Résoudre le code d’erreur OutboundConnFailVMExtensionError (50)

Cet article explique comment identifier et résoudre l’erreur OutboundConnFailVMExtensionError (également appelée code ERR_OUTBOUND_CONN_FAILd’erreur , numéro d’erreur 50) qui peut se produire si vous créez, démarrez, mettez à l’échelle ou mettez à niveau un cluster Microsoft Azure Kubernetes Service (AKS).

Prerequisites

• Outil en ligne de commande Netcat (nc)

• Outil en ligne de commande dig

• Outil cURL (Client URL)

Symptoms

Lorsque vous essayez de créer, mettre à l’échelle ou mettre à niveau un cluster AKS, vous pouvez recevoir le message d’erreur suivant :

Impossible d’établir une connexion sortante à partir d’agents, consultez https://aka.ms/aks-required-ports-and-addresses pour plus d’informations.

Détails : Code="VMExtensionProvisioningError »

Message= » La machine virtuelle a signalé un échec lors du traitement de l’extension « vmssCSE ».

Message d’erreur : « Échec de l’activation : échec de l’exécution de la commande : la commande s’est terminée avec exit status=50\n[stdout]\n\n[stderr]\nnc : connexion mcr.microsoft.com au port 443 (tcp) a échoué : délai d’attente de connexion\nCommand quitté avec un état non nul

Détails de l’erreur : « messages d’erreur vmssCSE : {vmssCSE exit status=50, output=pt/apt.conf.d/95proxy...}

Cette erreur peut également entraîner l’échec de vos nœuds en cours d’exécution ou provoquer des échecs d’extraction d’images, car la connectivité sortante est bloquée à partir de certains ou de tous les nœuds de votre cluster.

Cause

L’extension de script personnalisé qui télécharge les composants nécessaires pour approvisionner les nœuds n’a pas pu établir la connectivité sortante nécessaire pour obtenir des packages. Pour les clusters publics, les nœuds tentent de communiquer avec le point de terminaison Microsoft Container Registry (mcr.microsoft.comMCR) sur le port 443.

Il existe de nombreuses raisons pour lesquelles le trafic sortant peut être bloqué. La meilleure façon de résoudre les défaillances de connectivité sortante consiste à exécuter une analyse de connectivité avec Le vérificateur de réseau virtuel Azure (préversion) . En exécutant une analyse de connectivité, vous pouvez visualiser les tronçons au sein du flux de trafic et toutes les configurations incorrectes dans les ressources réseau Azure qui bloquent le trafic. Pour résoudre manuellement les échecs de connectivité sortante, vous pouvez utiliser le protocole SSH (Secure Shell) pour vous connecter au nœud. Cette section décrit les instructions pour les deux types d’enquêtes :

Vérifier si les ressources réseau Azure bloquent le trafic vers le point de terminaison

Pour déterminer si le trafic est bloqué vers le point de terminaison en raison de ressources réseau Azure, exécutez une analyse de connectivité de vos nœuds de cluster AKS vers le point de terminaison à l’aide de l’outil Azure Virtual Network Verifier (préversion). L’analyse de connectivité couvre les ressources suivantes :

• Azure Load Balancer (répartiteur de charge Azure)
• Azure Firewall
• Passerelle NAT (Network Address Translation)
• Groupe de sécurité réseau (NSG)
• Stratégie réseau
• Itinéraires définis par l’utilisateur (tables de routage)
• Peering de réseau virtuel

1. Accédez à votre cluster sur le Portail Azure. Dans la barre latérale, accédez au volet "Pool de nœuds" des Paramètres ->.
2. Identifiez le pool de nœuds à partir duquel vous souhaitez exécuter une analyse de connectivité. Cliquez sur le pool de nœuds pour le sélectionner comme périmètre.
3. Sélectionnez « Analyse de la connectivité (préversion) » dans la barre d’outils en haut de la page. Si vous ne le voyez pas, cliquez sur les trois points « ... » dans la barre d’outils en haut de la page pour ouvrir le menu développé.
4. Sélectionnez une instance du groupe de machines virtuelles (VMSS) comme source. Les adresses IP sources sont remplies automatiquement.
5. Sélectionnez un nom/point de terminaison de domaine public comme destination pour l’analyse, un exemple est mcr.microsoft.com. Les adresses IP de destination sont également remplies automatiquement.
6. Exécutez l’analyse et attendez jusqu’à 2 minutes pour les résultats. Dans le diagramme résultant, identifiez les ressources réseau Azure associées et où le trafic est bloqué. Pour afficher la sortie d’analyse détaillée, cliquez sur l’onglet « Sortie JSON » ou cliquez sur les flèches du diagramme.

Résolution manuelle des problèmes

Si l’outil Azure Virtual Network Verifier (préversion) ne fournit pas suffisamment d’informations sur le problème, vous pouvez résoudre manuellement les problèmes de connectivité sortante à l’aide du protocole SSH (Secure Shell) pour vous connecter au nœud. Pour établir la connexion, suivez les instructions de connexion aux nœuds de cluster Azure Kubernetes Service (AKS) pour la maintenance ou la résolution des problèmes. Ensuite, testez la connectivité sur le cluster en procédant comme suit :

1. Après vous être connecté au nœud, exécutez les nc commandes et dig les commandes :

   nc -vz mcr.microsoft.com 443 
   dig mcr.microsoft.com 443
   

   Note

   Si vous ne pouvez pas accéder au nœud via SSH, vous pouvez tester la connectivité sortante en exécutant la commande az vmss run-command invoke sur l’instance virtual Machine Scale Set :

   # Get the VMSS instance IDs.
   az vmss list-instances --resource-group <mc-resource-group-name> \
       --name <vmss-name> \
       --output table
   
   # Use an instance ID to test outbound connectivity.
   az vmss run-command invoke --resource-group <mc-resource-group-name> \
       --name <vmss-name> \
       --command-id RunShellScript \
       --instance-id <vmss-instance-id> \
       --output json \
       --scripts "nc -vz mcr.microsoft.com 443"
   

2. Si vous essayez de créer un cluster AKS à l’aide d’un proxy HTTP, exécutez les commandes et nccurl les digcommandes après vous être connecté au nœud :

   # Test connectivity to the HTTP proxy server from the AKS node.
   nc -vz <http-s-proxy-address> <port>
   
   # Test traffic from the HTTP proxy server to HTTPS.
   curl --proxy http://<http-proxy-address>:<port>/ --head https://mcr.microsoft.com
   
   # Test traffic from the HTTPS proxy server to HTTPS.
   curl --proxy https://<https-proxy-address>:<port>/ --head https://mcr.microsoft.com
   
   # Test DNS functionality.
   dig mcr.microsoft.com 443
   

   Note

   Si vous ne pouvez pas accéder au nœud via SSH, vous pouvez tester la connectivité sortante en exécutant la az vmss run-command invoke commande sur l’instance du groupe de machines virtuelles identiques :

   # Get the VMSS instance IDs.
   az vmss list-instances --resource-group <mc-resource-group-name> \
       --name <vmss-name> \
       --output table
   
   # Use an instance ID to test connectivity from the HTTP proxy server to HTTPS.
   az vmss run-command invoke --resource-group <mc-resource-group-name> \
       --name <vmss-name> \
       --command-id RunShellScript \
       --instance-id <vmss-instance-id> \
       --output json \
       --scripts "curl --proxy http://<http-proxy-address>:<port>/ --head https://mcr.microsoft.com"
   
   # Use an instance ID to test connectivity from the HTTPS proxy server to HTTPS.
   az vmss run-command invoke --resource-group <mc-resource-group-name> \
       --name <vmss-name> \
       --command-id RunShellScript \
       --instance-id <vmss-instance-id> \
       --output json \
       --scripts "curl --proxy https://<https-proxy-address>:<port>/ --head https://mcr.microsoft.com"
   
   # Use an instance ID to test DNS functionality.
   az vmss run-command invoke --resource-group <mc-resource-group-name> \
       --name <vmss-name> \
       --command-id RunShellScript \
       --instance-id <vmss-instance-id> \
       --output json \
       --scripts "dig mcr.microsoft.com 443"
   

Solution

Le tableau suivant répertorie des raisons spécifiques pour lesquelles le trafic peut être bloqué et la solution correspondante pour chaque raison :

Plus d’informations

• Résolution générale des problèmes de création de cluster AKS

Exclusion de responsabilité sur les coordonnées externes

Microsoft fournit des informations de contacts externes afin de vous aider à obtenir un support technique sur ce sujet. Ces informations de contact peuvent changer sans préavis. Microsoft ne garantit pas l’exactitude des informations concernant les sociétés externes.