Risolvere i problemi relativi al codice di errore OutboundConnFailVMExtensionError (50)

Articolo
11/20/2024

Questo articolo descrive come identificare e risolvere l'errore OutboundConnFailVMExtensionError (noto anche come codice ERR_OUTBOUND_CONN_FAILdi errore , numero di errore 50) che può verificarsi se si tenta di avviare o creare e distribuire un cluster Microsoft servizio Azure Kubernetes (servizio Azure Kubernetes).

Prerequisiti

Strumento da riga di comando Netcat (nc)
Strumento da riga di comando di analisi
Strumento URL client (cURL)

Sintomi

Quando si tenta di avviare o creare un cluster del servizio Azure Kubernetes, viene visualizzato il messaggio di errore seguente:

Impossibile stabilire una connessione in uscita dagli agenti. Per altre informazioni, vedere https://aka.ms/aks-required-ports-and-addresses .

Dettagli: Code="VMExtensionProvisioningError"

Message="Vm ha segnalato un errore durante l'elaborazione dell'estensione "vmssCSE".

Messaggio di errore: "Enable failed: failed to execute command: command terminate with exit status=50\n[stdout]\n\n[stderr]\nnc: connect to mcr.microsoft.com port 443 (tcp) failed: Connection timed out\nCommand exited with non-zero status

Dettagli errore: "messaggi di errore vmssCSE: {vmssCSE exit status=50, output=pt/apt.conf.d/95proxy...}

Causa

L'estensione per script personalizzati che scarica i componenti necessari per effettuare il provisioning dei nodi non è riuscita a stabilire la connettività in uscita necessaria per ottenere i pacchetti. Per i cluster pubblici, i nodi tentano di comunicare con l'endpoint del Registro Contenitori Microsoft (mcr.microsoft.comMCR) sulla porta 443.

Esistono molti motivi per cui il traffico potrebbe essere bloccato. In una di queste situazioni, il modo migliore per testare la connettività consiste nell'usare il protocollo SSH (Secure Shell Protocol) per connettersi al nodo. Per stabilire la connessione, seguire le istruzioni in Connettersi ai nodi del cluster servizio Azure Kubernetes (servizio Azure Kubernetes) per la manutenzione o la risoluzione dei problemi. Testare quindi la connettività nel cluster seguendo questa procedura:

Dopo la connessione al nodo, eseguire i nc comandi e dig :

nc -vz mcr.microsoft.com 443 
dig mcr.microsoft.com 443

Note

Se non è possibile accedere al nodo tramite SSH, è possibile testare la connettività in uscita eseguendo il comando az vmss run-command invoke sull'istanza del set di scalabilità di macchine virtuali:

# Get the VMSS instance IDs.
az vmss list-instances --resource-group <mc-resource-group-name> \
    --name <vmss-name> \
    --output table

# Use an instance ID to test outbound connectivity.
az vmss run-command invoke --resource-group <mc-resource-group-name> \
    --name <vmss-name> \
    --command-id RunShellScript \
    --instance-id <vmss-instance-id> \
    --output json \
    --scripts "nc -vz mcr.microsoft.com 443"

Se si tenta di creare un cluster del servizio Azure Kubernetes usando un proxy HTTP, eseguire i nccomandi , curle dig dopo la connessione al nodo:

# Test connectivity to the HTTP proxy server from the AKS node.
nc -vz <http-s-proxy-address> <port>

# Test traffic from the HTTP proxy server to HTTPS.
curl --proxy http://<http-proxy-address>:<port>/ --head https://mcr.microsoft.com

# Test traffic from the HTTPS proxy server to HTTPS.
curl --proxy https://<https-proxy-address>:<port>/ --head https://mcr.microsoft.com

# Test DNS functionality.
dig mcr.microsoft.com 443

Note

Se non è possibile accedere al nodo tramite SSH, è possibile testare la connettività in uscita eseguendo il az vmss run-command invoke comando sull'istanza del set di scalabilità di macchine virtuali:

# Get the VMSS instance IDs.
az vmss list-instances --resource-group <mc-resource-group-name> \
    --name <vmss-name> \
    --output table

# Use an instance ID to test connectivity from the HTTP proxy server to HTTPS.
az vmss run-command invoke --resource-group <mc-resource-group-name> \
    --name <vmss-name> \
    --command-id RunShellScript \
    --instance-id <vmss-instance-id> \
    --output json \
    --scripts "curl --proxy http://<http-proxy-address>:<port>/ --head https://mcr.microsoft.com"

# Use an instance ID to test connectivity from the HTTPS proxy server to HTTPS.
az vmss run-command invoke --resource-group <mc-resource-group-name> \
    --name <vmss-name> \
    --command-id RunShellScript \
    --instance-id <vmss-instance-id> \
    --output json \
    --scripts "curl --proxy https://<https-proxy-address>:<port>/ --head https://mcr.microsoft.com"

# Use an instance ID to test DNS functionality.
az vmss run-command invoke --resource-group <mc-resource-group-name> \
    --name <vmss-name> \
    --command-id RunShellScript \
    --instance-id <vmss-instance-id> \
    --output json \
    --scripts "dig mcr.microsoft.com 443"

Soluzione

La tabella seguente elenca i motivi specifici per cui il traffico potrebbe essere bloccato e la soluzione corrispondente per ogni motivo.

Problema	Soluzione
Il traffico viene bloccato dalle regole del firewall o da un server proxy	In questo scenario, un firewall o un server proxy applica filtri in uscita. Per verificare che siano consentiti tutti i domini e le porte necessari, vedere Controllare il traffico in uscita per i nodi del cluster in servizio Azure Kubernetes (servizio Azure Kubernetes).
Il traffico viene bloccato da un gruppo di sicurezza di rete del cluster	Sugli NSG collegati al cluster verificare che non siano presenti blocchi sulla porta 443, sulla porta 53 o su qualsiasi altra porta che potrebbe essere necessario usare per connettersi all'endpoint. Per ulteriori informazioni, consultare la sezione Controllare il traffico in uscita per i nodi del cluster nel servizio Azure Kubernetes (AKS).
Il record AAAA (IPv6) è bloccato nel firewall	Nel firewall verificare che non esista nulla che impedisca la risoluzione dell'endpoint in DNS di Azure.
Il cluster privato non è in grado di risolvere le risorse interne di Azure	Nei cluster privati, l'indirizzo IP DNS di Azure (`168.63.129.16`) deve essere aggiunto come server DNS upstream se viene usato DNS personalizzato. Verificare che l'indirizzo sia impostato nei server DNS. Per altre informazioni, vedere Creare un cluster del servizio Azure Kubernetes privato e Che cos'è l'indirizzo IP 168.63.129.16?

Ulteriori informazioni

Risoluzione generale dei problemi di creazione del cluster del servizio Azure Kubernetes

Dichiarazione di non responsabilità di contatti di terze parti

Microsoft fornisce informazioni di contatto di terze parti per aiutarti a trovare ulteriori informazioni su questo argomento. Queste informazioni di contatto sono soggette a modifica senza preavviso. Microsoft non garantisce l'accuratezza delle informazioni di contatto di terze parti.

Contattaci per ricevere assistenza

In caso di domande o bisogno di assistenza, creare una richiesta di supporto tecnico oppure formula una domanda nel Supporto della community di Azure. È possibile anche inviare un feedback sul prodotto al feedback della community di Azure.

Condividi tramite