阿里云代充值 腾讯云 TKE 跨节点 Pod 网络不通？GlobalRouter/VPC-CNI 模式排查
这类问题我见得最多的场景不是“Pod 起不来”，而是“同一台节点上的 Pod 正常，一换节点就互相访问失败”。如果你现在卡在这里，先别急着改应用，先确认是不是 账号、计费、网络模式、路由、安全组 其中某一环出了问题。很多工单最后并不是 Kubernetes 本身，而是采购、实名、充值、风控审核把后续资源开通卡住了。
先看最容易误判的 4 个点
- 节点是否真的在线：欠费回收、续费失败、实例被停机，Pod 当然跨节点不通。
- 集群用的是哪种网络模式：GlobalRouter 和 VPC-CNI 的排查方向不同，别混着查。
- 安全组有没有放行 Pod 网段：很多人只放了节点 IP，忘了 Pod CIDR。
- IP 是否耗尽：VPC-CNI 下特别常见，节点看起来正常，实际已经没有可分配地址。
一张表先定位，能省掉半天时间
| 现象 | 优先查什么 | 常见原因 |
|---|---|---|
| 同节点通，跨节点不通 | 路由表 / 安全组 / CNI 组件 | Pod 网段未下发、策略拦截、CNI 异常 |
| Pod 能 ping，curl 不通 | 端口、应用监听、NetworkPolicy | 只开了 ICMP，TCP 端口没放行 |
| 新 Pod 一直 Pending | IP 资源、节点资源、配额 | 地址池不够、节点不足、账号限额 |
| 重启后才开始不通 | 节点续费、CNI 服务、路由刷新 | 实例到期、组件未拉起、规则未同步 |
GlobalRouter 模式：先看路由，再看安全组
阿里云代充值 如果你用的是 GlobalRouter，跨节点通信失败，最常见不是应用问题，而是 Pod 网段没有正确进入路由，或者安全组只放了节点段，没有放 Pod 段。我的排查顺序一般是：
- 在控制台确认 Pod CIDR 是否和 VPC、对等连接、专线网段冲突。
- 查看节点所属安全组，入站和出站都要检查，不要只看入站。
- 确认路由表是否已下发到对应子网，特别是新扩容节点。
- 检查集群里的路由控制组件是否异常，组件重启后有时不会立刻恢复。
- 阿里云代充值 做一次最小化测试：同命名空间两个 Pod 互 ping，再换节点复测，能快速判断是不是跨节点路径故障。
如果你发现“老节点正常，新节点不正常”，大概率是新节点关联的安全组或路由表不一致。这个问题在批量扩容后很常见，尤其是账号刚完成实名、第一次创建大规模节点时，配置往往不统一。
VPC-CNI 模式：重点查 IP、ENI 和节点配额
VPC-CNI 的问题，很多都出在地址资源上。看起来像网络不通，实际上是 Pod 已经拿不到可用 IP，或者节点 ENI 配额不够。实操里我通常先查这三项：
- 子网剩余地址：如果你只给了一个很小的子网，节点一扩容就容易不够用。
- 实例规格支持的 ENI 数量：低配机型常常是瓶颈，不是集群瓶颈。
- CNI Pod 是否异常：DaemonSet 没跑稳，Pod 分配就会断断续续。
有些团队为了省预算，前期买了小规格节点，后面业务一上来就频繁扩容，结果不是业务撑不住，而是地址池先见底。这个时候继续排应用没有意义，应该先补子网、扩实例规格，或者重新规划 Pod 网段。
账号购买、实名、充值这些事，为什么会影响网络排障
很多人以为“网络不通”只和技术相关，但腾讯云这类问题经常被账号状态卡住：
- 实名认证未完成：有些资源创建后半程才发现权限不全，节点开通失败。
- 企业认证资料不一致：营业执照、联系人、付款主体不一致，容易触发风控审核。
- 充值未到账：支付成功不等于余额立即可用，遇到延迟要先看订单状态。
- 账户欠费或冻结：节点被回收后，Pod 网络故障只是表象。
如果你是新注册账号，建议先做小额充值再开集群，别一上来就批量买节点。新账号一次性提交太多资源申请，容易进人工审核，审核期间你会看到“创建成功一半、后面卡住”的情况。
支付方式和风控：不同账号的差异很大
实际使用里，支付方式会直接影响开通速度：
- 个人账号：通常以信用卡/借记卡、线上支付为主，额度和资源申请上限相对更紧。
- 企业账号：对公转账、企业卡、发票和付款主体一致性要求更高，但后续扩容更顺。
- 跨地区账号：同样的卡在不同站点可能触发风控，尤其是第一次大额充值。
我建议的做法是：先完成实名，再做小额充值，确认余额到账后再申请集群和节点。这样即使被风控，也只会卡在小订单，不会影响整套环境上线。
成本怎么选：GlobalRouter 还是 VPC-CNI
| 对比项 | GlobalRouter | VPC-CNI |
|---|---|---|
| 直接成本 | 通常更省一些 | 更依赖 IP/ENI 资源，成本更容易上去 |
| 排障难度 | 路由、网段、安全组较多 | IP 池、ENI、节点规格是关键 |
| 扩容体验 | 看路由同步是否及时 | 看子网和实例配额是否足够 |
| 适合场景 | 预算敏感、网络规划较稳定 | 希望 Pod 直接用 VPC 地址、便于对接内网服务 |
如果你的业务是长期运行、节点会频繁扩容，我通常更关注 VPC-CNI 的地址规划；如果你更在意前期成本，GlobalRouter 也能用，但路由和安全组必须标准化，不然后期故障会反复出现。
实战里最有效的排查顺序
- 先确认账号是否正常：实名、余额、订单状态、是否被风控。
- 确认节点是否在线：有没有欠费回收、重启未完成。
- 确认网络模式：GlobalRouter 还是 VPC-CNI。
- 看安全组和路由：Pod 网段是否真正放通。
- 查 CNI 组件和地址池：是否异常、是否耗尽。
- 最后再看应用端口、NetworkPolicy、MTU 之类细节。
常见问题
Q：同节点正常，跨节点失败，第一步查什么？
A：先看安全组和 Pod CIDR，再看 CNI 组件，不要先改应用。
Q：新建集群后一直连不通，是不是腾讯云问题？
A：多数不是云平台故障，而是账号未完成实名、余额未到账、路由没配对、子网太小这几类问题。
Q：集群模式能不能中途切换？
A：通常不要指望无损切换，很多时候更稳的做法是新建目标模式集群，再迁移业务。
Q：怎么降低后续扩容成本？
A：提前把子网地址规划做大，企业账号先把认证和付款主体一次性处理好，避免每次扩容都卡审核。
如果你现在已经排到“应用没问题、节点也在线，但跨节点还是不通”，基本就该回到 路由、安全组、CNI、IP 资源 这四项里逐个确认。这个顺序比盲目重装集群更省钱，也更快定位。
