代表按照请求uri进行hash。 nginx.ingress.kubernetes.io/upstream-hash-by: "$request_uri$host"代表按照请求uri和域名进行hash。 nginx.ingress
解决方法 一般情况下，您需要从证书提供商处获取有效的合法证书。如果您需要在测试环境下使用，您可以自建证书和私钥，方法如下： 自建的证书通常只适用于测试场景，使用时界面会提示证书不合法，影响正常访问，建议您选择手动上传合法证书，以便通过浏览器校验，保证连接的安全性。 自己生成tls
工作负载与节点的亲和与反亲和：通过为节点添加标签，您可以使用节点亲和性将Pod调度到特定节点，或使用反亲和性避免将其调度到特定节点，具体操作详情请参见设置节点亲和调度（nodeAffinity）。 节点固有标签 节点创建出来会存在一些固有的标签，并且是无法删除的，这些标签的含义请参见表1。
dev-container/nginx。 触发模式：选择“手动”。 带宽：设置执行该条同步规则时的最大网络带宽，“-1”表示无限制。 创建完成后，选中后单击“复制”即可完成同步。 专线打通场景 配置VPC终端节点。 获取VPC内网访问IP及域名（华为云VPC内默认会自动加域名解析规则，不需要配置hosts；非华为云
request = ShowClusterConfigRequest() request.cluster_id = "{cluster_id}" response = client.show_cluster_config(request)
制进行修改。 允许所有IP访问：不设置访问控制。 白名单：仅所选IP地址组可以访问ELB地址。 黑名单：所选IP地址组无法访问ELB地址。 前端协议：“HTTP” 对外端口：80 高级配置： 访问控制：黑名单 转发策略配置 域名：实际访问的域名地址，不配置时可通过IP地址访问In
高级配置：添加高级配置，选择“开启HTTP2”，状态设置为“开启”。 前端协议：“HTTPS” 对外端口：443 证书来源：“ELB服务器证书” 服务器证书：cert-test 高级配置：开启HTTP2 转发策略配置 域名：实际访问的域名地址，不配置时可通过IP地址访问Ingress。请确保所填写的域名已注册并备案，
地址或者DNS域名签入集群服务端证书，以支持客户端开启双向认证，提高安全性。典型场景例如DNAT访问、域名访问等特殊场景。 配置建议： 域名访问场景的典型使用方式如下： 客户端配置Host域名指定DNS域名地址，或者客户端主机配置/etc/hosts，添加相应域名映射。 云上内网
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
