APISERVER 日志中的 TLS 握手错误来自哪里？答案

【问题标题】：Where Are TLS Handshake Errors In APISERVER Logs Coming From?APISERVER 日志中的 TLS 握手错误来自哪里？
【发布时间】：2020-11-22 08:15:34
【问题描述】：

我在 AWS 上使用 KubeSpray 配置了一个集群。它有两个堡垒，一个控制器，一个工人和一个 etcd 服务器。

我在 APISERVER 日志中看到无穷无尽的消息：

http: TLS handshake error from 10.250.227.53:47302: EOF

它们来自两个 IP 地址，10.250.227.53 和 10.250.250.158。端口号每次都会改变。

没有一个集群节点对应于这两个 IP 地址。子网 cidr 范围如下所示。

集群看起来很稳定。这种行为似乎没有任何负面影响。但我不喜欢随机的 HTTPS 请求。

如何调试这个问题？

【问题讨论】：

【解决方案1】：

它们来自 AWS ELB 上配置的运行状况检查；您可以通过changing the health check configuration 将这些消息停止为HTTPS:6443/healthz，而不是可能的TCP one it is using now

如何调试这个问题？

除了通常了解您的集群是如何安装的，然后观察这些连接定期出现之外，我还敢打赌，这两个 IP 地址属于分配给每个公共 ELB 的两个 ENI子网（它们将在控制台的网络接口列表中显示为“所有者：elasticloadbalancer”或类似名称）

【讨论】：