Kubernetes NetworkPolicy 默认允许所有出向流量，但一旦配置了egress规则，可能阻断Go服务连接外部RabbitMQ/Kafka的5672、9092等端口，导致amqp.Dial超时；需检查NetworkPolicy是否放行目标IP/端口，并确保CoreDNS能解析外部域名（非集群内Service），调试时可临时删除策略验证，生产环境应使用CIDR+端口白名单。
Go服务连接外部消息队列时，Kubernetes网络策略必须放行出向流量
默认情况下，Kubernetes NetworkPolicy 默认允许所有出向（egress）流量，但一旦你为命名空间配置了 egress 规则，就可能意外阻断 Go 服务连外部 RabbitMQ/Kafka 的 5672、9092 等端口。现象是：Pod 启动成功、日志无报错，但 conn, err := amqp.Dial(...) 永远超时或返回 dial tcp: i/o timeout。
实操建议：
- 先确认命名空间是否启用了 NetworkPolicy：
kubectl get networkpolicy -n your-ns；若有，检查其egress是否显式放行目标 IP/域名和端口 - 若用域名（如
rabbitmq.prod.svc.cluster.local），需确保 CoreDNS 可解析——但这是**外部**队列，域名应指向公网或内网 VIP，不是集群内 Service - 调试时临时禁用 NetworkPolicy：
kubectl delete networkpolicy -n your-ns --all，验证连通性后再精细化配置 - 生产环境推荐用 CIDR + 端口白名单，而非
to: {ipBlock: {cidr: "0.0.0.0/0"}}这种宽泛写法
Go客户端初始化必须支持重试与连接池复用，不能每次发消息都新建连接
在 Kubernetes 中，Pod 可能被驱逐、滚动更新或因探针失败重启。如果 Go 代码里写 amqp.Dial(url) 放在 handler 内或循环里，会快速耗尽 RabbitMQ 的 socket 连接数，或触发 Kafka 的 TooManyRequestsException。
正确做法是全局复用连接与 channel：
立即学习“go语言免费学习笔记（深入）”；
- 用
sync.Once或init()初始化一次*amqp.Connection和*amqp.Channel，避免并发 dial - 对 Kafka，用
sarama.NewClient()创建 client 后，再按需调用sarama.NewSyncProducer()—— 不要每次发消息都 new 一个 producer - 连接失败时，用指数退避重试（如
backoff.Retry），而不是立即 panic 或 log.Fatal - 务必监听
connection.NotifyClose()和channel.NotifyClose()，在关闭事件中触发重连逻辑
Deployment 的 readinessProbe 必须校验消息队列连通性，而非只查 HTTP 端口
很多团队把 /readyz 探针写成只返回 200，结果 Pod 已加入 Service 流量，却因 RabbitMQ 认证失败或 Kafka ACL 拒绝而无法消费消息——造成“就绪但不可用”的静默故障。
实操要点：
-
readinessProbe的 handler 必须真实执行一次队列操作：比如ch.ExchangeDeclare(...)（RabbitMQ）或client.GetMetadata(&sarama.MetadataRequest{})（Kafka） - 超时时间设为
timeoutSeconds: 5，避免探针卡住；失败阈值至少failureThreshold: 3 - 不要在探针里做 publish，只做 lightweight check（如 declare exchange / fetch metadata），避免污染业务队列
- 若队列暂时不可用，handler 应返回非 200（如 503），让 Kubernetes 将 Pod 从 Endpoints 中摘除
Secret 挂载凭证时，Go 代码必须从文件读取，而非硬编码或环境变量
Kubernetes Secret 默认以文件形式挂载到容器路径（如 /etc/mq/credentials），但很多 Go 服务仍习惯从 os.Getenv("RABBITMQ_PASSWORD") 读取——这会导致部署后连接拒绝，错误信息常是 AMQP connection error: AUTH failed。
关键细节：
- YAML 中挂载 Secret 要指定
items，例如：key: password→path: password，最终路径是/etc/mq/password - Go 代码用
os.ReadFile("/etc/mq/password")读取，trim 换行符：strings.TrimSpace(string(b)) - 不要用
os.Setenv()把文件内容转成环境变量——这会绕过 Kubernetes 的 Secret 更新机制（挂载文件可热更新，环境变量不可） - 若用 SASL/SCRAM（Kafka），用户名/密码需同时挂载两个文件，并在
sarama.Config.Net.SASL中分别赋值
最易被忽略的点：消息队列的 TLS 证书必须通过 ConfigMap 挂载到容器内，且 Go 客户端要显式加载——Kubernetes 不会自动把集群 CA 注入到应用的 TLS RootCAs。哪怕你用 tls.Config{InsecureSkipVerify: true} 临时绕过，上线前也必须替换为真实证书路径。
