Kubernetes DNS 与 Service 连通性排障

由值班人员核对集群、命名空间、调用端和被调服务，记录首次异常时间、端口、协议、错误类型与最近变更。用一个同版本正常调用端作对照，将仅短名称失败、全部域名失败、仅一个 Service 失败和仅某节点失败分别登记。先从现有日志和告警补齐证据，未知路径保持待查，不通过重复请求真实写接口制造测试数据。

kubectl config current-context
kubectl -n NAMESPACE get pod POD_NAME -o wide
kubectl -n NAMESPACE get service SERVICE_NAME -o wide

读取目标 Service 的选择器、类型、端口与地址族，检查相关 EndpointSlice 的后端地址、端口和就绪条件，再与 Pod 标签及实际工作负载配置对照。一个服务可能有多个切片，必须全部核对。Headless、ExternalName、无选择器 Service 单独标注，不能套用普通 ClusterIP 的通过条件，也不手动修改控制器管理的切片。

kubectl -n NAMESPACE get service SERVICE_NAME -o yaml
kubectl -n NAMESPACE get endpointslices -l kubernetes.io/service-name=SERVICE_NAME -o yaml
kubectl -n NAMESPACE get pods -o wide --show-labels

确认实际 DNS Service、Pod、集群域以及是否启用 NodeLocal DNSCache，读取 DNS 端口、EndpointSlice、就绪状态与限定时间日志。查看调用端 Pod 的 dnsPolicy、dnsConfig 和 hostNetwork，区分集群解析与上游解析。常见 CoreDNS 服务名为 kube-dns，但以现有安装为准；未开启查询日志时，日志没有请求记录不能证明 DNS 未收到流量。

kubectl -n kube-system get services
kubectl -n kube-system get endpointslices -l kubernetes.io/service-name=DNS_SERVICE_NAME -o yaml
kubectl -n kube-system logs DNS_POD_NAME -c DNS_CONTAINER_NAME --since=10m --tail=200 --timestamps
kubectl -n NAMESPACE get pod POD_NAME -o yaml

申请指定 Pod 与容器的执行权限，以及有限次数、限定目标的 DNS 和无副作用健康探测。kubectl exec 会启动容器进程，不是纯 API 只读；下例仅在授权后读取解析文件。使用已有诊断工具比较短名称与实际完整域名，登记 DNS 响应码及耗时；没有工具时申请独立诊断资源，不在业务容器安装软件，也不默认创建特权 Pod。

# 仅在获得指定容器执行授权后使用；全部大写名称须替换。
kubectl -n NAMESPACE exec POD_NAME -c CONTAINER_NAME -- cat /etc/resolv.conf

在相同获准源端和时间窗口，用业务批准的无副作用探测分别比较完整域名、Service IP 和后端地址，区分 Service 端口与后端端口。HTTPS 保持正确主机名、SNI 和证书校验，避免直连 IP 制造假故障；UDP 和 TCP DNS 分别记录。后端正常但 Service 异常时，再读取实际代理或替代数据面的现有日志及指标，不默认所有集群都运行 kube-proxy。

读取调用端与被调端命名空间的 NetworkPolicy，核对实际标签、出口与入口规则以及 DNS 解析器路径。标准策略允许项累加，是否实施依赖网络插件；NodeLocal DNS 和地址转换按实现复核。依据证据只选择一个明确修复对象，保存原版本、变更差异、预计传播时间和回退入口，经负责人批准后通过既有配置管理落地，不默认全网放通。

kubectl -n SOURCE_NAMESPACE get networkpolicies -o yaml
kubectl -n TARGET_NAMESPACE get networkpolicies -o yaml

重放此前获准的有限探测矩阵，对异常源端、正常对照、相关节点和必要地址族逐项验收。覆盖 DNS 缓存与探针刷新周期，观察已有业务成功率、延迟、DNS 错误和重启趋势。对已批准的负向测试确认不应访问的路径仍然被拒绝；没有负向测试权限时由安全负责人提供证据，不自行访问范围外资产。

整理故障矩阵、配置差异、探测授权、变更与恢复时间线，明确最终根因和仍未排除的因素。把查询入口、运行版本、节点与插件差异更新到配套手册及值班工单；临时诊断权限和额外日志按批准期限撤销。若仅暂时缓解或存在未验证节点，保留未完成状态与负责人，不声称已经完成全环境恢复验证。