1. 项目概述与核心目标最近在帮团队搭建一套用于内部开发测试的Kubernetes环境选定的基础操作系统是CentOS 7.9Kubernetes版本则定位在相对稳定且兼容性经过验证的1.20系列。之所以选择这个组合一方面是考虑到公司内部仍有大量存量应用运行在CentOS 7上迁移成本较高另一方面K8s 1.20是一个承上启下的版本它已经包含了相当多稳定的特性同时又避开了早期版本的一些已知坑点对于学习和中小规模部署来说非常合适。这个安装过程看似是标准操作但在实际的机房或云主机环境中从系统初始化到集群就绪每一步都藏着细节网络配置、镜像拉取、组件版本匹配任何一个环节出问题都可能导致部署失败。接下来我就把这次从零开始在CentOS 7上成功部署K8s 1.20单控制平面集群的完整操作过程、踩过的坑以及总结的避坑指南毫无保留地分享出来。无论你是刚开始接触容器编排的运维新人还是需要快速搭建一套测试环境的老手这份详尽的记录都能让你少走弯路。2. 环境准备与系统初始化在开始安装Kubernetes任何组件之前我们必须为它准备一个“干净”且“合规”的操作系统环境。这里的“干净”指的是关闭可能干扰集群网络和服务的系统服务“合规”则是指系统参数、内核模块等需要满足K8s运行的最低要求。很多安装失败的问题根源都出在这一步。2.1 基础系统要求与规划首先你需要准备至少两台CentOS 7.9的虚拟机或物理机。一台作为控制平面节点Master另一台作为工作节点Worker。对于实验环境Master节点建议配置2核CPU、4GB内存、40GB磁盘Worker节点建议2核CPU、2GB内存、40GB磁盘。生产环境请根据实际负载大幅提高配置。所有节点需要确保网络互通且每个节点有唯一的主机名。防火墙和SELinux需要被正确配置或关闭这是初期避免网络问题最直接的方式。需要配置一个稳定的软件源用于安装Docker、Kubernetes组件等。我个人的习惯是在开始任何操作前先在所有节点上执行一遍系统更新和主机名设置。# 在所有节点上执行 # 1. 更新系统并安装基础工具 yum update -y yum install -y vim wget net-tools bash-completion # 2. 设置永久主机名以master节点为例 hostnamectl set-hostname k8s-master # 在worker节点上执行hostnamectl set-hostname k8s-worker1 # 3. 修改 /etc/hosts 文件添加所有节点的IP和主机名映射 # 假设 master IP 为 192.168.1.100, worker1 IP 为 192.168.1.101 cat /etc/hosts EOF 192.168.1.100 k8s-master 192.168.1.101 k8s-worker1 EOF注意/etc/hosts的配置至关重要尤其是在没有内部DNS解析的环境下。Kubernetes组件之间、节点之间需要通过主机名相互通信。务必确保每个节点上的这个文件内容一致且准确。2.2 关键系统服务与安全配置接下来是关闭防火墙和SELinux。在安全要求严格的生成环境你可能需要配置精细的防火墙规则和SELinux策略但对于学习和测试环境关闭它们可以极大简化问题排查的复杂度。# 在所有节点上执行 # 1. 关闭并禁用防火墙firewalld systemctl stop firewalld systemctl disable firewalld # 2. 关闭SELinux临时生效永久生效 setenforce 0 # 临时设置为宽松模式 sed -i s/^SELINUXenforcing$/SELINUXpermissive/ /etc/selinux/config # 永久修改为permissive为什么是permissive而不是disabled将SELinux设置为permissive模式意味着系统会记录违反策略的操作但不阻止它。这既能让我们顺利安装又能在日志中看到哪些操作可能被SELinux拦截为日后开启安全策略提供参考。直接disabled可能会在后续某些操作中遇到更隐晦的问题。2.3 内核参数与模块加载Kubernetes对Linux内核有一些要求特别是网络和存储方面。我们需要加载必要的内核模块并调整一些系统参数。# 在所有节点上执行 # 1. 加载内核模块 cat /etc/modules-load.d/k8s.conf EOF br_netfilter ip_vs ip_vs_rr ip_vs_sh ip_vs_wrr nf_conntrack EOF # 手动加载模块重启后也会自动加载 modprobe br_netfilter modprobe ip_vs modprobe ip_vs_rr modprobe ip_vs_sh modprobe ip_vs_wrr modprobe nf_conntrack # 2. 配置系统参数 cat /etc/sysctl.d/k8s.conf EOF net.bridge.bridge-nf-call-ip6tables 1 net.bridge.bridge-nf-call-iptables 1 net.ipv4.ip_forward 1 vm.swappiness 0 EOF # 使配置生效 sysctl --system参数解析net.bridge.bridge-nf-call-iptables 1这是让iptables规则能够对桥接网络流量生效的关键参数。Kubernetes Service和网络策略NetworkPolicy都依赖于此。net.ipv4.ip_forward 1开启IP转发这是容器跨节点通信和Service网络模式如NodePort的基础。vm.swappiness 0尽可能避免使用交换分区Swap。Kubernetes从1.8版本开始就要求关闭Swap但有些环境无法彻底关闭设置为0可以最大程度减少Swap使用因为Swap会导致kubelet性能不可预测。2.4 配置国内Yum源与时间同步由于网络原因直接使用默认的国外源安装Docker和K8s可能会非常慢甚至失败。配置国内镜像源是必选项。同时集群所有节点的时间必须同步否则证书、日志等都会出问题。# 在所有节点上执行 # 1. 备份原有yum源 mkdir -p /etc/yum.repos.d/backup mv /etc/yum.repos.d/*.repo /etc/yum.repos.d/backup/ # 2. 下载阿里云CentOS 7镜像源这里以Base源为例EPEL源同样需要配置 wget -O /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-7.repo # 清理缓存并重建 yum clean all yum makecache # 3. 安装并配置NTP时间同步 yum install -y ntpdate # 使用阿里云的NTP服务器 ntpdate ntp1.aliyun.com # 设置定时任务每30分钟同步一次 echo */30 * * * * /usr/sbin/ntpdate ntp1.aliyun.com /dev/null 21 /etc/crontab systemctl restart crond做完以上所有步骤请务必重启所有节点。重启可以确保所有内核模块、系统参数和主机名更改完全生效。这是避免后续出现各种灵异问题的重要一步。3. 容器运行时与Kubernetes组件安装环境准备好后我们开始安装核心软件容器运行时和Kubernetes组件。这里我们选择Docker作为容器运行时并使用阿里云镜像站来加速Kubernetes组件的下载。3.1 安装与配置DockerKubernetes 1.20版本对Docker的支持是“最后的美好时光”从1.24版本开始K8s就移除了对Docker的直接支持。所以1.20版本是我们仍能使用Docker的稳定选择。我们安装指定版本的Docker-ce。# 在所有节点上执行 # 1. 安装yum工具包 yum install -y yum-utils device-mapper-persistent-data lvm2 # 2. 添加阿里云Docker CE镜像源 yum-config-manager --add-repo http://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo # 3. 安装指定版本的Docker这里选择19.03.15与k8s 1.20兼容性好 yum install -y docker-ce-19.03.15 docker-ce-cli-19.03.15 containerd.io # 4. 配置Docker镜像加速和Cgroup驱动 mkdir -p /etc/docker cat /etc/docker/daemon.json EOF { exec-opts: [native.cgroupdriversystemd], log-driver: json-file, log-opts: { max-size: 100m }, storage-driver: overlay2, registry-mirrors: [ https://registry.docker-cn.com, https://hub-mirror.c.163.com, https://mirror.baidubce.com ] } EOF关键配置解析native.cgroupdriversystemd这是至关重要的一步。必须将Docker的Cgroup驱动设置为systemd使其与Kubernetes kubelet的默认驱动保持一致。如果不一致kubelet将无法正确管理Docker创建的容器导致节点状态异常。storage-driver: overlay2Overlay2是CentOS 7上推荐且性能较好的存储驱动。registry-mirrors配置国内镜像加速器可以极大提升拉取Docker官方镜像的速度。# 5. 启动并设置Docker开机自启 systemctl daemon-reload systemctl enable docker --now # 6. 验证Docker安装和配置 docker info | grep -i cgroup # 输出中应包含 Cgroup Driver: systemd3.2 安装Kubernetes组件kubeadm kubelet kubectl我们将使用kubeadm这个官方推荐的集群部署工具。同样为了速度我们配置阿里云的Kubernetes镜像源。# 在所有节点上执行 # 1. 添加阿里云Kubernetes Yum源 cat /etc/yum.repos.d/kubernetes.repo EOF [kubernetes] nameKubernetes baseurlhttps://mirrors.aliyun.com/kubernetes/yum/repos/kubernetes-el7-x86_64/ enabled1 gpgcheck1 repo_gpgcheck1 gpgkeyhttps://mirrors.aliyun.com/kubernetes/yum/doc/yum-key.gpg https://mirrors.aliyun.com/kubernetes/yum/doc/rpm-package-key.gpg EOF # 2. 安装指定版本的kubelet kubeadm kubectl (1.20.15是一个稳定的补丁版本) yum install -y kubelet-1.20.15 kubeadm-1.20.15 kubectl-1.20.15 --disableexcludeskubernetes # 3. 设置kubelet开机自启先不启动等kubeadm init后再启动 systemctl enable kubelet--disableexcludeskubernetes这个参数是为了防止在安装时因为某些仓库的排除规则而导致kubelet等包被跳过。3.3 配置kubelet的Cgroup驱动确保kubelet的Cgroup驱动与Docker保持一致。编辑kubelet的默认配置文件。# 在所有节点上执行 cat /etc/sysconfig/kubelet EOF KUBELET_EXTRA_ARGS--cgroup-driversystemd EOF至此所有节点上的软件都已安装完毕。接下来我们将在Master节点上初始化控制平面。4. 使用Kubeadm初始化Master节点kubeadm init是创建Kubernetes控制平面的核心命令。这个过程中会生成集群证书、部署核心组件如API Server Controller Manager Scheduler etcd并生成加入集群的令牌。4.1 初始化命令与参数详解在Master节点k8s-master上执行初始化。这里有几个关键参数需要根据你的环境调整。# 仅在Master节点执行 # 1. 预先拉取所需的镜像避免init时因网络问题超时 kubeadm config images pull --image-repository registry.aliyuncs.com/google_containers # 2. 执行初始化命令 kubeadm init \ --apiserver-advertise-address192.168.1.100 \ --image-repository registry.aliyuncs.com/google_containers \ --kubernetes-version v1.20.15 \ --service-cidr10.96.0.0/12 \ --pod-network-cidr10.244.0.0/16 \ --ignore-preflight-errorsSwap参数拆解与避坑指南--apiserver-advertise-address指定API Server对外公告的IP地址。必须填写Master节点的实际IP不能是127.0.0.1。Worker节点将通过这个地址连接到Master。--image-repository指定拉取K8s核心组件镜像的仓库。使用阿里云镜像站registry.aliyuncs.com/google_containers速度比谷歌原厂仓库快几个数量级。--kubernetes-version必须与我们安装的kubeadm版本严格一致这里是v1.20.15。--service-cidrKubernetes Service的虚拟IP地址段。使用默认的10.96.0.0/12即可除非和你现有的网络冲突。--pod-network-cidr这是为后续安装Pod网络插件CNI准备的。这里设置为10.244.0.0/16是因为我们将使用flannel网络插件这是flannel默认的网段。如果你计划使用Calico、Weave Net等其他插件这个网段可能需要修改。--ignore-preflight-errorsSwap因为我们之前只将swappiness设为0并未彻底关闭Swap分区所以初始化时会有一个警告。这个参数用于忽略Swap检查的警告。如果Swap已彻底关闭swapoff -a并注释掉/etc/fstab中的swap行则无需此参数。4.2 初始化成功后的关键操作如果一切顺利命令执行最后会输出类似以下成功信息Your Kubernetes control-plane has initialized successfully! To start using your cluster, you need to run the following as a regular user: mkdir -p $HOME/.kube sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config sudo chown $(id -u):$(id -g) $HOME/.kube/config Alternatively, if you are the root user, you can run: export KUBECONFIG/etc/kubernetes/admin.conf You should now deploy a pod network to the cluster. Run kubectl apply -f [podnetwork].yaml with one of the options listed at: https://kubernetes.io/docs/concepts/cluster-administration/addons/ Then you can join any number of worker nodes by running the following on each as root: kubeadm join 192.168.1.100:6443 --token abcdef.0123456789abcdef \ --discovery-token-ca-cert-hash sha256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx请务必立即执行以下操作配置kubectl命令行工具按照提示让当前用户可以使用kubectl命令管理集群。mkdir -p $HOME/.kube sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config sudo chown $(id -u):$(id -g) $HOME/.kube/config记录kubeadm join命令将最后输出的kubeadm join ...命令完整地保存下来。这个命令包含了令牌和CA证书哈希用于Worker节点加入集群。令牌默认24小时有效。可选启用Master节点调度Pod默认情况下出于安全考虑Master节点不允许调度普通的Pod。在测试环境中如果你只有一台Master节点可以解除这个限制。kubectl taint nodes --all node-role.kubernetes.io/master-4.3 安装Pod网络插件CNI没有网络插件集群内的Pod无法跨节点通信。我们选择最经典且简单的flannel。# 在Master节点执行 # 注意这里使用的镜像仓库是docker.io如果拉取慢可以尝试先手动拉取或配置Docker镜像加速器。 kubectl apply -f https://raw.githubusercontent.com/coreos/flannel/master/Documentation/kube-flannel.yml应用这个YAML文件后Kubernetes会在kube-system命名空间下创建一系列DaemonSet等资源。使用以下命令查看安装状态kubectl get pods -n kube-system -l appflannel # 等待所有Pod状态变为 Running kubectl get nodes # 此时Master节点的状态应该从 NotReady 变为 Ready当Master节点状态显示为Ready说明控制平面和网络插件都已正常运行。现在Master节点已经就绪可以接受Worker节点加入了。5. Worker节点加入集群与集群验证现在我们将Worker节点加入到刚刚创建好的集群中。5.1 执行加入集群命令在每一台Worker节点上执行之前在Master节点初始化成功后输出的kubeadm join命令。命令格式如下请替换为你自己的令牌和哈希# 在Worker节点k8s-worker1上执行 kubeadm join 192.168.1.100:6443 --token abcdef.0123456789abcdef \ --discovery-token-ca-cert-hash sha256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx如果令牌过期可以在Master节点上重新生成# 在Master节点执行 kubeadm token create --print-join-command5.2 验证节点加入状态回到Master节点使用kubectl查看节点状态。kubectl get nodes你应该能看到类似下面的输出STATUS栏都显示为ReadyNAME STATUS ROLES AGE VERSION k8s-master Ready control-plane,master 10m v1.20.15 k8s-worker1 Ready none 2m v1.20.155.3 部署测试应用验证集群功能集群状态就绪后我们部署一个最简单的Nginx应用来验证整个集群是否工作正常。部署一个Nginx Deploymentkubectl create deployment nginx-test --imagenginx:1.21-alpine将Nginx服务暴露为NodePort类型kubectl expose deployment nginx-test --port80 --typeNodePort查看服务详情kubectl get svc nginx-test输出中会有一个PORT(S)列例如80:30678/TCP。30678就是集群随机分配的NodePort。访问测试 打开浏览器访问http://任意节点的IP:30678。如果看到Nginx的欢迎页面恭喜你一个功能完整的Kubernetes集群已经部署成功查看Pod调度情况kubectl get pods -o wide这个命令可以看到Pod运行在哪个节点上以及它的IP地址这有助于理解K8s的调度和网络。6. 安装后的优化与常见问题排查集群跑起来只是第一步要让其稳定、好用还需要一些优化配置。同时我把安装过程中最容易遇到的几个问题及其解决方案记录下来。6.1 核心优化配置配置kubectl命令自动补全# bash用户 echo source (kubectl completion bash) ~/.bashrc source ~/.bashrc # zsh用户 echo source (kubectl completion zsh) ~/.zshrc source ~/.zshrc配置kube-proxy的IPVS模式可选但推荐kube-proxy默认使用iptables模式当Service数量非常多时超过几千iptables规则会变得庞大影响性能。可以改为ipvs模式效率更高。# 编辑kube-proxy的ConfigMap kubectl edit configmap kube-proxy -n kube-system在data.config.conf部分找到mode: 将其修改为mode: ipvs保存退出。然后删除现有的kube-proxy Pod让其重建。kubectl get pod -n kube-system -l k8s-appkube-proxy -o name | xargs kubectl delete -n kube-system等待新的Pod启动后验证模式kubectl logs -n kube-system kube-proxy-pod-name | grep -i Using ipvs配置Docker和kubelet日志轮转防止日志占满磁盘。Docker我们之前在daemon.json中配置的max-size参数已生效。Kubelet编辑/etc/systemd/system/kubelet.service.d/10-kubeadm.conf在[Service]部分添加EnvironmentKUBELET_CONFIG_ARGS--config/var/lib/kubelet/config.yaml --log-file/var/log/kubelet.log --logtostderrfalse --rotate-log-file --rotate-log-max-size100 --rotate-log-max-backups5然后执行systemctl daemon-reload systemctl restart kubelet。6.2 常见问题排查实录问题1kubeadm init时卡在[preflight]或拉取镜像失败。原因网络问题无法连接到镜像仓库。解决确保已配置国内镜像源阿里云。可以手动预拉取镜像kubeadm config images pull --image-repository registry.aliyuncs.com/google_containers。检查节点是否能正常访问外网ping mirrors.aliyun.com。问题2Worker节点kubeadm join失败提示connection refused或证书错误。原因Master节点的6443端口API Server未开放或被防火墙拦截。节点间主机名解析失败。初始化时--apiserver-advertise-address填错。解决在Master节点检查端口netstat -tlnp | grep 6443。检查Master和Worker节点的/etc/hosts文件确保能互相解析主机名。检查Master节点防火墙和SELinux是否已按步骤关闭。问题3节点状态为NotReady。原因通常是网络插件flannel没有成功运行。解决kubectl get pods -n kube-system查看kube-flannel-ds-*Pod的状态。如果是ImagePullBackOff可能是网络问题拉取不到quay.io的镜像。可以尝试修改flannel的YAML文件将镜像地址替换为国内源如registry.cn-hangzhou.aliyuncs.com/google_containers/flannel但要注意版本匹配操作较复杂。更简单的方法是确保节点能访问外网或配置Docker代理。journalctl -u kubelet -f查看kubelet日志寻找具体错误信息。问题4Pod一直处于Pending状态。原因通常是资源不足CPU/内存或没有满足条件的节点如Master节点不可调度。解决kubectl describe pod pod-name查看事件Events里面会有详细的调度失败原因。如果是node(s) didn‘t have enough resource考虑增加节点资源或减少Pod请求资源。如果是node(s) had taint {node-role.kubernetes.io/master: }说明Pod被调度到了Master节点但被污点排斥。可以给Pod添加容忍度Toleration或者在测试环境下直接去除Master节点的污点如前文所述。问题5Service的NodePort无法访问。原因节点防火墙未开放NodePort端口范围默认是30000-32767。kube-proxy服务异常。解决在测试环境可以临时在节点上开放端口范围firewall-cmd --permanent --add-port30000-32767/tcp firewall-cmd --reload如果防火墙开启的话。检查kube-proxyPod是否运行正常kubectl get pods -n kube-system -l k8s-appkube-proxy。整个安装过程最考验耐心的是网络和环境问题。严格按照步骤操作并理解每一步的作用遇到问题时查看组件日志journalctl -u kubeletdocker logs container-idkubectl logs pod-name大部分都能找到线索。这个在CentOS 7上搭建的K8s 1.20集群已经可以作为你学习容器编排、部署测试应用甚至搭建CI/CD环境的坚实基础。
CentOS 7.9 上部署 Kubernetes 1.20 集群：从环境准备到应用验证的完整实践
发布时间：2026/6/16 16:48:52
1. 项目概述与核心目标最近在帮团队搭建一套用于内部开发测试的Kubernetes环境选定的基础操作系统是CentOS 7.9Kubernetes版本则定位在相对稳定且兼容性经过验证的1.20系列。之所以选择这个组合一方面是考虑到公司内部仍有大量存量应用运行在CentOS 7上迁移成本较高另一方面K8s 1.20是一个承上启下的版本它已经包含了相当多稳定的特性同时又避开了早期版本的一些已知坑点对于学习和中小规模部署来说非常合适。这个安装过程看似是标准操作但在实际的机房或云主机环境中从系统初始化到集群就绪每一步都藏着细节网络配置、镜像拉取、组件版本匹配任何一个环节出问题都可能导致部署失败。接下来我就把这次从零开始在CentOS 7上成功部署K8s 1.20单控制平面集群的完整操作过程、踩过的坑以及总结的避坑指南毫无保留地分享出来。无论你是刚开始接触容器编排的运维新人还是需要快速搭建一套测试环境的老手这份详尽的记录都能让你少走弯路。2. 环境准备与系统初始化在开始安装Kubernetes任何组件之前我们必须为它准备一个“干净”且“合规”的操作系统环境。这里的“干净”指的是关闭可能干扰集群网络和服务的系统服务“合规”则是指系统参数、内核模块等需要满足K8s运行的最低要求。很多安装失败的问题根源都出在这一步。2.1 基础系统要求与规划首先你需要准备至少两台CentOS 7.9的虚拟机或物理机。一台作为控制平面节点Master另一台作为工作节点Worker。对于实验环境Master节点建议配置2核CPU、4GB内存、40GB磁盘Worker节点建议2核CPU、2GB内存、40GB磁盘。生产环境请根据实际负载大幅提高配置。所有节点需要确保网络互通且每个节点有唯一的主机名。防火墙和SELinux需要被正确配置或关闭这是初期避免网络问题最直接的方式。需要配置一个稳定的软件源用于安装Docker、Kubernetes组件等。我个人的习惯是在开始任何操作前先在所有节点上执行一遍系统更新和主机名设置。# 在所有节点上执行 # 1. 更新系统并安装基础工具 yum update -y yum install -y vim wget net-tools bash-completion # 2. 设置永久主机名以master节点为例 hostnamectl set-hostname k8s-master # 在worker节点上执行hostnamectl set-hostname k8s-worker1 # 3. 修改 /etc/hosts 文件添加所有节点的IP和主机名映射 # 假设 master IP 为 192.168.1.100, worker1 IP 为 192.168.1.101 cat /etc/hosts EOF 192.168.1.100 k8s-master 192.168.1.101 k8s-worker1 EOF注意/etc/hosts的配置至关重要尤其是在没有内部DNS解析的环境下。Kubernetes组件之间、节点之间需要通过主机名相互通信。务必确保每个节点上的这个文件内容一致且准确。2.2 关键系统服务与安全配置接下来是关闭防火墙和SELinux。在安全要求严格的生成环境你可能需要配置精细的防火墙规则和SELinux策略但对于学习和测试环境关闭它们可以极大简化问题排查的复杂度。# 在所有节点上执行 # 1. 关闭并禁用防火墙firewalld systemctl stop firewalld systemctl disable firewalld # 2. 关闭SELinux临时生效永久生效 setenforce 0 # 临时设置为宽松模式 sed -i s/^SELINUXenforcing$/SELINUXpermissive/ /etc/selinux/config # 永久修改为permissive为什么是permissive而不是disabled将SELinux设置为permissive模式意味着系统会记录违反策略的操作但不阻止它。这既能让我们顺利安装又能在日志中看到哪些操作可能被SELinux拦截为日后开启安全策略提供参考。直接disabled可能会在后续某些操作中遇到更隐晦的问题。2.3 内核参数与模块加载Kubernetes对Linux内核有一些要求特别是网络和存储方面。我们需要加载必要的内核模块并调整一些系统参数。# 在所有节点上执行 # 1. 加载内核模块 cat /etc/modules-load.d/k8s.conf EOF br_netfilter ip_vs ip_vs_rr ip_vs_sh ip_vs_wrr nf_conntrack EOF # 手动加载模块重启后也会自动加载 modprobe br_netfilter modprobe ip_vs modprobe ip_vs_rr modprobe ip_vs_sh modprobe ip_vs_wrr modprobe nf_conntrack # 2. 配置系统参数 cat /etc/sysctl.d/k8s.conf EOF net.bridge.bridge-nf-call-ip6tables 1 net.bridge.bridge-nf-call-iptables 1 net.ipv4.ip_forward 1 vm.swappiness 0 EOF # 使配置生效 sysctl --system参数解析net.bridge.bridge-nf-call-iptables 1这是让iptables规则能够对桥接网络流量生效的关键参数。Kubernetes Service和网络策略NetworkPolicy都依赖于此。net.ipv4.ip_forward 1开启IP转发这是容器跨节点通信和Service网络模式如NodePort的基础。vm.swappiness 0尽可能避免使用交换分区Swap。Kubernetes从1.8版本开始就要求关闭Swap但有些环境无法彻底关闭设置为0可以最大程度减少Swap使用因为Swap会导致kubelet性能不可预测。2.4 配置国内Yum源与时间同步由于网络原因直接使用默认的国外源安装Docker和K8s可能会非常慢甚至失败。配置国内镜像源是必选项。同时集群所有节点的时间必须同步否则证书、日志等都会出问题。# 在所有节点上执行 # 1. 备份原有yum源 mkdir -p /etc/yum.repos.d/backup mv /etc/yum.repos.d/*.repo /etc/yum.repos.d/backup/ # 2. 下载阿里云CentOS 7镜像源这里以Base源为例EPEL源同样需要配置 wget -O /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-7.repo # 清理缓存并重建 yum clean all yum makecache # 3. 安装并配置NTP时间同步 yum install -y ntpdate # 使用阿里云的NTP服务器 ntpdate ntp1.aliyun.com # 设置定时任务每30分钟同步一次 echo */30 * * * * /usr/sbin/ntpdate ntp1.aliyun.com /dev/null 21 /etc/crontab systemctl restart crond做完以上所有步骤请务必重启所有节点。重启可以确保所有内核模块、系统参数和主机名更改完全生效。这是避免后续出现各种灵异问题的重要一步。3. 容器运行时与Kubernetes组件安装环境准备好后我们开始安装核心软件容器运行时和Kubernetes组件。这里我们选择Docker作为容器运行时并使用阿里云镜像站来加速Kubernetes组件的下载。3.1 安装与配置DockerKubernetes 1.20版本对Docker的支持是“最后的美好时光”从1.24版本开始K8s就移除了对Docker的直接支持。所以1.20版本是我们仍能使用Docker的稳定选择。我们安装指定版本的Docker-ce。# 在所有节点上执行 # 1. 安装yum工具包 yum install -y yum-utils device-mapper-persistent-data lvm2 # 2. 添加阿里云Docker CE镜像源 yum-config-manager --add-repo http://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo # 3. 安装指定版本的Docker这里选择19.03.15与k8s 1.20兼容性好 yum install -y docker-ce-19.03.15 docker-ce-cli-19.03.15 containerd.io # 4. 配置Docker镜像加速和Cgroup驱动 mkdir -p /etc/docker cat /etc/docker/daemon.json EOF { exec-opts: [native.cgroupdriversystemd], log-driver: json-file, log-opts: { max-size: 100m }, storage-driver: overlay2, registry-mirrors: [ https://registry.docker-cn.com, https://hub-mirror.c.163.com, https://mirror.baidubce.com ] } EOF关键配置解析native.cgroupdriversystemd这是至关重要的一步。必须将Docker的Cgroup驱动设置为systemd使其与Kubernetes kubelet的默认驱动保持一致。如果不一致kubelet将无法正确管理Docker创建的容器导致节点状态异常。storage-driver: overlay2Overlay2是CentOS 7上推荐且性能较好的存储驱动。registry-mirrors配置国内镜像加速器可以极大提升拉取Docker官方镜像的速度。# 5. 启动并设置Docker开机自启 systemctl daemon-reload systemctl enable docker --now # 6. 验证Docker安装和配置 docker info | grep -i cgroup # 输出中应包含 Cgroup Driver: systemd3.2 安装Kubernetes组件kubeadm kubelet kubectl我们将使用kubeadm这个官方推荐的集群部署工具。同样为了速度我们配置阿里云的Kubernetes镜像源。# 在所有节点上执行 # 1. 添加阿里云Kubernetes Yum源 cat /etc/yum.repos.d/kubernetes.repo EOF [kubernetes] nameKubernetes baseurlhttps://mirrors.aliyun.com/kubernetes/yum/repos/kubernetes-el7-x86_64/ enabled1 gpgcheck1 repo_gpgcheck1 gpgkeyhttps://mirrors.aliyun.com/kubernetes/yum/doc/yum-key.gpg https://mirrors.aliyun.com/kubernetes/yum/doc/rpm-package-key.gpg EOF # 2. 安装指定版本的kubelet kubeadm kubectl (1.20.15是一个稳定的补丁版本) yum install -y kubelet-1.20.15 kubeadm-1.20.15 kubectl-1.20.15 --disableexcludeskubernetes # 3. 设置kubelet开机自启先不启动等kubeadm init后再启动 systemctl enable kubelet--disableexcludeskubernetes这个参数是为了防止在安装时因为某些仓库的排除规则而导致kubelet等包被跳过。3.3 配置kubelet的Cgroup驱动确保kubelet的Cgroup驱动与Docker保持一致。编辑kubelet的默认配置文件。# 在所有节点上执行 cat /etc/sysconfig/kubelet EOF KUBELET_EXTRA_ARGS--cgroup-driversystemd EOF至此所有节点上的软件都已安装完毕。接下来我们将在Master节点上初始化控制平面。4. 使用Kubeadm初始化Master节点kubeadm init是创建Kubernetes控制平面的核心命令。这个过程中会生成集群证书、部署核心组件如API Server Controller Manager Scheduler etcd并生成加入集群的令牌。4.1 初始化命令与参数详解在Master节点k8s-master上执行初始化。这里有几个关键参数需要根据你的环境调整。# 仅在Master节点执行 # 1. 预先拉取所需的镜像避免init时因网络问题超时 kubeadm config images pull --image-repository registry.aliyuncs.com/google_containers # 2. 执行初始化命令 kubeadm init \ --apiserver-advertise-address192.168.1.100 \ --image-repository registry.aliyuncs.com/google_containers \ --kubernetes-version v1.20.15 \ --service-cidr10.96.0.0/12 \ --pod-network-cidr10.244.0.0/16 \ --ignore-preflight-errorsSwap参数拆解与避坑指南--apiserver-advertise-address指定API Server对外公告的IP地址。必须填写Master节点的实际IP不能是127.0.0.1。Worker节点将通过这个地址连接到Master。--image-repository指定拉取K8s核心组件镜像的仓库。使用阿里云镜像站registry.aliyuncs.com/google_containers速度比谷歌原厂仓库快几个数量级。--kubernetes-version必须与我们安装的kubeadm版本严格一致这里是v1.20.15。--service-cidrKubernetes Service的虚拟IP地址段。使用默认的10.96.0.0/12即可除非和你现有的网络冲突。--pod-network-cidr这是为后续安装Pod网络插件CNI准备的。这里设置为10.244.0.0/16是因为我们将使用flannel网络插件这是flannel默认的网段。如果你计划使用Calico、Weave Net等其他插件这个网段可能需要修改。--ignore-preflight-errorsSwap因为我们之前只将swappiness设为0并未彻底关闭Swap分区所以初始化时会有一个警告。这个参数用于忽略Swap检查的警告。如果Swap已彻底关闭swapoff -a并注释掉/etc/fstab中的swap行则无需此参数。4.2 初始化成功后的关键操作如果一切顺利命令执行最后会输出类似以下成功信息Your Kubernetes control-plane has initialized successfully! To start using your cluster, you need to run the following as a regular user: mkdir -p $HOME/.kube sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config sudo chown $(id -u):$(id -g) $HOME/.kube/config Alternatively, if you are the root user, you can run: export KUBECONFIG/etc/kubernetes/admin.conf You should now deploy a pod network to the cluster. Run kubectl apply -f [podnetwork].yaml with one of the options listed at: https://kubernetes.io/docs/concepts/cluster-administration/addons/ Then you can join any number of worker nodes by running the following on each as root: kubeadm join 192.168.1.100:6443 --token abcdef.0123456789abcdef \ --discovery-token-ca-cert-hash sha256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx请务必立即执行以下操作配置kubectl命令行工具按照提示让当前用户可以使用kubectl命令管理集群。mkdir -p $HOME/.kube sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config sudo chown $(id -u):$(id -g) $HOME/.kube/config记录kubeadm join命令将最后输出的kubeadm join ...命令完整地保存下来。这个命令包含了令牌和CA证书哈希用于Worker节点加入集群。令牌默认24小时有效。可选启用Master节点调度Pod默认情况下出于安全考虑Master节点不允许调度普通的Pod。在测试环境中如果你只有一台Master节点可以解除这个限制。kubectl taint nodes --all node-role.kubernetes.io/master-4.3 安装Pod网络插件CNI没有网络插件集群内的Pod无法跨节点通信。我们选择最经典且简单的flannel。# 在Master节点执行 # 注意这里使用的镜像仓库是docker.io如果拉取慢可以尝试先手动拉取或配置Docker镜像加速器。 kubectl apply -f https://raw.githubusercontent.com/coreos/flannel/master/Documentation/kube-flannel.yml应用这个YAML文件后Kubernetes会在kube-system命名空间下创建一系列DaemonSet等资源。使用以下命令查看安装状态kubectl get pods -n kube-system -l appflannel # 等待所有Pod状态变为 Running kubectl get nodes # 此时Master节点的状态应该从 NotReady 变为 Ready当Master节点状态显示为Ready说明控制平面和网络插件都已正常运行。现在Master节点已经就绪可以接受Worker节点加入了。5. Worker节点加入集群与集群验证现在我们将Worker节点加入到刚刚创建好的集群中。5.1 执行加入集群命令在每一台Worker节点上执行之前在Master节点初始化成功后输出的kubeadm join命令。命令格式如下请替换为你自己的令牌和哈希# 在Worker节点k8s-worker1上执行 kubeadm join 192.168.1.100:6443 --token abcdef.0123456789abcdef \ --discovery-token-ca-cert-hash sha256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx如果令牌过期可以在Master节点上重新生成# 在Master节点执行 kubeadm token create --print-join-command5.2 验证节点加入状态回到Master节点使用kubectl查看节点状态。kubectl get nodes你应该能看到类似下面的输出STATUS栏都显示为ReadyNAME STATUS ROLES AGE VERSION k8s-master Ready control-plane,master 10m v1.20.15 k8s-worker1 Ready none 2m v1.20.155.3 部署测试应用验证集群功能集群状态就绪后我们部署一个最简单的Nginx应用来验证整个集群是否工作正常。部署一个Nginx Deploymentkubectl create deployment nginx-test --imagenginx:1.21-alpine将Nginx服务暴露为NodePort类型kubectl expose deployment nginx-test --port80 --typeNodePort查看服务详情kubectl get svc nginx-test输出中会有一个PORT(S)列例如80:30678/TCP。30678就是集群随机分配的NodePort。访问测试 打开浏览器访问http://任意节点的IP:30678。如果看到Nginx的欢迎页面恭喜你一个功能完整的Kubernetes集群已经部署成功查看Pod调度情况kubectl get pods -o wide这个命令可以看到Pod运行在哪个节点上以及它的IP地址这有助于理解K8s的调度和网络。6. 安装后的优化与常见问题排查集群跑起来只是第一步要让其稳定、好用还需要一些优化配置。同时我把安装过程中最容易遇到的几个问题及其解决方案记录下来。6.1 核心优化配置配置kubectl命令自动补全# bash用户 echo source (kubectl completion bash) ~/.bashrc source ~/.bashrc # zsh用户 echo source (kubectl completion zsh) ~/.zshrc source ~/.zshrc配置kube-proxy的IPVS模式可选但推荐kube-proxy默认使用iptables模式当Service数量非常多时超过几千iptables规则会变得庞大影响性能。可以改为ipvs模式效率更高。# 编辑kube-proxy的ConfigMap kubectl edit configmap kube-proxy -n kube-system在data.config.conf部分找到mode: 将其修改为mode: ipvs保存退出。然后删除现有的kube-proxy Pod让其重建。kubectl get pod -n kube-system -l k8s-appkube-proxy -o name | xargs kubectl delete -n kube-system等待新的Pod启动后验证模式kubectl logs -n kube-system kube-proxy-pod-name | grep -i Using ipvs配置Docker和kubelet日志轮转防止日志占满磁盘。Docker我们之前在daemon.json中配置的max-size参数已生效。Kubelet编辑/etc/systemd/system/kubelet.service.d/10-kubeadm.conf在[Service]部分添加EnvironmentKUBELET_CONFIG_ARGS--config/var/lib/kubelet/config.yaml --log-file/var/log/kubelet.log --logtostderrfalse --rotate-log-file --rotate-log-max-size100 --rotate-log-max-backups5然后执行systemctl daemon-reload systemctl restart kubelet。6.2 常见问题排查实录问题1kubeadm init时卡在[preflight]或拉取镜像失败。原因网络问题无法连接到镜像仓库。解决确保已配置国内镜像源阿里云。可以手动预拉取镜像kubeadm config images pull --image-repository registry.aliyuncs.com/google_containers。检查节点是否能正常访问外网ping mirrors.aliyun.com。问题2Worker节点kubeadm join失败提示connection refused或证书错误。原因Master节点的6443端口API Server未开放或被防火墙拦截。节点间主机名解析失败。初始化时--apiserver-advertise-address填错。解决在Master节点检查端口netstat -tlnp | grep 6443。检查Master和Worker节点的/etc/hosts文件确保能互相解析主机名。检查Master节点防火墙和SELinux是否已按步骤关闭。问题3节点状态为NotReady。原因通常是网络插件flannel没有成功运行。解决kubectl get pods -n kube-system查看kube-flannel-ds-*Pod的状态。如果是ImagePullBackOff可能是网络问题拉取不到quay.io的镜像。可以尝试修改flannel的YAML文件将镜像地址替换为国内源如registry.cn-hangzhou.aliyuncs.com/google_containers/flannel但要注意版本匹配操作较复杂。更简单的方法是确保节点能访问外网或配置Docker代理。journalctl -u kubelet -f查看kubelet日志寻找具体错误信息。问题4Pod一直处于Pending状态。原因通常是资源不足CPU/内存或没有满足条件的节点如Master节点不可调度。解决kubectl describe pod pod-name查看事件Events里面会有详细的调度失败原因。如果是node(s) didn‘t have enough resource考虑增加节点资源或减少Pod请求资源。如果是node(s) had taint {node-role.kubernetes.io/master: }说明Pod被调度到了Master节点但被污点排斥。可以给Pod添加容忍度Toleration或者在测试环境下直接去除Master节点的污点如前文所述。问题5Service的NodePort无法访问。原因节点防火墙未开放NodePort端口范围默认是30000-32767。kube-proxy服务异常。解决在测试环境可以临时在节点上开放端口范围firewall-cmd --permanent --add-port30000-32767/tcp firewall-cmd --reload如果防火墙开启的话。检查kube-proxyPod是否运行正常kubectl get pods -n kube-system -l k8s-appkube-proxy。整个安装过程最考验耐心的是网络和环境问题。严格按照步骤操作并理解每一步的作用遇到问题时查看组件日志journalctl -u kubeletdocker logs container-idkubectl logs pod-name大部分都能找到线索。这个在CentOS 7上搭建的K8s 1.20集群已经可以作为你学习容器编排、部署测试应用甚至搭建CI/CD环境的坚实基础。
相关文章
终极指南：深度解析《鸣潮》模组开发技术栈与AES加密破解实战
终极指南：深度解析《鸣潮》模组开发技术栈与AES加密破解实战 【免费下载链接】wuwa-mod Wuthering Waves pak mods 项目地址: https://gitcode.com/GitHub_Trending/wu/wuwa-mod WuWa-Mod是一个专注于《鸣潮》(Wuthering Waves)游戏模组开发的开源项目&#…
普通学生学AI，重点是把工具变成解决问题的能力
“我也在用ChatGPT，但为什么别人能用它做出作品、找到实习，我却只会问几个简单问题？”这是很多普通学生学AI之后的困惑。工具是一样的，差别在于：有人把工具当玩具，有人把工具变成解决问题的能力。今天就用A…
linghun 国产自研AI编程终端 在真实本地开发环境中完整跑完Terminal-Bench 2.1 官方 89 题 获得73.03%通过率
按 Terminal-Bench 2.1 当前公开 leaderboard 分数横向对比，这个单次分数约处在第 6 位；但这不是官方 leaderboard 已收录排名。由于时间和成本关系我就没有进行5次完整的跑全。我觉得在真实开发环境中的得到的这个通过率比为了跑分而去优化更实际&#…
项目实训开发日志（十）：BabyMind：基于多Agent和RAAG的科学育儿辅助平台
引言在第九周，我们已经围绕问答会话操作栏、分享页、发布页和APK下载链路完成了用户侧交付能力的补齐。进入第十周，也是整个项目的收尾阶段后，我们的开发重点进一步从功能实现与否转向系统能否接住真实材料、能否被后台观测、能否经受验收测试…
3分钟掌握百度网盘秒传神器：网页版工具零门槛使用指南
3分钟掌握百度网盘秒传神器：网页版工具零门槛使用指南 【免费下载链接】baidupan-rapidupload 百度网盘秒传链接转存/生成/转换 网页工具 (全平台可用) 项目地址: https://gitcode.com/gh_mirrors/bai/baidupan-rapidupload 还在为百度网盘文件分享的繁琐流程…
DLSS Swapper终极指南：免费开源工具轻松管理游戏DLSS版本
DLSS Swapper终极指南：免费开源工具轻松管理游戏DLSS版本 【免费下载链接】dlss-swapper 项目地址: https://gitcode.com/GitHub_Trending/dl/dlss-swapper DLSS Swapper是一款免费开源的工具，专门用于智能管理游戏中的DLSS、FSR和XeSS动态链接库…
【花雕动手做】行空板 K10 系列实验之带提示音的全功能数码照相机
行空板K10是一款专为快速体验物联网和学习人工智能而设计的开发学习板，100%采用国产芯片，知识产权自主可控，符合信息科技课程中编程学习、物联网及人工智能等教学需求。该板集成2.8寸LCD彩屏、WiFi蓝牙、摄像头、麦克风、扬声器、RGB指示灯、…
OpCore Simplify：告别黑苹果配置噩梦，三步搞定OpenCore EFI
OpCore Simplify：告别黑苹果配置噩梦，三步搞定OpenCore EFI 【免费下载链接】OpCore-Simplify A tool designed to simplify the creation of OpenCore EFI 项目地址: https://gitcode.com/GitHub_Trending/op/OpCore-Simplify 你是否曾经被黑苹果…
最终是人的判断与选择，那直接关乎自己是降维打击对手，还是被对手降维打击，这是无法回避的。
结合客观定理不变、人的认知与选择决定认知层级这一核心，展开来看： 客观的整体论定理、数理规则本身中立且恒定，不会主动区分人群；但人接纳哪种范式、用何种逻辑开展思考与研究，会直接形成不可逾越的认知维度差&#x…
《LangChain 系列》Human-in-the-loop：什么时候必须让人工介入？
前面几章我们已经把 Agent、Tool、LangGraph 都讲完了。现在要补上最关键的一环：人工介入。 没有 HITL 的 Agent，很像没有刹车的自动驾驶。它能跑，也可能跑得很快，但真正上线会让人害怕。 企业里最危险的不是模型回答错一句话&a…
3步彻底移除Windows Defender：终极Windows Defender Remover使用指南
3步彻底移除Windows Defender：终极Windows Defender Remover使用指南 【免费下载链接】windows-defender-remover A tool which is uses to remove Windows Defender in Windows 8.x, Windows 10 (every version) and Windows 11. 项目地址: https://gitcode.com/…
永春堂商业模式积分系统介绍：从理念到实践的转变
永春堂商业模式系统小程序开发方案：合规化健康零售服务平台技术实现指南 本方案依托永春堂品牌大健康产品（如营养补充剂、草本洗护、五谷杂粮等普通食品/日化品类） 找演示：看专栏⬆️ 一、系统定位：去层级化、重产品…
音乐文件解锁实战指南：3个场景解决你的播放困境
音乐文件解锁实战指南：3个场景解决你的播放困境 【免费下载链接】unlock-music 在浏览器中解锁加密的音乐文件。原仓库： 1. https://github.com/unlock-music/unlock-music ；2. https://git.unlock-music.dev/um/web 项目地址: https://git…
从Landsat到高分系列：手把手教你选择适合自己项目的遥感卫星数据
遥感卫星数据选型实战指南：从参数解析到场景化应用当面对GEE、PIE-Engine等云平台上数十种遥感数据源时，许多研究者常陷入选择困难——Landsat的历史连续性、Sentinel-2的红边波段优势、高分系列的亚米级分辨率各有千秋。本文将打破常规参数罗列式对比&a…
MC68302 AutoBaud技术：硬件级串口波特率自动检测原理与实现
1. 项目概述：MC68302 AutoBaud技术深度解析在嵌入式系统开发，尤其是那些需要与外部设备进行串口通信的场景里，最让人头疼的环节之一就是波特率匹配。想象一下，你设计了一个数据采集终端，需要连接来自不同厂家、不同年代…
Zotero Duplicates Merger：5步彻底清理文献库重复条目
Zotero Duplicates Merger：5步彻底清理文献库重复条目 【免费下载链接】ZoteroDuplicatesMerger A zotero plugin to automatically merge duplicate items 项目地址: https://gitcode.com/gh_mirrors/zo/ZoteroDuplicatesMerger 还在为文献库中堆积如山的重…
利用随机有限集理论对蜂群的ILQR和MPC控制研究附Matlab代码
✅作者简介：热爱科研的Matlab仿真开发者，擅长数据处理、建模仿真、程序设计、完整代码获取、论文复现及科研仿真。🍎 往期回顾关注个人主页：Matlab科研工作室🍊个人信条：格物致知,完整Matlab代码及仿真咨询…
为什么你的Gemini邮件CTE低于行业均值2.8倍？：从Prompt架构到发送时序的深度归因
更多请点击： https://intelliparadigm.com 第一章：为什么你的Gemini邮件CTE低于行业均值2.8倍？：从Prompt架构到发送时序的深度归因 Gemini邮件的客户转化效率（CTE）显著偏低，根本原因常被误判为…