排查 OutboundConnFailVMExtensionError 错误代码 (50) 的问题

本文介绍如何识别和解决 OutboundConnFailVMExtensionError 在创建、启动、缩放或升级Microsoft Azure Kubernetes 服务 （AKS） 群集时可能发生的错误（也称为错误代码 ERR_OUTBOUND_CONN_FAIL、错误号 50）。

Prerequisites

• Netcat （nc） 命令行工具

• 挖掘命令行工具

• 客户端 URL （cURL） 工具

Symptoms

尝试创建、缩放或升级 AKS 群集时，可能会收到以下错误消息：

无法从代理建立出站连接，有关详细信息，请参阅 https://aka.ms/aks-required-ports-and-addresses 。

详细信息：Code=“VMExtensionProvisioningError”

Message=“VM 在处理扩展”vmssCSE“时报告了失败。

错误消息：“启用失败：无法执行命令：以退出状态终止的命令=50\n[stdout]\n\n[stderr]\nnc： 连接到 mcr.microsoft.com 端口 443 （tcp） 失败：连接超时\nCommand 以非零状态退出

错误详细信息：“vmssCSE 错误消息： {vmssCSE exit status=50， output=pt/apt.conf.d/95proxy...}

此错误还可能导致正在运行的节点变为 NotReady，或导致镜像拉取失败，因为群集中的部分或全部节点的出站连接被阻止。

Cause

用于下载预配节点所需组件的自定义脚本扩展无法建立必要的出站连接来获取包。 对于公共群集，节点尝试在端口 443 上与Microsoft容器注册表（MCR）终结点（mcr.microsoft.comMCR）通信。

出站流量可能被阻止的原因有很多。 排查出站连接失败的最佳方法是使用 Azure 虚拟网络验证程序（预览版）运行连接分析。 通过运行连接分析，可以将流量流中的跃点和阻止流量的 Azure 网络资源中的任何错误配置可视化。 若要手动排查出站连接故障，可以使用安全外壳协议（SSH）连接到节点。 本部分介绍两种类型的调查说明：

检查 Azure 网络资源是否阻止发到终结点的流量

若要确定流量是否由于 Azure 网络资源而被阻止到终结点，请使用 Azure 虚拟网络验证程序（预览版） 工具从 AKS 群集节点运行从 AKS 群集节点到终结点的连接分析。 连接分析涵盖以下资源：

• Azure Load Balancer
• Azure 防火墙
• 网络地址转换 （NAT） 网关
• 网络安全组 (NSG)
• 网络策略
• 用户定义的路由（路由表）
• 虚拟网络对等互连

1. 请在 Azure 门户中进入您的集群。 在边栏中，导航到“设置 -> 节点池”页面。
2. 标识要从中运行连接分析的节点池。 单击节点池以将其选为范围。
3. 从页面顶部的工具栏中选择“连接分析（预览版）。 如果未看到它，请单击三个点“...”在页面顶部的工具栏中打开展开的菜单。
4. 选择虚拟机规模集（VMSS）实例作为源。 源 IP 地址会自动填充。
5. 选择公共域名/终结点作为分析的目标，一个示例是 mcr.microsoft.com。 目标 IP 地址也会自动填充。
6. 运行分析并等待最多 2 分钟的结果。 在生成的关系图中，标识关联的 Azure 网络资源以及流量被阻止的位置。 若要查看详细的分析输出，请单击“JSON 输出”选项卡或单击关系图中的箭头。

手动故障排除

如果 Azure 虚拟网络验证程序（预览版）工具无法充分了解问题，则可以使用安全外壳协议（SSH）手动排查出站连接失败问题，以连接到节点。 若要建立连接，请按照连接到 Azure Kubernetes 服务 （AKS） 群集节点中的说明进行维护或故障排除。 然后，按照以下步骤测试群集上的连接：

1. 连接到节点后，运行nc命令：dig

   nc -vz mcr.microsoft.com 443 
   dig mcr.microsoft.com 443
   

   Note

   如果无法通过 SSH 访问节点，可以通过针对虚拟机规模集实例运行 az vmss run-command invoke 命令来测试出站连接：

   # Get the VMSS instance IDs.
   az vmss list-instances --resource-group <mc-resource-group-name> \
       --name <vmss-name> \
       --output table
   
   # Use an instance ID to test outbound connectivity.
   az vmss run-command invoke --resource-group <mc-resource-group-name> \
       --name <vmss-name> \
       --command-id RunShellScript \
       --instance-id <vmss-instance-id> \
       --output json \
       --scripts "nc -vz mcr.microsoft.com 443"
   

2. 如果尝试使用 HTTP 代理创建 AKS 群集，请在连接到节点后运行nc和curldig命令：

   # Test connectivity to the HTTP proxy server from the AKS node.
   nc -vz <http-s-proxy-address> <port>
   
   # Test traffic from the HTTP proxy server to HTTPS.
   curl --proxy http://<http-proxy-address>:<port>/ --head https://mcr.microsoft.com
   
   # Test traffic from the HTTPS proxy server to HTTPS.
   curl --proxy https://<https-proxy-address>:<port>/ --head https://mcr.microsoft.com
   
   # Test DNS functionality.
   dig mcr.microsoft.com 443
   

   Note

   如果无法通过 SSH 访问节点，可以通过对虚拟机规模集实例运行 az vmss run-command invoke 命令来测试出站连接：

   # Get the VMSS instance IDs.
   az vmss list-instances --resource-group <mc-resource-group-name> \
       --name <vmss-name> \
       --output table
   
   # Use an instance ID to test connectivity from the HTTP proxy server to HTTPS.
   az vmss run-command invoke --resource-group <mc-resource-group-name> \
       --name <vmss-name> \
       --command-id RunShellScript \
       --instance-id <vmss-instance-id> \
       --output json \
       --scripts "curl --proxy http://<http-proxy-address>:<port>/ --head https://mcr.microsoft.com"
   
   # Use an instance ID to test connectivity from the HTTPS proxy server to HTTPS.
   az vmss run-command invoke --resource-group <mc-resource-group-name> \
       --name <vmss-name> \
       --command-id RunShellScript \
       --instance-id <vmss-instance-id> \
       --output json \
       --scripts "curl --proxy https://<https-proxy-address>:<port>/ --head https://mcr.microsoft.com"
   
   # Use an instance ID to test DNS functionality.
   az vmss run-command invoke --resource-group <mc-resource-group-name> \
       --name <vmss-name> \
       --command-id RunShellScript \
       --instance-id <vmss-instance-id> \
       --output json \
       --scripts "dig mcr.microsoft.com 443"
   

Solution

下表列出了可能阻止流量的具体原因，以及每个原因对应的解决方案：

详细信息

• AKS 群集创建问题的常规故障排除

第三方联系人免责声明

Microsoft 会提供第三方联系信息来帮助你查找有关本主题的其他信息。 此联系信息可能会更改，恕不另行通知。 Microsoft 不保证第三方联系信息的准确性。

联系我们寻求帮助

如果你有任何疑问或需要帮助，请创建支持请求或联系 Azure 社区支持。 你还可以将产品反馈提交到 Azure 反馈社区。