https://md5.pw/api.php?action=feedcontributions&feedformat=atom&user=Koud+Wind 2026-05-19T08:34:28Z 用户贡献 MediaWiki 1.43.5 https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E6%90%AD%E5%BB%BA_Kubernetes_%E4%B8%80%E7%AB%99%E5%BC%8F%E5%B9%B3%E5%8F%B0&diff=1927 2026-04-15T01:18:33Z

<p>Koud Wind：​</p> <hr /> <div>----<br /> <br /> == 1. 什么是 Kubernetes / k8s ==<br /> k8s 也就是 Kubernetes 是一个面向容器化应用的自动化管理平台, 核心职责是管理程序运行的环境, 包括 &lt;code&gt;部署应用/调度资源/维护副本/处理故障/对外暴露服务&lt;/code&gt;等等...<br /> <br /> 对于初学者来说可以把它理解成一个专门管理容器集群的平台, 当你只有一个容器时也许还感觉不到它的必要性<br /> <br /> 但当你需要同时运行多个服务, 需要让服务彼此通信, 需要保证应用异常后自动恢复, 甚至需要后续扩容到多台机器时 Kubernetes 的价值就会非常明显<br /> <br /> 而本文要做的事情, 就是在一台主机上先搭建一个最小可运行的 Kubernetes 环境, 借助这个过程去理解 Kubernetes 是怎样从零开始被组织起来的<br /> <br /> 为了易读性, 在这里会将 &lt;code&gt;Kubernetes&lt;/code&gt; 简称为 &lt;code&gt;k8s&lt;/code&gt;<br /> <br /> == 2. 环境说明 ==<br /> 运行 kubeadm 集群建议 control plane 节点至少具备 &lt;code&gt;2 Core CPU&lt;/code&gt; 和 &lt;code&gt;2 GiB&lt;/code&gt; 运存, 推荐购买搬瓦工的 [https://bandwagonhost.com/cart.php?a=add&amp;pid=166 ECOMMERCE SLA] 套餐<br /> <br /> * 操作系统以 Debian13 为例<br /> * 主机数量 1 台<br /> * 使用 root 用户<br /> * 主机承担 control plane 和 workload 调度<br /> * k8s pod网段为 &lt;code&gt;10.10.0.0/16&lt;/code&gt; , service网段为 &lt;code&gt;192.168.0.0/16&lt;/code&gt;<br /> * 使用 &lt;code&gt;Headlamp&lt;/code&gt; 管理k8s pods<br /> <br /> == '''3. 前置准备''' ==<br /> <br /> ==== 3.1 加载模块并启用转发 ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> cat &lt;&lt;'EOF' | tee /etc/modules-load.d/k8s.conf<br /> overlay<br /> br_netfilter<br /> EOF<br /> <br /> modprobe overlay<br /> modprobe br_netfilter<br /> <br /> cat &lt;&lt;'EOF' | tee /etc/sysctl.d/k8s.conf<br /> net.bridge.bridge-nf-call-iptables = 1<br /> net.bridge.bridge-nf-call-ip6tables = 1<br /> net.ipv4.ip_forward = 1<br /> net.ipv6.conf.all.forwarding = 1<br /> EOF<br /> sysctl --system<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.2 配置 hosts ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> tee -a /etc/hosts &gt; /dev/null &lt;&lt;'EOF'<br /> 127.0.0.1 k8s-master<br /> EOF<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.3 关闭 swap (可选) ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> swapoff -a<br /> sed -ri '/\sswap\s/s/^/#/' /etc/fstab<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''4. 安装 containerd''' ==<br /> 更新软件源并安装 containerd 与 其他核心组件&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> apt update<br /> apt install -y containerd apt-transport-https ca-certificates curl gpg<br /> &lt;/syntaxhighlight&gt;生成默认配置文件并修改配置文件, 这里为了防止后续可能报错, 修改了 &lt;code&gt;bin_dir&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /etc/containerd<br /> containerd config default | tee /etc/containerd/config.toml &gt; /dev/null<br /> sed -i 's#bin_dir = &quot;/usr/lib/cni&quot;#bin_dir = &quot;/opt/cni/bin&quot;#' /etc/containerd/config.toml<br /> sed -i 's/SystemdCgroup = false/SystemdCgroup = true/' /etc/containerd/config.toml&lt;/syntaxhighlight&gt;重启并设置自启&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> systemctl daemon-reload<br /> systemctl restart containerd<br /> systemctl enable containerd<br /> systemctl status containerd<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''5. 安装 kubeadm kubelet kubectl''' ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p -m 755 /etc/apt/keyrings<br /> curl -fsSL https://pkgs.k8s.io/core:/stable:/v1.35/deb/Release.key | gpg --dearmor -o /etc/apt/keyrings/kubernetes-apt-keyring.gpg<br /> echo 'deb [signed-by=/etc/apt/keyrings/kubernetes-apt-keyring.gpg] https://pkgs.k8s.io/core:/stable:/v1.35/deb/ /' | tee /etc/apt/sources.list.d/kubernetes.list<br /> apt-get update<br /> apt-get install -y kubelet kubeadm kubectl<br /> apt-mark hold kubelet kubeadm kubectl<br /> systemctl enable --now kubelet<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm version<br /> kubectl version --client<br /> kubelet --version<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''6. 初始化单节点 k8s 集群''' ==<br /> 新建一个初始化配置&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /main/k8s<br /> nano /main/k8s/kubeadm-config.yaml&lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: InitConfiguration<br /> nodeRegistration:<br /> name: master<br /> criSocket: &quot;unix:///run/containerd/containerd.sock&quot;<br /> localAPIEndpoint:<br /> advertiseAddress: &lt;你的公网主机IP&gt;<br /> bindPort: 6443<br /> <br /> ---<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: ClusterConfiguration<br /> kubernetesVersion: v1.35.0<br /> networking:<br /> podSubnet: 10.10.0.0/16<br /> serviceSubnet: 192.168.0.0/16<br /> dnsDomain: cluster.local<br /> <br /> # 若开启了Swap需要解除此注释!<br /> #---<br /> #apiVersion: kubelet.config.k8s.io/v1beta1<br /> #kind: KubeletConfiguration<br /> #cgroupDriver: systemd<br /> #failSwapOn: false<br /> #memorySwap:<br /> # swapBehavior: LimitedSwap<br /> <br /> <br /> &lt;/syntaxhighlight&gt;开始初始化&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm init --config /main/k8s/kubeadm-config.yaml<br /> &lt;/syntaxhighlight&gt;初始化完成后配置 kubectl&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p $HOME/.kube<br /> cp -i /etc/kubernetes/admin.conf $HOME/.kube/config<br /> chown &quot;$(id -u)&quot;:&quot;$(id -g)&quot; $HOME/.kube/config<br /> &lt;/syntaxhighlight&gt;因为我们是单节点, 需要移除 control plane 污点, 除非多台主机节点&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl taint nodes --all node-role.kubernetes.io/control-plane-<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl get nodes<br /> kubectl get pods -A&lt;/syntaxhighlight&gt;这时 master 大概率是 &lt;code&gt;NotReady&lt;/code&gt; 状态, 目前 CNI 还没有安装, CoreDNS 也通常不会处于 &lt;code&gt;Running&lt;/code&gt; 状态<br /> <br /> == '''7. 安装 Helm并设置补全''' ==<br /> 安装 Helm&lt;syntaxhighlight lang=&quot;bash&quot;&gt;curl -fsSL -o get_helm.sh https://raw.githubusercontent.com/helm/helm/main/scripts/get-helm-4<br /> chmod 700 get_helm.sh<br /> ./get_helm.sh<br /> helm version&lt;/syntaxhighlight&gt;<br /> <br /> ===== '''命令补全:''' =====<br /> <br /> * zsh&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion zsh)' &gt;&gt; ~/.zshrc<br /> echo 'source &lt;(helm completion zsh)' &gt;&gt; ~/.zshrc<br /> source ~/.zshrc<br /> &lt;/syntaxhighlight&gt;<br /> * bash&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion bash)' &gt;&gt; ~/.bashrc<br /> echo 'source &lt;(helm completion bash)' &gt;&gt; ~/.bashrc<br /> source ~/.bashrc<br /> &lt;/syntaxhighlight&gt;<br /> * fish&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl completion fish | tee /etc/fish/completions/kubectl.fish &gt; /dev/null<br /> helm completion fish | tee /etc/fish/completions/helm.fish &gt; /dev/null<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''8. 安装 CNI 插件''' ==<br /> 在资源紧凑的主机中我更推荐使用 &lt;code&gt;Flannel&lt;/code&gt; , 这里也会提供 &lt;code&gt;Calico&lt;/code&gt; 与 &lt;code&gt;Cilium&lt;/code&gt; 的安装, 根据应用场景自行选择其一<br /> <br /> 资源占用: &lt;code&gt;Flannel&lt;/code&gt; &lt; &lt;code&gt;Calico&lt;/code&gt; &lt; &lt;code&gt;Cilium&lt;/code&gt;<br /> <br /> ==== 8.1 Flannel ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl create namespace kube-flannel<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/enforce=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/audit=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/warn=privileged<br /> helm upgrade --install flannel -n kube-flannel --create-namespace --set podCidr=10.10.0.0/16 https://github.com/flannel-io/flannel/releases/download/v0.28.1/flannel.tgz&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.2 Calico ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;helm repo add projectcalico https://docs.tigera.io/calico/charts<br /> helm repo update<br /> kubectl create namespace tigera-operator<br /> helm upgrade --install calico projectcalico/tigera-operator --version v3.31.4 --namespace tigera-operator --set installation.calicoNetwork.ipPools[0].cidr=10.10.0.0/16 --set installation.calicoNetwork.ipPools[0].encapsulation=VXLAN&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.3 Cilium ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add cilium https://helm.cilium.io/<br /> helm repo update<br /> helm upgrade --install cilium cilium/cilium --version 1.19.1 --namespace kube-system<br /> &lt;/syntaxhighlight&gt;'''检查CNI'''&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;节点状态从 &lt;code&gt;NotReady&lt;/code&gt; 变为 &lt;code&gt;Ready&lt;/code&gt; , CoreDNS 进入 &lt;code&gt;Running&lt;/code&gt; 状态, '''至此, k8s 已经初步部署完成'''<br /> <br /> == 9. Headlamp (可选) ==<br /> <br /> ==== 9.1 什么是 '''&lt;code&gt;Headlamp&lt;/code&gt;''' ====<br /> Headlamp是一个面向 k8s 的图形化管理界面, 它的目标是用更直观的方式帮助用户查看和管理集群资源, 例如节点/Pod/Deployment/Service/ConfigMap/Secret 等常见对象, 都可以通过 Web 页面进行浏览和操作<br /> <br /> 它定义为一个易用且可扩展的 Kubernetes WebUI 并强调它既可以作为集群内 Web 应用运行, 也可以作为桌面应用使用, 和很多传统 Dashboard 相比<br /> <br /> Headlamp 的特点主要有三点:<br /> <br /> # 界面更现代 更偏向日常运维与开发使用<br /> # 它支持基于 Kubernetes RBAC 的权限控制 用户能看到和操作的资源会自动受当前权限约束<br /> # 它具备插件扩展能力 可以根据团队需求定制界面和功能<br /> <br /> 我个人认为可以帮助初学者摆脱只看命令行输出的方式, 更直观地观察集群中资源的创建/状态变化/日志/配置情况, 因此很适合作为 k8s 学习和演示环境中的可视化入口. <br /> <br /> ==== 9.2 开始安装 ====<br /> 先新建一个 &lt;code&gt;values.yml&lt;/code&gt; 文件&lt;syntaxhighlight&gt;<br /> mkdir -p /main/k8s/headlamp<br /> nano /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> replicaCount: 1<br /> <br /> image:<br /> registry: ghcr.io<br /> repository: headlamp-k8s/headlamp<br /> tag: &quot;&quot;<br /> pullPolicy: IfNotPresent<br /> <br /> nameOverride: &quot;&quot;<br /> fullnameOverride: &quot;headlamp&quot;<br /> namespaceOverride: &quot;&quot;<br /> <br /> <br /> service:<br /> type: NodePort<br /> port: 80<br /> # 宿主机开放端口<br /> nodePort: 30080<br /> <br /> <br /> env:<br /> - name: TZ<br /> value: &quot;Asia/Shanghai&quot;<br /> <br /> config:<br /> pluginsDir: /headlamp/plugins<br /> <br /> volumes:<br /> - name: plugins-volume<br /> hostPath:<br /> path: /main/k8s/headlamp/plugins<br /> type: DirectoryOrCreate<br /> <br /> volumeMounts:<br /> - name: plugins-volume<br /> mountPath: /headlamp/plugins<br /> <br /> <br /> resources:<br /> requests:<br /> cpu: 100m<br /> memory: 128Mi<br /> limits:<br /> cpu: 500m<br /> memory: 512Mi<br /> <br /> &lt;/syntaxhighlight&gt;用 Helm 安装&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add headlamp https://kubernetes-sigs.github.io/headlamp/<br /> helm repo update<br /> helm upgrade --install headlamp headlamp/headlamp -n headlamp --create-namespace -f /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;通过开放的端口访问到 Headlamp, 初次加载需要等待一会, 之后需要输入 &lt;code&gt;token&lt;/code&gt;, 使用命令生成&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl create token headlamp --namespace headlamp --duration 168h<br /> &lt;/syntaxhighlight&gt;若不通则进行检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 9.3 查看资源使用概览 ====<br /> Headlamp中各种资源显示, 需要依赖 &lt;code&gt;metrics-server&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add metrics-server https://kubernetes-sigs.github.io/metrics-server/<br /> helm repo update<br /> helm upgrade --install metrics-server metrics-server/metrics-server -n kube-system --set &quot;args[0]=--kubelet-insecure-tls&quot;<br /> &lt;/syntaxhighlight&gt;安装好后就可以正常显示资源占用情况<br /> <br /> == 10. 常见问题排查 ==<br /> <br /> ==== 10.1 Flannel 启动失败 ====<br /> 优先检查这几个点, Flannel 官方 README 明确指出 它依赖 &lt;code&gt;br_netfilter&lt;/code&gt; 另外它默认使用 &lt;code&gt;portmap&lt;/code&gt; 作为 CNI 网络插件的一部分 并要求相关 CNI 二进制位于 &lt;code&gt;/opt/cni/bin&lt;/code&gt; <br /> <br /> ==== 10.2 Headlamp 页面能打开但无法登录 ====<br /> 重点检查<br /> <br /> * token 是否复制完整<br /> * ServiceAccount 是否创建在 &lt;code&gt;kube-system&lt;/code&gt;<br /> * ClusterRoleBinding 是否绑定成功<br /> * Headlamp 是否真的暴露成 NodePort<br /> <br /> ==== 10.3 Pod 无法联网 ====<br /> 重点检查<br /> <br /> * &lt;code&gt;kubeadm init&lt;/code&gt; 的 &lt;code&gt;--pod-network-cidr&lt;/code&gt;<br /> * Flannel Chart 的 &lt;code&gt;podCidr&lt;/code&gt;<br /> * 主机自身网段是否与 Pod 网段冲突<br /> <br /> Kubernetes 官方明确提醒 Pod network 不应与宿主机网络重叠 否则容易出现网络异常<br /> <br /> == '''11. 常用命令''' ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot; line=&quot;1&quot;&gt;<br /> # -------------------------<br /> # 1 集群和命名空间<br /> # -------------------------<br /> kubectl config current-context # 查看当前 kubeconfig 上下文<br /> kubectl config get-contexts # 查看所有可用上下文<br /> kubectl config use-context my-cluster # 切换到指定集群上下文<br /> kubectl get ns # 查看所有命名空间<br /> kubectl get pods -n kube-system # 查看指定命名空间中的 Pod<br /> kubectl config set-context --current --namespace=default # 设置当前上下文默认命名空间<br /> <br /> # -------------------------<br /> # 2 Helm 安装和版本管理<br /> # -------------------------<br /> helm repo add bitnami https://charts.bitnami.com/bitnami # 添加 Helm 仓库<br /> helm repo update # 更新 Helm 仓库索引<br /> helm search repo nginx # 在 Helm 仓库中搜索 chart<br /> helm install my-nginx bitnami/nginx # 安装一个 Helm release<br /> helm install my-nginx bitnami/nginx -n web --create-namespace # 安装到指定命名空间 不存在则创建<br /> helm install headlamp headlamp/headlamp -n kube-system -f values.yaml # 使用 values 文件安装 release<br /> helm upgrade headlamp headlamp/headlamp -n kube-system -f values.yaml # 升级已有 release<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml # 不存在则安装 存在则升级<br /> helm list -A # 查看所有命名空间中的 Helm release<br /> helm status headlamp -n kube-system # 查看某个 release 当前状态<br /> helm history headlamp -n kube-system # 查看 release 历史版本<br /> helm rollback headlamp 2 -n kube-system # 回滚到指定 revision<br /> helm uninstall headlamp -n kube-system # 卸载 release<br /> helm show values headlamp/headlamp # 查看 chart 默认 values<br /> helm template headlamp headlamp/headlamp -n kube-system -f values.yaml # 本地渲染模板 不实际安装<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml --dry-run # 试运行安装或升级<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml --dry-run --debug # 试运行并输出详细调试信息<br /> <br /> # -------------------------<br /> # 3 常用资源查看<br /> # -------------------------<br /> kubectl get pods # 查看当前命名空间的 Pod<br /> kubectl get pods -o wide # 查看 Pod 并显示节点 IP 等更多信息<br /> kubectl get pods -w # 持续监听 Pod 状态变化<br /> kubectl get deploy # 查看 Deployment<br /> kubectl get svc # 查看 Service<br /> kubectl get ds # 查看 DaemonSet<br /> kubectl get sts # 查看 StatefulSet<br /> kubectl get ingress # 查看 Ingress<br /> kubectl get all -n kube-system # 查看命名空间下常见资源<br /> kubectl get pods -l app.kubernetes.io/name=headlamp -n kube-system # 根据标签筛选 Pod<br /> kubectl get deploy headlamp -n kube-system -o yaml # 查看 Deployment 的完整 YAML<br /> kubectl get svc headlamp -n kube-system -o wide # 查看 Service 详细信息<br /> <br /> # -------------------------<br /> # 4 排障常用<br /> # -------------------------<br /> kubectl describe pod headlamp-xxx-xxx -n kube-system # 查看 Pod 详细状态和事件<br /> kubectl describe deploy headlamp -n kube-system # 查看 Deployment 详细信息<br /> kubectl describe svc headlamp -n kube-system # 查看 Service 详细信息<br /> kubectl get events -n kube-system --sort-by=.metadata.creationTimestamp # 按时间排序查看命名空间事件<br /> kubectl get events -A --sort-by=.metadata.creationTimestamp # 查看全局事件并按时间排序<br /> kubectl logs headlamp-xxx-xxx -n kube-system # 查看 Pod 日志<br /> kubectl logs -f headlamp-xxx-xxx -n kube-system # 持续跟踪 Pod 日志<br /> kubectl logs headlamp-xxx-xxx -n kube-system -c headlamp # 查看指定容器日志<br /> kubectl logs headlamp-xxx-xxx -n kube-system --previous # 查看容器上一次崩溃前日志<br /> kubectl exec -it headlamp-xxx-xxx -n kube-system -- /bin/sh # 进入容器 shell<br /> kubectl exec -it headlamp-xxx-xxx -n kube-system -- /bin/bash # 进入容器 bash<br /> kubectl get pods -n kube-system # 先列出 Pod 再选择进入<br /> kubectl exec -it pod-name -n kube-system -- /bin/sh # 进入指定 Pod<br /> kubectl top pod -n kube-system # 查看 Pod CPU 和内存使用量<br /> kubectl top node # 查看节点资源使用量<br /> <br /> # -------------------------<br /> # 5 发布和重启相关<br /> # -------------------------<br /> kubectl rollout restart deploy headlamp -n kube-system # 滚动重启 Deployment<br /> kubectl rollout status deploy headlamp -n kube-system # 查看 Deployment 发布状态<br /> kubectl rollout history deploy headlamp -n kube-system # 查看 Deployment 发布历史<br /> kubectl rollout undo deploy headlamp -n kube-system # 回滚 Deployment 到上一版本<br /> kubectl scale deploy headlamp --replicas=3 -n kube-system # 调整副本数<br /> kubectl delete pod headlamp-xxx-xxx -n kube-system # 删除 Pod 让控制器自动重建<br /> <br /> # -------------------------<br /> # 6 网络和端口相关<br /> # -------------------------<br /> kubectl get svc -n kube-system # 查看命名空间下 Service<br /> kubectl port-forward pod/headlamp-xxx-xxx 8080:80 -n kube-system # 将本地 8080 转发到 Pod 的 80<br /> kubectl port-forward svc/headlamp 8080:80 -n kube-system # 将本地 8080 转发到 Service 的 80<br /> kubectl get endpoints headlamp -n kube-system # 查看 Service 后端 Endpoint<br /> kubectl run tmp-shell -it --rm --image=busybox -- /bin/sh # 临时启动调试 Pod<br /> nslookup kubernetes.default # 在调试容器中解析集群 DNS<br /> wget -qO- http://headlamp.kube-system.svc.cluster.local # 在调试容器中访问集群内部 Service<br /> <br /> # -------------------------<br /> # 7 配置和存储相关<br /> # -------------------------<br /> kubectl get configmap -n kube-system # 查看 ConfigMap<br /> kubectl get secret -n kube-system # 查看 Secret<br /> kubectl get pvc -A # 查看所有 PVC<br /> kubectl get pv # 查看所有 PV<br /> kubectl get nodes -o wide # 查看节点及详细信息<br /> kubectl describe node node-1 # 查看节点详细状态<br /> kubectl get deploy headlamp -n kube-system -o yaml # 查看实际生效的 Deployment YAML<br /> <br /> # -------------------------<br /> # 8 Helm 配合排障常用<br /> # -------------------------<br /> helm status headlamp -n kube-system # 查看 release 当前运行状态<br /> helm get values headlamp -n kube-system # 查看用户自定义 values<br /> helm get values headlamp -n kube-system -a # 查看合并后的全部 values<br /> helm get manifest headlamp -n kube-system # 查看 release 实际渲染出的 manifest<br /> helm get notes headlamp -n kube-system # 查看安装说明和访问提示<br /> kubectl get pod headlamp-xxx-xxx -n kube-system --show-labels # 查看 Pod 标签 判断所属 release<br /> kubectl get all -n kube-system -l app.kubernetes.io/instance=headlamp # 根据 Helm release 标签筛选整套资源<br /> <br /> # -------------------------<br /> # 9 最常用 20 个命令<br /> # -------------------------<br /> kubectl get pods -A # 查看所有命名空间 Pod<br /> kubectl get svc -A # 查看所有命名空间 Service<br /> kubectl get deploy -A # 查看所有命名空间 Deployment<br /> kubectl get all -n kube-system # 查看 kube-system 中常见资源<br /> kubectl get pods -o wide -n kube-system # 查看 Pod 详细信息<br /> kubectl describe pod pod-name -n kube-system # 查看 Pod 详情<br /> kubectl describe deploy deploy-name -n kube-system # 查看 Deployment 详情<br /> kubectl logs pod-name -n kube-system # 查看日志<br /> kubectl logs -f pod-name -n kube-system # 持续跟踪日志<br /> kubectl logs pod-name -n kube-system --previous # 查看上一次容器日志<br /> kubectl exec -it pod-name -n kube-system -- /bin/sh # 进入容器<br /> kubectl get events -n kube-system --sort-by=.metadata.creationTimestamp # 查看时间排序事件<br /> kubectl port-forward svc/service-name 8080:80 -n kube-system # 本地端口转发到 Service<br /> kubectl rollout restart deploy deploy-name -n kube-system # 重启 Deployment<br /> kubectl rollout status deploy deploy-name -n kube-system # 查看滚动发布状态<br /> kubectl scale deploy deploy-name --replicas=2 -n kube-system # 调整副本数<br /> helm list -A # 查看所有 Helm release<br /> helm status release-name -n kube-system # 查看 release 状态<br /> helm get values release-name -n kube-system -a # 查看 release 全部 values<br /> helm upgrade --install release-name repo/chart -n kube-system -f values.yaml # Helm 安装或升级<br /> <br /> # -------------------------<br /> # 10 实战排障流程<br /> # -------------------------<br /> helm status headlamp -n kube-system # 先检查 release 状态<br /> kubectl get all -n kube-system -l app.kubernetes.io/instance=headlamp # 查看 release 关联资源<br /> kubectl get pods -n kube-system -o wide # 查看 Pod 是否正常运行<br /> kubectl describe pod pod-name -n kube-system # 检查 Pod 事件和错误<br /> kubectl logs pod-name -n kube-system # 查看应用日志<br /> kubectl get svc -n kube-system # 查看 Service 是否创建成功<br /> kubectl describe svc headlamp -n kube-system # 查看 Service 配置详情<br /> kubectl get endpoints headlamp -n kube-system # 查看 Service 是否关联到后端 Pod<br /> kubectl port-forward svc/headlamp 8080:80 -n kube-system # 用本地转发验证服务本身是否正常<br /> <br /> # -------------------------<br /> # 11 常用别名<br /> # -------------------------<br /> alias k=kubectl # kubectl 简写<br /> alias kgp='kubectl get pods' # 快速查看 Pod<br /> alias kgs='kubectl get svc' # 快速查看 Service<br /> alias kgd='kubectl get deploy' # 快速查看 Deployment<br /> alias kdp='kubectl describe pod' # 快速查看 Pod 详情<br /> alias kdd='kubectl describe deploy' # 快速查看 Deployment 详情<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''12. Helm Chart 配置文件模板''' ==<br /> &lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> replicaCount: 1 # Pod 副本数. 单节点或测试环境常设为 1<br /> revisionHistoryLimit: 10 # Deployment 保留的历史版本数. 便于回滚<br /> minReadySeconds: 0 # Pod 就绪后保持多久才视为可用<br /> <br /> deploymentStrategy: # Deployment 更新策略<br /> type: RollingUpdate # 推荐 RollingUpdate. Recreate 会先删后建<br /> rollingUpdate:<br /> maxUnavailable: 25% # 滚动更新期间最大不可用比例<br /> maxSurge: 25% # 滚动更新期间可额外创建的副本比例<br /> <br /> image:<br /> registry: ghcr.io # 镜像仓库地址<br /> repository: headlamp-k8s/headlamp # 示例镜像名. 新容器可改为自己的镜像<br /> tag: &quot;&quot; # 镜像标签. 留空时通常使用 chart 默认 appVersion<br /> pullPolicy: IfNotPresent # 拉取策略. 常用 IfNotPresent 或 Always<br /> <br /> imagePullSecrets: [] # 私有仓库拉取密钥. 无需私仓时保持空数组<br /> <br /> nameOverride: &quot;&quot; # 覆盖 chart 名称的一部分. 一般不需要<br /> fullnameOverride: &quot;headlamp&quot; # 最终资源名. 示例中固定方便管理. 新项目可改<br /> namespaceOverride: &quot;&quot; # 覆盖命名空间. 一般更建议 helm -n 指定<br /> <br /> initContainers: # 初始化容器. 在主容器启动前执行<br /> - name: init-plugin-dir # 初始化容器名称<br /> image: busybox:1.36 # 使用轻量 busybox 镜像<br /> imagePullPolicy: IfNotPresent # initContainer 拉取策略<br /> command:<br /> - sh<br /> - -c<br /> - mkdir -p /headlamp/plugins &amp;&amp; chmod -R 755 /headlamp/plugins # 创建插件目录并赋权<br /> securityContext:<br /> runAsNonRoot: false # 初始化目录时通常允许 root 更省事. 严格环境可改<br /> allowPrivilegeEscalation: false # 禁止提权<br /> volumeMounts:<br /> - name: plugins-volume # 挂载插件卷以便初始化目录<br /> mountPath: /headlamp/plugins # 容器内插件目录路径<br /> <br /> extraContainers: [] # 额外 sidecar 容器. 例如日志采集或代理<br /> <br /> terminationGracePeriodSeconds: 30 # 优雅退出宽限期. 过短可能导致连接被硬切断<br /> hostNetwork: false # 是否使用宿主机网络. 一般保持 false<br /> dnsPolicy: ClusterFirst # DNS 策略. hostNetwork=true 时常配 ClusterFirstWithHostNet<br /> dnsConfig: {} # 自定义 DNS 配置. 需模板支持<br /> hostAliases: [] # 额外 hosts 映射. 仅少数场景使用<br /> <br /> config:<br /> inCluster: true # 集群内访问模式. Pod 通过 ServiceAccount 访问 K8s API<br /> inClusterContextName: &quot;main&quot; # 集群内上下文名称<br /> baseURL: &quot;&quot; # 子路径访问时填写如 /headlamp. 根路径保持空<br /> sessionTTL: 86400 # 登录会话有效期. 单位秒. 86400 = 24 小时<br /> <br /> oidc:<br /> secret:<br /> create: false # 是否由 chart 自动创建 OIDC Secret<br /> name: oidc # OIDC Secret 名称<br /> clientID: &quot;&quot; # OIDC 客户端 ID<br /> clientSecret: &quot;&quot; # OIDC 客户端密钥<br /> issuerURL: &quot;&quot; # OIDC 发行者地址<br /> scopes: &quot;&quot; # OIDC scopes<br /> callbackURL: &quot;&quot; # OIDC 回调地址<br /> validatorClientID: &quot;&quot; # Token 校验客户端 ID<br /> validatorIssuerURL: &quot;&quot; # Token 校验发行者地址<br /> useAccessToken: false # 是否使用 Access Token<br /> usePKCE: false # 是否启用 PKCE<br /> useCookie: false # 是否通过 Cookie 保存认证信息<br /> externalSecret:<br /> enabled: false # 是否使用外部 Secret<br /> name: &quot;&quot; # 外部 Secret 名称<br /> <br /> meUserInfoURL: &quot;&quot; # 用户信息接口地址. 未接入外部认证时可留空<br /> pluginsDir: &quot;/headlamp/plugins&quot; # 插件目录<br /> enableHelm: false # 最新 chart 默认值为 false. 仅需展示 Helm 信息时开启<br /> watchPlugins: false # 是否实时监听插件目录变化<br /> extraArgs: [] # 额外启动参数. 例如 -plugins-dir=/headlamp/plugins<br /> <br /> env: # 环境变量<br /> - name: TZ # 时区环境变量名称<br /> value: &quot;Asia/Shanghai&quot; # 时区设置<br /> <br /> envFrom: [] # 从 ConfigMap 或 Secret 批量导入环境变量. 需模板支持<br /> <br /> containerPorts: # 容器端口示例. 需模板支持<br /> - name: http # 端口名称. 多端口 Service 时建议显式命名<br /> containerPort: 4466 # 容器监听端口. 请按实际应用修改<br /> protocol: TCP # 协议. 通常 TCP<br /> <br /> livenessProbe: {} # 存活探针. K8S 原生支持 exec/httpGet/tcpSocket/grpc. 需模板支持<br /> readinessProbe: {} # 就绪探针. 控制是否加入 Service 端点. 需模板支持<br /> startupProbe: {} # 启动探针. 慢启动应用推荐配置. 需模板支持<br /> lifecycle: {} # 生命周期钩子. preStop/postStart. 需模板支持<br /> <br /> automountServiceAccountToken: true # 自动挂载 ServiceAccount Token. 集群内访问通常保持 true<br /> <br /> serviceAccount:<br /> create: true # 是否自动创建 ServiceAccount<br /> annotations: {} # ServiceAccount 注解<br /> name: &quot;&quot; # 最新 chart 默认空字符串. 留空时一般按 fullname 生成<br /> <br /> clusterRoleBinding:<br /> create: true # 是否自动创建 ClusterRoleBinding<br /> clusterRoleName: &quot;cluster-admin&quot; # 示例使用 cluster-admin. 生产环境建议改成最小权限角色<br /> annotations: {} # ClusterRoleBinding 注解<br /> <br /> deploymentAnnotations: {} # Deployment 注解<br /> podAnnotations: # Pod 注解. 可用于 sidecar 注入 监控抓取等<br /> kubectl.kubernetes.io/default-container: &quot;headlamp&quot; # kubectl exec/logs 默认容器提示. 非必须但更顺手<br /> <br /> podLabels:<br /> app.kubernetes.io/name: &quot;headlamp&quot; # 推荐使用标准标签<br /> app.kubernetes.io/component: &quot;web&quot; # 组件标签. 便于筛选和治理<br /> <br /> hostUsers: true # Pod 是否共享宿主用户命名空间. 设 false 可启用 user namespaces<br /> <br /> podSecurityContext:<br /> fsGroup: 101 # 卷文件组 ID. 便于挂载目录权限控制<br /> fsGroupChangePolicy: OnRootMismatch # 新版常用项. 仅在需要时递归改卷权限<br /> seccompProfile:<br /> type: RuntimeDefault # 推荐使用运行时默认 seccomp 配置<br /> <br /> securityContext:<br /> runAsNonRoot: true # 强制非 root 运行<br /> privileged: false # 不使用特权模式<br /> runAsUser: 100 # 容器运行用户 UID<br /> runAsGroup: 101 # 容器运行用户组 GID<br /> allowPrivilegeEscalation: false # 禁止提权<br /> readOnlyRootFilesystem: false # 需要更强约束时可设 true 并配 writable 卷<br /> capabilities:<br /> drop:<br /> - ALL # 建议默认移除全部 Linux capabilities<br /> <br /> service:<br /> annotations: {} # Service 注解<br /> type: NodePort # 暴露方式. 可选 ClusterIP / NodePort / LoadBalancer<br /> port: 80 # Service 端口<br /> targetPort: http # 目标端口. 建议引用命名端口便于变更<br /> appProtocol: http # 应用层协议提示. v1.20 稳定<br /> clusterIP: &quot;&quot; # ClusterIP 一般不手动指定<br /> # loadBalancerIP: &quot;&quot; # 该字段自 v1.24 起已废弃. 新环境不建议再依赖<br /> loadBalancerSourceRanges: [] # 限制允许访问的来源网段<br /> nodePort: 30080 # NodePort 固定端口. 浏览器可通过 NodeIP:30080 访问<br /> externalTrafficPolicy: Cluster # 对外流量策略. Local 可保留客户端源 IP<br /> internalTrafficPolicy: Cluster # 集群内流量策略. v1.26 稳定. Local 可优先本地端点<br /> sessionAffinity: None # 会话亲和性. 可选 None / ClientIP<br /> sessionAffinityConfig: {} # 会话亲和性高级配置. 需按需填写<br /> ipFamilyPolicy: SingleStack # 可选 SingleStack / PreferDualStack / RequireDualStack<br /> ipFamilies: [] # 双栈时可写 [IPv4, IPv6] 或 [IPv6, IPv4]<br /> trafficDistribution: PreferSameZone # v1.33 稳定. v1.35 支持 PreferSameZone / PreferSameNode<br /> <br /> volumeMounts:<br /> - name: plugins-volume # 插件卷名称<br /> mountPath: /headlamp/plugins # 容器内挂载路径<br /> <br /> # - name: kubeconfig-volume # 可选 kubeconfig 卷名称<br /> # mountPath: /home/headlamp/.config/Headlamp/kubeconfigs/config # 容器内 kubeconfig 文件路径<br /> # subPath: config # 将卷中的 config 文件挂载为单文件<br /> <br /> volumes:<br /> - name: plugins-volume # 卷名称. 需与 volumeMounts 对应<br /> hostPath:<br /> path: /data/headlamp/plugins # 宿主机目录. 等价于 Docker 左侧路径<br /> type: DirectoryOrCreate # 不存在时自动创建目录<br /> <br /> # - name: kubeconfig-volume # 可选 kubeconfig 卷<br /> # hostPath:<br /> # path: /data/headlamp/kubeconfigs # 宿主机 kubeconfig 所在目录<br /> # type: DirectoryOrCreate # 不存在时自动创建<br /> <br /> persistentVolumeClaim:<br /> enabled: false # 是否改用 PVC 持久化. 使用 hostPath 时通常设 false<br /> annotations: {} # PVC 注解<br /> accessModes: [] # PVC 访问模式. 如 ReadWriteOnce<br /> size: &quot;&quot; # PVC 大小. 如 5Gi<br /> storageClassName: &quot;&quot; # 存储类名称<br /> selector: {} # PVC 选择器<br /> volumeMode: &quot;&quot; # 卷模式. 如 Filesystem / Block<br /> dataSource: {} # 高级项. 可从快照或现有卷克隆. 需模板支持<br /> <br /> ingress:<br /> enabled: false # 是否启用 Ingress<br /> annotations: {} # Ingress 注解<br /> labels: {} # Ingress 标签<br /> ingressClassName: &quot;&quot; # IngressClass 名称. 替代旧注解 kubernetes.io/ingress.class<br /> hosts: [] # 域名和路径配置<br /> tls: [] # TLS 配置<br /> <br /> httpRoute:<br /> enabled: false # 是否启用 Gateway API 的 HTTPRoute<br /> annotations: {} # HTTPRoute 注解<br /> labels: {} # HTTPRoute 标签<br /> parentRefs: [] # 关联 Gateway. 启用时通常必填<br /> hostnames: [] # 绑定域名<br /> rules: [] # 路由规则. 未配置时通常走默认前缀路由<br /> <br /> resources: # 资源请求与限制<br /> requests:<br /> cpu: &quot;100m&quot; # 最低 CPU 请求<br /> memory: &quot;128Mi&quot; # 最低内存请求<br /> limits:<br /> cpu: &quot;500m&quot; # CPU 上限<br /> memory: &quot;512Mi&quot; # 内存上限<br /> <br /> nodeSelector:<br /> kubernetes.io/os: linux # 仅调度到 Linux 节点<br /> <br /> tolerations: [] # 容忍污点. 无特殊需求可留空<br /> affinity: {} # 亲和性规则. 无特殊需求可留空<br /> topologySpreadConstraints: # 拓扑分布约束. 新版 K8S 常用高可用配置<br /> # - maxSkew: 1 # 单个拓扑域允许的最大偏斜<br /> # topologyKey: topology.kubernetes.io/zone # 按可用区分布. 也可用 kubernetes.io/hostname<br /> # whenUnsatisfiable: ScheduleAnyway # 可选 DoNotSchedule / ScheduleAnyway<br /> # labelSelector:<br /> # matchLabels:<br /> # app.kubernetes.io/name: headlamp # 选取同类 Pod<br /> # matchLabelKeys: # v1.27 起 Beta. 可按 Pod 标签键自动匹配<br /> # - pod-template-hash<br /> # nodeAffinityPolicy: Honor # v1.26 起 Beta. 可选 Honor / Ignore<br /> # nodeTaintsPolicy: Ignore # v1.26 起 Beta. 可选 Honor / Ignore<br /> []<br /> <br /> priorityClassName: &quot;&quot; # 优先级类名称<br /> runtimeClassName: &quot;&quot; # 运行时类. 如 gvisor kata 等. 需模板支持<br /> <br /> pluginsManager:<br /> enabled: false # 是否启用插件管理 sidecar<br /> configFile: &quot;plugin.yml&quot; # 插件配置文件名<br /> configContent: &quot;&quot; # 插件配置内容<br /> baseImage: node:lts-alpine # 插件管理器基础镜像<br /> version: latest # 插件管理器版本<br /> volumeMounts: [] # 插件管理器额外挂载<br /> securityContext: {} # 插件管理器安全上下文<br /> <br /> podDisruptionBudget:<br /> enabled: false # 是否启用 PDB<br /> minAvailable: 0 # 最少可用副本数<br /> maxUnavailable: null # 最大不可用副本数<br /> unhealthyPodEvictionPolicy: null # 不健康 Pod 驱逐策略. 新集群可按需设置<br /> <br /> extraManifests: [] # 附加资源清单. 可内嵌额外 K8s YAML<br /> <br /> &lt;/syntaxhighlight&gt;'''参考:'''<br /> * [https://kubernetes.io/docs/setup/production-environment/tools/kubeadm/troubleshooting-kubeadm/ kubeadm 故障排除]<br /> * [https://headlamp.dev/plugins Headlamp Plugins]<br /> * [https://helm.sh/zh/docs/chart_template_guide/getting_started/#charts Helm charts]<br /> [[Category:500 常见应用指南 — Application Guides]]</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E6%90%AD%E5%BB%BA_Kubernetes_%E4%B8%80%E7%AB%99%E5%BC%8F%E5%B9%B3%E5%8F%B0&diff=1921 2026-04-15T01:13:46Z

<p>Koud Wind：​/* 命令补全: */</p> <hr /> <div>----<br /> <br /> == 1. 什么是 Kubernetes / k8s ==<br /> k8s 也就是 Kubernetes 是一个面向容器化应用的自动化管理平台, 核心职责是管理程序运行的环境, 包括 &lt;code&gt;部署应用/调度资源/维护副本/处理故障/对外暴露服务&lt;/code&gt;等等...<br /> <br /> 对于初学者来说可以把它理解成一个专门管理容器集群的平台, 当你只有一个容器时也许还感觉不到它的必要性<br /> <br /> 但当你需要同时运行多个服务, 需要让服务彼此通信, 需要保证应用异常后自动恢复, 甚至需要后续扩容到多台机器时 Kubernetes 的价值就会非常明显<br /> <br /> 而本文要做的事情, 就是在一台主机上先搭建一个最小可运行的 Kubernetes 环境, 借助这个过程去理解 Kubernetes 是怎样从零开始被组织起来的<br /> <br /> 为了易读性, 在这里会将 &lt;code&gt;Kubernetes&lt;/code&gt; 简称为 &lt;code&gt;k8s&lt;/code&gt;<br /> <br /> == 2. 环境说明 ==<br /> 运行 kubeadm 集群建议 control plane 节点至少具备 &lt;code&gt;2 Core CPU&lt;/code&gt; 和 &lt;code&gt;2 GiB&lt;/code&gt; 运存, 推荐购买搬瓦工的 [https://bandwagonhost.com/cart.php?a=add&amp;pid=166 ECOMMERCE SLA] 套餐<br /> <br /> * 操作系统以 Debian13 为例<br /> * 主机数量 1 台<br /> * 使用 root 用户<br /> * 主机承担 control plane 和 workload 调度<br /> * k8s pod网段为 &lt;code&gt;10.10.0.0/16&lt;/code&gt; , service网段为 &lt;code&gt;192.168.0.0/16&lt;/code&gt;<br /> * 使用 &lt;code&gt;Headlamp&lt;/code&gt; 管理k8s pods<br /> <br /> == '''3. 前置准备''' ==<br /> <br /> ==== 3.1 加载模块并启用转发 ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> cat &lt;&lt;'EOF' | tee /etc/modules-load.d/k8s.conf<br /> overlay<br /> br_netfilter<br /> EOF<br /> <br /> modprobe overlay<br /> modprobe br_netfilter<br /> <br /> cat &lt;&lt;'EOF' | tee /etc/sysctl.d/k8s.conf<br /> net.bridge.bridge-nf-call-iptables = 1<br /> net.bridge.bridge-nf-call-ip6tables = 1<br /> net.ipv4.ip_forward = 1<br /> net.ipv6.conf.all.forwarding = 1<br /> EOF<br /> sysctl --system<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.2 配置 hosts ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> tee -a /etc/hosts &gt; /dev/null &lt;&lt;'EOF'<br /> 127.0.0.1 k8s-master<br /> EOF<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.3 关闭 swap (可选) ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> swapoff -a<br /> sed -ri '/\sswap\s/s/^/#/' /etc/fstab<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''4. 安装 containerd''' ==<br /> 更新软件源并安装 containerd 与 其他核心组件&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> apt update<br /> apt install -y containerd apt-transport-https ca-certificates curl gpg<br /> &lt;/syntaxhighlight&gt;生成默认配置文件并修改配置文件, 这里为了防止后续可能报错, 修改了 &lt;code&gt;bin_dir&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /etc/containerd<br /> containerd config default | tee /etc/containerd/config.toml &gt; /dev/null<br /> sed -i 's#bin_dir = &quot;/usr/lib/cni&quot;#bin_dir = &quot;/opt/cni/bin&quot;#' /etc/containerd/config.toml<br /> sed -i 's/SystemdCgroup = false/SystemdCgroup = true/' /etc/containerd/config.toml&lt;/syntaxhighlight&gt;重启并设置自启&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> systemctl daemon-reload<br /> systemctl restart containerd<br /> systemctl enable containerd<br /> systemctl status containerd<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''5. 安装 kubeadm kubelet kubectl''' ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p -m 755 /etc/apt/keyrings<br /> curl -fsSL https://pkgs.k8s.io/core:/stable:/v1.35/deb/Release.key | gpg --dearmor -o /etc/apt/keyrings/kubernetes-apt-keyring.gpg<br /> echo 'deb [signed-by=/etc/apt/keyrings/kubernetes-apt-keyring.gpg] https://pkgs.k8s.io/core:/stable:/v1.35/deb/ /' | tee /etc/apt/sources.list.d/kubernetes.list<br /> apt-get update<br /> apt-get install -y kubelet kubeadm kubectl<br /> apt-mark hold kubelet kubeadm kubectl<br /> systemctl enable --now kubelet<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm version<br /> kubectl version --client<br /> kubelet --version<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''6. 初始化单节点 k8s 集群''' ==<br /> 新建一个初始化配置&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /main/k8s<br /> nano /main/k8s/kubeadm-config.yaml&lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: InitConfiguration<br /> nodeRegistration:<br /> name: master<br /> criSocket: &quot;unix:///run/containerd/containerd.sock&quot;<br /> localAPIEndpoint:<br /> advertiseAddress: &lt;你的公网主机IP&gt;<br /> bindPort: 6443<br /> <br /> ---<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: ClusterConfiguration<br /> kubernetesVersion: v1.35.0<br /> networking:<br /> podSubnet: 10.10.0.0/16<br /> serviceSubnet: 192.168.0.0/16<br /> dnsDomain: cluster.local<br /> <br /> # 若开启了Swap需要解除此注释!<br /> #---<br /> #apiVersion: kubelet.config.k8s.io/v1beta1<br /> #kind: KubeletConfiguration<br /> #cgroupDriver: systemd<br /> #failSwapOn: false<br /> #memorySwap:<br /> # swapBehavior: LimitedSwap<br /> <br /> <br /> &lt;/syntaxhighlight&gt;开始初始化&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm init --config /main/k8s/kubeadm-config.yaml<br /> &lt;/syntaxhighlight&gt;初始化完成后配置 kubectl&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p $HOME/.kube<br /> cp -i /etc/kubernetes/admin.conf $HOME/.kube/config<br /> chown &quot;$(id -u)&quot;:&quot;$(id -g)&quot; $HOME/.kube/config<br /> &lt;/syntaxhighlight&gt;因为我们是单节点, 需要移除 control plane 污点, 除非多台主机节点&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl taint nodes --all node-role.kubernetes.io/control-plane-<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl get nodes<br /> kubectl get pods -A&lt;/syntaxhighlight&gt;这时 master 大概率是 &lt;code&gt;NotReady&lt;/code&gt; 状态, 目前 CNI 还没有安装, CoreDNS 也通常不会处于 &lt;code&gt;Running&lt;/code&gt; 状态<br /> <br /> == '''7. 安装 Helm并设置补全''' ==<br /> 安装 Helm&lt;syntaxhighlight lang=&quot;bash&quot;&gt;curl -fsSL -o get_helm.sh https://raw.githubusercontent.com/helm/helm/main/scripts/get-helm-4<br /> chmod 700 get_helm.sh<br /> ./get_helm.sh<br /> helm version&lt;/syntaxhighlight&gt;<br /> <br /> ===== '''命令补全:''' =====<br /> <br /> * zsh&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion zsh)' &gt;&gt; ~/.zshrc<br /> echo 'source &lt;(helm completion zsh)' &gt;&gt; ~/.zshrc<br /> source ~/.zshrc<br /> &lt;/syntaxhighlight&gt;<br /> * bash&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion bash)' &gt;&gt; ~/.bashrc<br /> echo 'source &lt;(helm completion bash)' &gt;&gt; ~/.bashrc<br /> source ~/.bashrc<br /> &lt;/syntaxhighlight&gt;<br /> * fish&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl completion fish | tee /etc/fish/completions/kubectl.fish &gt; /dev/null<br /> helm completion fish | tee /etc/fish/completions/helm.fish &gt; /dev/null<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''8. 安装 CNI 插件''' ==<br /> 在资源紧凑的主机中我更推荐使用 &lt;code&gt;Flannel&lt;/code&gt; , 这里也会提供 &lt;code&gt;Calico&lt;/code&gt; 与 &lt;code&gt;Cilium&lt;/code&gt; 的安装, 根据应用场景自行选择其一<br /> <br /> 资源占用: &lt;code&gt;Flannel&lt;/code&gt; &lt; &lt;code&gt;Calico&lt;/code&gt; &lt; &lt;code&gt;Cilium&lt;/code&gt;<br /> <br /> ==== 8.1 Flannel ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl create namespace kube-flannel<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/enforce=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/audit=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/warn=privileged<br /> helm upgrade --install flannel -n kube-flannel --create-namespace --set podCidr=10.10.0.0/16 https://github.com/flannel-io/flannel/releases/download/v0.28.1/flannel.tgz&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.2 Calico ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;helm repo add projectcalico https://docs.tigera.io/calico/charts<br /> helm repo update<br /> kubectl create namespace tigera-operator<br /> helm upgrade --install calico projectcalico/tigera-operator --version v3.31.4 --namespace tigera-operator --set installation.calicoNetwork.ipPools[0].cidr=10.10.0.0/16 --set installation.calicoNetwork.ipPools[0].encapsulation=VXLAN&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.3 Cilium ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add cilium https://helm.cilium.io/<br /> helm repo update<br /> helm upgrade --install cilium cilium/cilium --version 1.19.1 --namespace kube-system<br /> &lt;/syntaxhighlight&gt;'''检查CNI'''&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;节点状态从 &lt;code&gt;NotReady&lt;/code&gt; 变为 &lt;code&gt;Ready&lt;/code&gt; , CoreDNS 进入 &lt;code&gt;Running&lt;/code&gt; 状态, '''至此, k8s 已经初步部署完成'''<br /> <br /> == 9. Headlamp (可选) ==<br /> <br /> ==== 9.1 什么是 '''&lt;code&gt;Headlamp&lt;/code&gt;''' ====<br /> Headlamp是一个面向 k8s 的图形化管理界面, 它的目标是用更直观的方式帮助用户查看和管理集群资源, 例如节点/Pod/Deployment/Service/ConfigMap/Secret 等常见对象, 都可以通过 Web 页面进行浏览和操作<br /> <br /> 它定义为一个易用且可扩展的 Kubernetes WebUI 并强调它既可以作为集群内 Web 应用运行, 也可以作为桌面应用使用, 和很多传统 Dashboard 相比<br /> <br /> Headlamp 的特点主要有三点:<br /> <br /> # 界面更现代 更偏向日常运维与开发使用<br /> # 它支持基于 Kubernetes RBAC 的权限控制 用户能看到和操作的资源会自动受当前权限约束<br /> # 它具备插件扩展能力 可以根据团队需求定制界面和功能<br /> <br /> 我个人认为可以帮助初学者摆脱只看命令行输出的方式, 更直观地观察集群中资源的创建/状态变化/日志/配置情况, 因此很适合作为 k8s 学习和演示环境中的可视化入口. <br /> <br /> ==== 9.2 开始安装 ====<br /> 先新建一个 &lt;code&gt;values.yml&lt;/code&gt; 文件&lt;syntaxhighlight&gt;<br /> mkdir -p /main/k8s/headlamp<br /> nano /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> replicaCount: 1<br /> <br /> image:<br /> registry: ghcr.io<br /> repository: headlamp-k8s/headlamp<br /> tag: &quot;&quot;<br /> pullPolicy: IfNotPresent<br /> <br /> nameOverride: &quot;&quot;<br /> fullnameOverride: &quot;headlamp&quot;<br /> namespaceOverride: &quot;&quot;<br /> <br /> <br /> service:<br /> type: NodePort<br /> port: 80<br /> # 宿主机开放端口<br /> nodePort: 30080<br /> <br /> <br /> env:<br /> - name: TZ<br /> value: &quot;Asia/Shanghai&quot;<br /> <br /> config:<br /> pluginsDir: /headlamp/plugins<br /> <br /> volumes:<br /> - name: plugins-volume<br /> hostPath:<br /> path: /main/k8s/headlamp/plugins<br /> type: DirectoryOrCreate<br /> <br /> volumeMounts:<br /> - name: plugins-volume<br /> mountPath: /headlamp/plugins<br /> <br /> <br /> resources:<br /> requests:<br /> cpu: 100m<br /> memory: 128Mi<br /> limits:<br /> cpu: 500m<br /> memory: 512Mi<br /> <br /> &lt;/syntaxhighlight&gt;用 Helm 安装&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add headlamp https://kubernetes-sigs.github.io/headlamp/<br /> helm repo update<br /> helm upgrade --install headlamp headlamp/headlamp -n headlamp --create-namespace -f /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;通过开放的端口访问到 Headlamp, 初次加载需要等待一会, 之后需要输入 &lt;code&gt;token&lt;/code&gt;, 使用命令生成&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl create token headlamp --namespace headlamp --duration 168h<br /> &lt;/syntaxhighlight&gt;若不通则进行检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 9.3 查看资源使用概览 ====<br /> Headlamp中各种资源显示, 需要依赖 &lt;code&gt;metrics-server&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add metrics-server https://kubernetes-sigs.github.io/metrics-server/<br /> helm repo update<br /> helm upgrade --install metrics-server metrics-server/metrics-server -n kube-system --set &quot;args[0]=--kubelet-insecure-tls&quot;<br /> &lt;/syntaxhighlight&gt;安装好后就可以正常显示资源占用情况<br /> <br /> == 10. 常见问题排查 ==<br /> <br /> ==== 10.1 Flannel 启动失败 ====<br /> 优先检查这几个点, Flannel 官方 README 明确指出 它依赖 &lt;code&gt;br_netfilter&lt;/code&gt; 另外它默认使用 &lt;code&gt;portmap&lt;/code&gt; 作为 CNI 网络插件的一部分 并要求相关 CNI 二进制位于 &lt;code&gt;/opt/cni/bin&lt;/code&gt; <br /> <br /> ==== 10.2 Headlamp 页面能打开但无法登录 ====<br /> 重点检查<br /> <br /> * token 是否复制完整<br /> * ServiceAccount 是否创建在 &lt;code&gt;kube-system&lt;/code&gt;<br /> * ClusterRoleBinding 是否绑定成功<br /> * Headlamp 是否真的暴露成 NodePort<br /> <br /> ==== 10.3 Pod 无法联网 ====<br /> 重点检查<br /> <br /> * &lt;code&gt;kubeadm init&lt;/code&gt; 的 &lt;code&gt;--pod-network-cidr&lt;/code&gt;<br /> * Flannel Chart 的 &lt;code&gt;podCidr&lt;/code&gt;<br /> * 主机自身网段是否与 Pod 网段冲突<br /> <br /> Kubernetes 官方明确提醒 Pod network 不应与宿主机网络重叠 否则容易出现网络异常<br /> <br /> == '''11. 常用命令''' ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot; line=&quot;1&quot;&gt;<br /> # -------------------------<br /> # 1 集群和命名空间<br /> # -------------------------<br /> kubectl config current-context # 查看当前 kubeconfig 上下文<br /> kubectl config get-contexts # 查看所有可用上下文<br /> kubectl config use-context my-cluster # 切换到指定集群上下文<br /> kubectl get ns # 查看所有命名空间<br /> kubectl get pods -n kube-system # 查看指定命名空间中的 Pod<br /> kubectl config set-context --current --namespace=default # 设置当前上下文默认命名空间<br /> <br /> # -------------------------<br /> # 2 Helm 安装和版本管理<br /> # -------------------------<br /> helm repo add bitnami https://charts.bitnami.com/bitnami # 添加 Helm 仓库<br /> helm repo update # 更新 Helm 仓库索引<br /> helm search repo nginx # 在 Helm 仓库中搜索 chart<br /> helm install my-nginx bitnami/nginx # 安装一个 Helm release<br /> helm install my-nginx bitnami/nginx -n web --create-namespace # 安装到指定命名空间 不存在则创建<br /> helm install headlamp headlamp/headlamp -n kube-system -f values.yaml # 使用 values 文件安装 release<br /> helm upgrade headlamp headlamp/headlamp -n kube-system -f values.yaml # 升级已有 release<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml # 不存在则安装 存在则升级<br /> helm list -A # 查看所有命名空间中的 Helm release<br /> helm status headlamp -n kube-system # 查看某个 release 当前状态<br /> helm history headlamp -n kube-system # 查看 release 历史版本<br /> helm rollback headlamp 2 -n kube-system # 回滚到指定 revision<br /> helm uninstall headlamp -n kube-system # 卸载 release<br /> helm show values headlamp/headlamp # 查看 chart 默认 values<br /> helm template headlamp headlamp/headlamp -n kube-system -f values.yaml # 本地渲染模板 不实际安装<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml --dry-run # 试运行安装或升级<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml --dry-run --debug # 试运行并输出详细调试信息<br /> <br /> # -------------------------<br /> # 3 常用资源查看<br /> # -------------------------<br /> kubectl get pods # 查看当前命名空间的 Pod<br /> kubectl get pods -o wide # 查看 Pod 并显示节点 IP 等更多信息<br /> kubectl get pods -w # 持续监听 Pod 状态变化<br /> kubectl get deploy # 查看 Deployment<br /> kubectl get svc # 查看 Service<br /> kubectl get ds # 查看 DaemonSet<br /> kubectl get sts # 查看 StatefulSet<br /> kubectl get ingress # 查看 Ingress<br /> kubectl get all -n kube-system # 查看命名空间下常见资源<br /> kubectl get pods -l app.kubernetes.io/name=headlamp -n kube-system # 根据标签筛选 Pod<br /> kubectl get deploy headlamp -n kube-system -o yaml # 查看 Deployment 的完整 YAML<br /> kubectl get svc headlamp -n kube-system -o wide # 查看 Service 详细信息<br /> <br /> # -------------------------<br /> # 4 排障常用<br /> # -------------------------<br /> kubectl describe pod headlamp-xxx-xxx -n kube-system # 查看 Pod 详细状态和事件<br /> kubectl describe deploy headlamp -n kube-system # 查看 Deployment 详细信息<br /> kubectl describe svc headlamp -n kube-system # 查看 Service 详细信息<br /> kubectl get events -n kube-system --sort-by=.metadata.creationTimestamp # 按时间排序查看命名空间事件<br /> kubectl get events -A --sort-by=.metadata.creationTimestamp # 查看全局事件并按时间排序<br /> kubectl logs headlamp-xxx-xxx -n kube-system # 查看 Pod 日志<br /> kubectl logs -f headlamp-xxx-xxx -n kube-system # 持续跟踪 Pod 日志<br /> kubectl logs headlamp-xxx-xxx -n kube-system -c headlamp # 查看指定容器日志<br /> kubectl logs headlamp-xxx-xxx -n kube-system --previous # 查看容器上一次崩溃前日志<br /> kubectl exec -it headlamp-xxx-xxx -n kube-system -- /bin/sh # 进入容器 shell<br /> kubectl exec -it headlamp-xxx-xxx -n kube-system -- /bin/bash # 进入容器 bash<br /> kubectl get pods -n kube-system # 先列出 Pod 再选择进入<br /> kubectl exec -it pod-name -n kube-system -- /bin/sh # 进入指定 Pod<br /> kubectl top pod -n kube-system # 查看 Pod CPU 和内存使用量<br /> kubectl top node # 查看节点资源使用量<br /> <br /> # -------------------------<br /> # 5 发布和重启相关<br /> # -------------------------<br /> kubectl rollout restart deploy headlamp -n kube-system # 滚动重启 Deployment<br /> kubectl rollout status deploy headlamp -n kube-system # 查看 Deployment 发布状态<br /> kubectl rollout history deploy headlamp -n kube-system # 查看 Deployment 发布历史<br /> kubectl rollout undo deploy headlamp -n kube-system # 回滚 Deployment 到上一版本<br /> kubectl scale deploy headlamp --replicas=3 -n kube-system # 调整副本数<br /> kubectl delete pod headlamp-xxx-xxx -n kube-system # 删除 Pod 让控制器自动重建<br /> <br /> # -------------------------<br /> # 6 网络和端口相关<br /> # -------------------------<br /> kubectl get svc -n kube-system # 查看命名空间下 Service<br /> kubectl port-forward pod/headlamp-xxx-xxx 8080:80 -n kube-system # 将本地 8080 转发到 Pod 的 80<br /> kubectl port-forward svc/headlamp 8080:80 -n kube-system # 将本地 8080 转发到 Service 的 80<br /> kubectl get endpoints headlamp -n kube-system # 查看 Service 后端 Endpoint<br /> kubectl run tmp-shell -it --rm --image=busybox -- /bin/sh # 临时启动调试 Pod<br /> nslookup kubernetes.default # 在调试容器中解析集群 DNS<br /> wget -qO- http://headlamp.kube-system.svc.cluster.local # 在调试容器中访问集群内部 Service<br /> <br /> # -------------------------<br /> # 7 配置和存储相关<br /> # -------------------------<br /> kubectl get configmap -n kube-system # 查看 ConfigMap<br /> kubectl get secret -n kube-system # 查看 Secret<br /> kubectl get pvc -A # 查看所有 PVC<br /> kubectl get pv # 查看所有 PV<br /> kubectl get nodes -o wide # 查看节点及详细信息<br /> kubectl describe node node-1 # 查看节点详细状态<br /> kubectl get deploy headlamp -n kube-system -o yaml # 查看实际生效的 Deployment YAML<br /> <br /> # -------------------------<br /> # 8 Helm 配合排障常用<br /> # -------------------------<br /> helm status headlamp -n kube-system # 查看 release 当前运行状态<br /> helm get values headlamp -n kube-system # 查看用户自定义 values<br /> helm get values headlamp -n kube-system -a # 查看合并后的全部 values<br /> helm get manifest headlamp -n kube-system # 查看 release 实际渲染出的 manifest<br /> helm get notes headlamp -n kube-system # 查看安装说明和访问提示<br /> kubectl get pod headlamp-xxx-xxx -n kube-system --show-labels # 查看 Pod 标签 判断所属 release<br /> kubectl get all -n kube-system -l app.kubernetes.io/instance=headlamp # 根据 Helm release 标签筛选整套资源<br /> <br /> # -------------------------<br /> # 9 最常用 20 个命令<br /> # -------------------------<br /> kubectl get pods -A # 查看所有命名空间 Pod<br /> kubectl get svc -A # 查看所有命名空间 Service<br /> kubectl get deploy -A # 查看所有命名空间 Deployment<br /> kubectl get all -n kube-system # 查看 kube-system 中常见资源<br /> kubectl get pods -o wide -n kube-system # 查看 Pod 详细信息<br /> kubectl describe pod pod-name -n kube-system # 查看 Pod 详情<br /> kubectl describe deploy deploy-name -n kube-system # 查看 Deployment 详情<br /> kubectl logs pod-name -n kube-system # 查看日志<br /> kubectl logs -f pod-name -n kube-system # 持续跟踪日志<br /> kubectl logs pod-name -n kube-system --previous # 查看上一次容器日志<br /> kubectl exec -it pod-name -n kube-system -- /bin/sh # 进入容器<br /> kubectl get events -n kube-system --sort-by=.metadata.creationTimestamp # 查看时间排序事件<br /> kubectl port-forward svc/service-name 8080:80 -n kube-system # 本地端口转发到 Service<br /> kubectl rollout restart deploy deploy-name -n kube-system # 重启 Deployment<br /> kubectl rollout status deploy deploy-name -n kube-system # 查看滚动发布状态<br /> kubectl scale deploy deploy-name --replicas=2 -n kube-system # 调整副本数<br /> helm list -A # 查看所有 Helm release<br /> helm status release-name -n kube-system # 查看 release 状态<br /> helm get values release-name -n kube-system -a # 查看 release 全部 values<br /> helm upgrade --install release-name repo/chart -n kube-system -f values.yaml # Helm 安装或升级<br /> <br /> # -------------------------<br /> # 10 实战排障流程<br /> # -------------------------<br /> helm status headlamp -n kube-system # 先检查 release 状态<br /> kubectl get all -n kube-system -l app.kubernetes.io/instance=headlamp # 查看 release 关联资源<br /> kubectl get pods -n kube-system -o wide # 查看 Pod 是否正常运行<br /> kubectl describe pod pod-name -n kube-system # 检查 Pod 事件和错误<br /> kubectl logs pod-name -n kube-system # 查看应用日志<br /> kubectl get svc -n kube-system # 查看 Service 是否创建成功<br /> kubectl describe svc headlamp -n kube-system # 查看 Service 配置详情<br /> kubectl get endpoints headlamp -n kube-system # 查看 Service 是否关联到后端 Pod<br /> kubectl port-forward svc/headlamp 8080:80 -n kube-system # 用本地转发验证服务本身是否正常<br /> <br /> # -------------------------<br /> # 11 常用别名<br /> # -------------------------<br /> alias k=kubectl # kubectl 简写<br /> alias kgp='kubectl get pods' # 快速查看 Pod<br /> alias kgs='kubectl get svc' # 快速查看 Service<br /> alias kgd='kubectl get deploy' # 快速查看 Deployment<br /> alias kdp='kubectl describe pod' # 快速查看 Pod 详情<br /> alias kdd='kubectl describe deploy' # 快速查看 Deployment 详情<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''12. Helm Chart 配置文件模板''' ==<br /> &lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> replicaCount: 1 # Pod 副本数. 单节点或测试环境常设为 1<br /> revisionHistoryLimit: 10 # Deployment 保留的历史版本数. 便于回滚<br /> minReadySeconds: 0 # Pod 就绪后保持多久才视为可用<br /> <br /> deploymentStrategy: # Deployment 更新策略<br /> type: RollingUpdate # 推荐 RollingUpdate. Recreate 会先删后建<br /> rollingUpdate:<br /> maxUnavailable: 25% # 滚动更新期间最大不可用比例<br /> maxSurge: 25% # 滚动更新期间可额外创建的副本比例<br /> <br /> image:<br /> registry: ghcr.io # 镜像仓库地址<br /> repository: headlamp-k8s/headlamp # 示例镜像名. 新容器可改为自己的镜像<br /> tag: &quot;&quot; # 镜像标签. 留空时通常使用 chart 默认 appVersion<br /> pullPolicy: IfNotPresent # 拉取策略. 常用 IfNotPresent 或 Always<br /> <br /> imagePullSecrets: [] # 私有仓库拉取密钥. 无需私仓时保持空数组<br /> <br /> nameOverride: &quot;&quot; # 覆盖 chart 名称的一部分. 一般不需要<br /> fullnameOverride: &quot;headlamp&quot; # 最终资源名. 示例中固定方便管理. 新项目可改<br /> namespaceOverride: &quot;&quot; # 覆盖命名空间. 一般更建议 helm -n 指定<br /> <br /> initContainers: # 初始化容器. 在主容器启动前执行<br /> - name: init-plugin-dir # 初始化容器名称<br /> image: busybox:1.36 # 使用轻量 busybox 镜像<br /> imagePullPolicy: IfNotPresent # initContainer 拉取策略<br /> command:<br /> - sh<br /> - -c<br /> - mkdir -p /headlamp/plugins &amp;&amp; chmod -R 755 /headlamp/plugins # 创建插件目录并赋权<br /> securityContext:<br /> runAsNonRoot: false # 初始化目录时通常允许 root 更省事. 严格环境可改<br /> allowPrivilegeEscalation: false # 禁止提权<br /> volumeMounts:<br /> - name: plugins-volume # 挂载插件卷以便初始化目录<br /> mountPath: /headlamp/plugins # 容器内插件目录路径<br /> <br /> extraContainers: [] # 额外 sidecar 容器. 例如日志采集或代理<br /> <br /> terminationGracePeriodSeconds: 30 # 优雅退出宽限期. 过短可能导致连接被硬切断<br /> hostNetwork: false # 是否使用宿主机网络. 一般保持 false<br /> dnsPolicy: ClusterFirst # DNS 策略. hostNetwork=true 时常配 ClusterFirstWithHostNet<br /> dnsConfig: {} # 自定义 DNS 配置. 需模板支持<br /> hostAliases: [] # 额外 hosts 映射. 仅少数场景使用<br /> <br /> config:<br /> inCluster: true # 集群内访问模式. Pod 通过 ServiceAccount 访问 K8s API<br /> inClusterContextName: &quot;main&quot; # 集群内上下文名称<br /> baseURL: &quot;&quot; # 子路径访问时填写如 /headlamp. 根路径保持空<br /> sessionTTL: 86400 # 登录会话有效期. 单位秒. 86400 = 24 小时<br /> <br /> oidc:<br /> secret:<br /> create: false # 是否由 chart 自动创建 OIDC Secret<br /> name: oidc # OIDC Secret 名称<br /> clientID: &quot;&quot; # OIDC 客户端 ID<br /> clientSecret: &quot;&quot; # OIDC 客户端密钥<br /> issuerURL: &quot;&quot; # OIDC 发行者地址<br /> scopes: &quot;&quot; # OIDC scopes<br /> callbackURL: &quot;&quot; # OIDC 回调地址<br /> validatorClientID: &quot;&quot; # Token 校验客户端 ID<br /> validatorIssuerURL: &quot;&quot; # Token 校验发行者地址<br /> useAccessToken: false # 是否使用 Access Token<br /> usePKCE: false # 是否启用 PKCE<br /> useCookie: false # 是否通过 Cookie 保存认证信息<br /> externalSecret:<br /> enabled: false # 是否使用外部 Secret<br /> name: &quot;&quot; # 外部 Secret 名称<br /> <br /> meUserInfoURL: &quot;&quot; # 用户信息接口地址. 未接入外部认证时可留空<br /> pluginsDir: &quot;/headlamp/plugins&quot; # 插件目录<br /> enableHelm: false # 最新 chart 默认值为 false. 仅需展示 Helm 信息时开启<br /> watchPlugins: false # 是否实时监听插件目录变化<br /> extraArgs: [] # 额外启动参数. 例如 -plugins-dir=/headlamp/plugins<br /> <br /> env: # 环境变量<br /> - name: TZ # 时区环境变量名称<br /> value: &quot;Asia/Shanghai&quot; # 时区设置<br /> <br /> envFrom: [] # 从 ConfigMap 或 Secret 批量导入环境变量. 需模板支持<br /> <br /> containerPorts: # 容器端口示例. 需模板支持<br /> - name: http # 端口名称. 多端口 Service 时建议显式命名<br /> containerPort: 4466 # 容器监听端口. 请按实际应用修改<br /> protocol: TCP # 协议. 通常 TCP<br /> <br /> livenessProbe: {} # 存活探针. K8S 原生支持 exec/httpGet/tcpSocket/grpc. 需模板支持<br /> readinessProbe: {} # 就绪探针. 控制是否加入 Service 端点. 需模板支持<br /> startupProbe: {} # 启动探针. 慢启动应用推荐配置. 需模板支持<br /> lifecycle: {} # 生命周期钩子. preStop/postStart. 需模板支持<br /> <br /> automountServiceAccountToken: true # 自动挂载 ServiceAccount Token. 集群内访问通常保持 true<br /> <br /> serviceAccount:<br /> create: true # 是否自动创建 ServiceAccount<br /> annotations: {} # ServiceAccount 注解<br /> name: &quot;&quot; # 最新 chart 默认空字符串. 留空时一般按 fullname 生成<br /> <br /> clusterRoleBinding:<br /> create: true # 是否自动创建 ClusterRoleBinding<br /> clusterRoleName: &quot;cluster-admin&quot; # 示例使用 cluster-admin. 生产环境建议改成最小权限角色<br /> annotations: {} # ClusterRoleBinding 注解<br /> <br /> deploymentAnnotations: {} # Deployment 注解<br /> podAnnotations: # Pod 注解. 可用于 sidecar 注入 监控抓取等<br /> kubectl.kubernetes.io/default-container: &quot;headlamp&quot; # kubectl exec/logs 默认容器提示. 非必须但更顺手<br /> <br /> podLabels:<br /> app.kubernetes.io/name: &quot;headlamp&quot; # 推荐使用标准标签<br /> app.kubernetes.io/component: &quot;web&quot; # 组件标签. 便于筛选和治理<br /> <br /> hostUsers: true # Pod 是否共享宿主用户命名空间. 设 false 可启用 user namespaces<br /> <br /> podSecurityContext:<br /> fsGroup: 101 # 卷文件组 ID. 便于挂载目录权限控制<br /> fsGroupChangePolicy: OnRootMismatch # 新版常用项. 仅在需要时递归改卷权限<br /> seccompProfile:<br /> type: RuntimeDefault # 推荐使用运行时默认 seccomp 配置<br /> <br /> securityContext:<br /> runAsNonRoot: true # 强制非 root 运行<br /> privileged: false # 不使用特权模式<br /> runAsUser: 100 # 容器运行用户 UID<br /> runAsGroup: 101 # 容器运行用户组 GID<br /> allowPrivilegeEscalation: false # 禁止提权<br /> readOnlyRootFilesystem: false # 需要更强约束时可设 true 并配 writable 卷<br /> capabilities:<br /> drop:<br /> - ALL # 建议默认移除全部 Linux capabilities<br /> <br /> service:<br /> annotations: {} # Service 注解<br /> type: NodePort # 暴露方式. 可选 ClusterIP / NodePort / LoadBalancer<br /> port: 80 # Service 端口<br /> targetPort: http # 目标端口. 建议引用命名端口便于变更<br /> appProtocol: http # 应用层协议提示. v1.20 稳定<br /> clusterIP: &quot;&quot; # ClusterIP 一般不手动指定<br /> # loadBalancerIP: &quot;&quot; # 该字段自 v1.24 起已废弃. 新环境不建议再依赖<br /> loadBalancerSourceRanges: [] # 限制允许访问的来源网段<br /> nodePort: 30080 # NodePort 固定端口. 浏览器可通过 NodeIP:30080 访问<br /> externalTrafficPolicy: Cluster # 对外流量策略. Local 可保留客户端源 IP<br /> internalTrafficPolicy: Cluster # 集群内流量策略. v1.26 稳定. Local 可优先本地端点<br /> sessionAffinity: None # 会话亲和性. 可选 None / ClientIP<br /> sessionAffinityConfig: {} # 会话亲和性高级配置. 需按需填写<br /> ipFamilyPolicy: SingleStack # 可选 SingleStack / PreferDualStack / RequireDualStack<br /> ipFamilies: [] # 双栈时可写 [IPv4, IPv6] 或 [IPv6, IPv4]<br /> trafficDistribution: PreferSameZone # v1.33 稳定. v1.35 支持 PreferSameZone / PreferSameNode<br /> <br /> volumeMounts:<br /> - name: plugins-volume # 插件卷名称<br /> mountPath: /headlamp/plugins # 容器内挂载路径<br /> <br /> # - name: kubeconfig-volume # 可选 kubeconfig 卷名称<br /> # mountPath: /home/headlamp/.config/Headlamp/kubeconfigs/config # 容器内 kubeconfig 文件路径<br /> # subPath: config # 将卷中的 config 文件挂载为单文件<br /> <br /> volumes:<br /> - name: plugins-volume # 卷名称. 需与 volumeMounts 对应<br /> hostPath:<br /> path: /data/headlamp/plugins # 宿主机目录. 等价于 Docker 左侧路径<br /> type: DirectoryOrCreate # 不存在时自动创建目录<br /> <br /> # - name: kubeconfig-volume # 可选 kubeconfig 卷<br /> # hostPath:<br /> # path: /data/headlamp/kubeconfigs # 宿主机 kubeconfig 所在目录<br /> # type: DirectoryOrCreate # 不存在时自动创建<br /> <br /> persistentVolumeClaim:<br /> enabled: false # 是否改用 PVC 持久化. 使用 hostPath 时通常设 false<br /> annotations: {} # PVC 注解<br /> accessModes: [] # PVC 访问模式. 如 ReadWriteOnce<br /> size: &quot;&quot; # PVC 大小. 如 5Gi<br /> storageClassName: &quot;&quot; # 存储类名称<br /> selector: {} # PVC 选择器<br /> volumeMode: &quot;&quot; # 卷模式. 如 Filesystem / Block<br /> dataSource: {} # 高级项. 可从快照或现有卷克隆. 需模板支持<br /> <br /> ingress:<br /> enabled: false # 是否启用 Ingress<br /> annotations: {} # Ingress 注解<br /> labels: {} # Ingress 标签<br /> ingressClassName: &quot;&quot; # IngressClass 名称. 替代旧注解 kubernetes.io/ingress.class<br /> hosts: [] # 域名和路径配置<br /> tls: [] # TLS 配置<br /> <br /> httpRoute:<br /> enabled: false # 是否启用 Gateway API 的 HTTPRoute<br /> annotations: {} # HTTPRoute 注解<br /> labels: {} # HTTPRoute 标签<br /> parentRefs: [] # 关联 Gateway. 启用时通常必填<br /> hostnames: [] # 绑定域名<br /> rules: [] # 路由规则. 未配置时通常走默认前缀路由<br /> <br /> resources: # 资源请求与限制<br /> requests:<br /> cpu: &quot;100m&quot; # 最低 CPU 请求<br /> memory: &quot;128Mi&quot; # 最低内存请求<br /> limits:<br /> cpu: &quot;500m&quot; # CPU 上限<br /> memory: &quot;512Mi&quot; # 内存上限<br /> <br /> nodeSelector:<br /> kubernetes.io/os: linux # 仅调度到 Linux 节点<br /> <br /> tolerations: [] # 容忍污点. 无特殊需求可留空<br /> affinity: {} # 亲和性规则. 无特殊需求可留空<br /> topologySpreadConstraints: # 拓扑分布约束. 新版 K8S 常用高可用配置<br /> # - maxSkew: 1 # 单个拓扑域允许的最大偏斜<br /> # topologyKey: topology.kubernetes.io/zone # 按可用区分布. 也可用 kubernetes.io/hostname<br /> # whenUnsatisfiable: ScheduleAnyway # 可选 DoNotSchedule / ScheduleAnyway<br /> # labelSelector:<br /> # matchLabels:<br /> # app.kubernetes.io/name: headlamp # 选取同类 Pod<br /> # matchLabelKeys: # v1.27 起 Beta. 可按 Pod 标签键自动匹配<br /> # - pod-template-hash<br /> # nodeAffinityPolicy: Honor # v1.26 起 Beta. 可选 Honor / Ignore<br /> # nodeTaintsPolicy: Ignore # v1.26 起 Beta. 可选 Honor / Ignore<br /> []<br /> <br /> priorityClassName: &quot;&quot; # 优先级类名称<br /> runtimeClassName: &quot;&quot; # 运行时类. 如 gvisor kata 等. 需模板支持<br /> <br /> pluginsManager:<br /> enabled: false # 是否启用插件管理 sidecar<br /> configFile: &quot;plugin.yml&quot; # 插件配置文件名<br /> configContent: &quot;&quot; # 插件配置内容<br /> baseImage: node:lts-alpine # 插件管理器基础镜像<br /> version: latest # 插件管理器版本<br /> volumeMounts: [] # 插件管理器额外挂载<br /> securityContext: {} # 插件管理器安全上下文<br /> <br /> podDisruptionBudget:<br /> enabled: false # 是否启用 PDB<br /> minAvailable: 0 # 最少可用副本数<br /> maxUnavailable: null # 最大不可用副本数<br /> unhealthyPodEvictionPolicy: null # 不健康 Pod 驱逐策略. 新集群可按需设置<br /> <br /> extraManifests: [] # 附加资源清单. 可内嵌额外 K8s YAML<br /> <br /> &lt;/syntaxhighlight&gt;'''参考:'''<br /> * [https://kubernetes.io/docs/setup/production-environment/tools/kubeadm/troubleshooting-kubeadm/ kubeadm 故障排除]<br /> * [https://headlamp.dev/plugins Headlamp Plugins]<br /> * [https://helm.sh/zh/docs/chart_template_guide/getting_started/#charts Helm charts]<br /> [[index.php?title=Category:500 常见应用指南 — Application Guides]]</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E6%90%AD%E5%BB%BA_Kubernetes_%E4%B8%80%E7%AB%99%E5%BC%8F%E5%B9%B3%E5%8F%B0&diff=1918 2026-04-15T01:05:55Z

<p>Koud Wind：​</p> <hr /> <div>----<br /> <br /> == 1. 什么是 Kubernetes / k8s ==<br /> k8s 也就是 Kubernetes 是一个面向容器化应用的自动化管理平台, 核心职责是管理程序运行的环境, 包括 &lt;code&gt;部署应用/调度资源/维护副本/处理故障/对外暴露服务&lt;/code&gt;等等...<br /> <br /> 对于初学者来说可以把它理解成一个专门管理容器集群的平台, 当你只有一个容器时也许还感觉不到它的必要性<br /> <br /> 但当你需要同时运行多个服务, 需要让服务彼此通信, 需要保证应用异常后自动恢复, 甚至需要后续扩容到多台机器时 Kubernetes 的价值就会非常明显<br /> <br /> 而本文要做的事情, 就是在一台主机上先搭建一个最小可运行的 Kubernetes 环境, 借助这个过程去理解 Kubernetes 是怎样从零开始被组织起来的<br /> <br /> 为了易读性, 在这里会将 &lt;code&gt;Kubernetes&lt;/code&gt; 简称为 &lt;code&gt;k8s&lt;/code&gt;<br /> <br /> == 2. 环境说明 ==<br /> 运行 kubeadm 集群建议 control plane 节点至少具备 &lt;code&gt;2 Core CPU&lt;/code&gt; 和 &lt;code&gt;2 GiB&lt;/code&gt; 运存, 推荐购买搬瓦工的 [https://bandwagonhost.com/cart.php?a=add&amp;pid=166 ECOMMERCE SLA] 套餐<br /> <br /> * 操作系统以 Debian13 为例<br /> * 主机数量 1 台<br /> * 使用 root 用户<br /> * 主机承担 control plane 和 workload 调度<br /> * k8s pod网段为 &lt;code&gt;10.10.0.0/16&lt;/code&gt; , service网段为 &lt;code&gt;192.168.0.0/16&lt;/code&gt;<br /> * 使用 &lt;code&gt;Headlamp&lt;/code&gt; 管理k8s pods<br /> <br /> == '''3. 前置准备''' ==<br /> <br /> ==== 3.1 加载模块并启用转发 ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> cat &lt;&lt;'EOF' | tee /etc/modules-load.d/k8s.conf<br /> overlay<br /> br_netfilter<br /> EOF<br /> <br /> modprobe overlay<br /> modprobe br_netfilter<br /> <br /> cat &lt;&lt;'EOF' | tee /etc/sysctl.d/k8s.conf<br /> net.bridge.bridge-nf-call-iptables = 1<br /> net.bridge.bridge-nf-call-ip6tables = 1<br /> net.ipv4.ip_forward = 1<br /> net.ipv6.conf.all.forwarding = 1<br /> EOF<br /> sysctl --system<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.2 配置 hosts ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> tee -a /etc/hosts &gt; /dev/null &lt;&lt;'EOF'<br /> 127.0.0.1 k8s-master<br /> EOF<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.3 关闭 swap (可选) ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> swapoff -a<br /> sed -ri '/\sswap\s/s/^/#/' /etc/fstab<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''4. 安装 containerd''' ==<br /> 更新软件源并安装 containerd 与 其他核心组件&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> apt update<br /> apt install -y containerd apt-transport-https ca-certificates curl gpg<br /> &lt;/syntaxhighlight&gt;生成默认配置文件并修改配置文件, 这里为了防止后续可能报错, 修改了 &lt;code&gt;bin_dir&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /etc/containerd<br /> containerd config default | tee /etc/containerd/config.toml &gt; /dev/null<br /> sed -i 's#bin_dir = &quot;/usr/lib/cni&quot;#bin_dir = &quot;/opt/cni/bin&quot;#' /etc/containerd/config.toml<br /> sed -i 's/SystemdCgroup = false/SystemdCgroup = true/' /etc/containerd/config.toml&lt;/syntaxhighlight&gt;重启并设置自启&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> systemctl daemon-reload<br /> systemctl restart containerd<br /> systemctl enable containerd<br /> systemctl status containerd<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''5. 安装 kubeadm kubelet kubectl''' ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p -m 755 /etc/apt/keyrings<br /> curl -fsSL https://pkgs.k8s.io/core:/stable:/v1.35/deb/Release.key | gpg --dearmor -o /etc/apt/keyrings/kubernetes-apt-keyring.gpg<br /> echo 'deb [signed-by=/etc/apt/keyrings/kubernetes-apt-keyring.gpg] https://pkgs.k8s.io/core:/stable:/v1.35/deb/ /' | tee /etc/apt/sources.list.d/kubernetes.list<br /> apt-get update<br /> apt-get install -y kubelet kubeadm kubectl<br /> apt-mark hold kubelet kubeadm kubectl<br /> systemctl enable --now kubelet<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm version<br /> kubectl version --client<br /> kubelet --version<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''6. 初始化单节点 k8s 集群''' ==<br /> 新建一个初始化配置&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /main/k8s<br /> nano /main/k8s/kubeadm-config.yaml&lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: InitConfiguration<br /> nodeRegistration:<br /> name: master<br /> criSocket: &quot;unix:///run/containerd/containerd.sock&quot;<br /> localAPIEndpoint:<br /> advertiseAddress: &lt;你的公网主机IP&gt;<br /> bindPort: 6443<br /> <br /> ---<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: ClusterConfiguration<br /> kubernetesVersion: v1.35.0<br /> networking:<br /> podSubnet: 10.10.0.0/16<br /> serviceSubnet: 192.168.0.0/16<br /> dnsDomain: cluster.local<br /> <br /> # 若开启了Swap需要解除此注释!<br /> #---<br /> #apiVersion: kubelet.config.k8s.io/v1beta1<br /> #kind: KubeletConfiguration<br /> #cgroupDriver: systemd<br /> #failSwapOn: false<br /> #memorySwap:<br /> # swapBehavior: LimitedSwap<br /> <br /> <br /> &lt;/syntaxhighlight&gt;开始初始化&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm init --config /main/k8s/kubeadm-config.yaml<br /> &lt;/syntaxhighlight&gt;初始化完成后配置 kubectl&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p $HOME/.kube<br /> cp -i /etc/kubernetes/admin.conf $HOME/.kube/config<br /> chown &quot;$(id -u)&quot;:&quot;$(id -g)&quot; $HOME/.kube/config<br /> &lt;/syntaxhighlight&gt;因为我们是单节点, 需要移除 control plane 污点, 除非多台主机节点&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl taint nodes --all node-role.kubernetes.io/control-plane-<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl get nodes<br /> kubectl get pods -A&lt;/syntaxhighlight&gt;这时 master 大概率是 &lt;code&gt;NotReady&lt;/code&gt; 状态, 目前 CNI 还没有安装, CoreDNS 也通常不会处于 &lt;code&gt;Running&lt;/code&gt; 状态<br /> <br /> == '''7. 安装 Helm并设置补全''' ==<br /> 安装 Helm&lt;syntaxhighlight lang=&quot;bash&quot;&gt;curl -fsSL -o get_helm.sh https://raw.githubusercontent.com/helm/helm/main/scripts/get-helm-4<br /> chmod 700 get_helm.sh<br /> ./get_helm.sh<br /> helm version&lt;/syntaxhighlight&gt;<br /> <br /> ===== '''命令补全:''' =====<br /> <br /> * zsh&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion zsh)' &gt;&gt; ~/.zshrc<br /> echo 'source &lt;(helm completion zsh)' &gt;&gt; ~/.zshrc<br /> source ~/.zshrc<br /> &lt;/syntaxhighlight&gt;<br /> * bash&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion bash)' &gt;&gt; ~/.bashrc<br /> echo 'source &lt;(helm completion bash)' &gt;&gt; ~/.bashrc<br /> source ~/.bashrc<br /> &lt;/syntaxhighlight&gt;<br /> * fish&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl completion fish | sudo tee /etc/fish/completions/kubectl.fish &gt; /dev/null<br /> helm completion fish | sudo tee /etc/fish/completions/helm.fish &gt; /dev/null<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''8. 安装 CNI 插件''' ==<br /> 在资源紧凑的主机中我更推荐使用 &lt;code&gt;Flannel&lt;/code&gt; , 这里也会提供 &lt;code&gt;Calico&lt;/code&gt; 与 &lt;code&gt;Cilium&lt;/code&gt; 的安装, 根据应用场景自行选择其一<br /> <br /> 资源占用: &lt;code&gt;Flannel&lt;/code&gt; &lt; &lt;code&gt;Calico&lt;/code&gt; &lt; &lt;code&gt;Cilium&lt;/code&gt;<br /> <br /> ==== 8.1 Flannel ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl create namespace kube-flannel<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/enforce=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/audit=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/warn=privileged<br /> helm upgrade --install flannel -n kube-flannel --create-namespace --set podCidr=10.10.0.0/16 https://github.com/flannel-io/flannel/releases/download/v0.28.1/flannel.tgz&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.2 Calico ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;helm repo add projectcalico https://docs.tigera.io/calico/charts<br /> helm repo update<br /> kubectl create namespace tigera-operator<br /> helm upgrade --install calico projectcalico/tigera-operator --version v3.31.4 --namespace tigera-operator --set installation.calicoNetwork.ipPools[0].cidr=10.10.0.0/16 --set installation.calicoNetwork.ipPools[0].encapsulation=VXLAN&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.3 Cilium ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add cilium https://helm.cilium.io/<br /> helm repo update<br /> helm upgrade --install cilium cilium/cilium --version 1.19.1 --namespace kube-system<br /> &lt;/syntaxhighlight&gt;'''检查CNI'''&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;节点状态从 &lt;code&gt;NotReady&lt;/code&gt; 变为 &lt;code&gt;Ready&lt;/code&gt; , CoreDNS 进入 &lt;code&gt;Running&lt;/code&gt; 状态, '''至此, k8s 已经初步部署完成'''<br /> <br /> == 9. Headlamp (可选) ==<br /> <br /> ==== 9.1 什么是 '''&lt;code&gt;Headlamp&lt;/code&gt;''' ====<br /> Headlamp是一个面向 k8s 的图形化管理界面, 它的目标是用更直观的方式帮助用户查看和管理集群资源, 例如节点/Pod/Deployment/Service/ConfigMap/Secret 等常见对象, 都可以通过 Web 页面进行浏览和操作<br /> <br /> 它定义为一个易用且可扩展的 Kubernetes WebUI 并强调它既可以作为集群内 Web 应用运行, 也可以作为桌面应用使用, 和很多传统 Dashboard 相比<br /> <br /> Headlamp 的特点主要有三点:<br /> <br /> # 界面更现代 更偏向日常运维与开发使用<br /> # 它支持基于 Kubernetes RBAC 的权限控制 用户能看到和操作的资源会自动受当前权限约束<br /> # 它具备插件扩展能力 可以根据团队需求定制界面和功能<br /> <br /> 我个人认为可以帮助初学者摆脱只看命令行输出的方式, 更直观地观察集群中资源的创建/状态变化/日志/配置情况, 因此很适合作为 k8s 学习和演示环境中的可视化入口. <br /> <br /> ==== 9.2 开始安装 ====<br /> 先新建一个 &lt;code&gt;values.yml&lt;/code&gt; 文件&lt;syntaxhighlight&gt;<br /> mkdir -p /main/k8s/headlamp<br /> nano /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> replicaCount: 1<br /> <br /> image:<br /> registry: ghcr.io<br /> repository: headlamp-k8s/headlamp<br /> tag: &quot;&quot;<br /> pullPolicy: IfNotPresent<br /> <br /> nameOverride: &quot;&quot;<br /> fullnameOverride: &quot;headlamp&quot;<br /> namespaceOverride: &quot;&quot;<br /> <br /> <br /> service:<br /> type: NodePort<br /> port: 80<br /> # 宿主机开放端口<br /> nodePort: 30080<br /> <br /> <br /> env:<br /> - name: TZ<br /> value: &quot;Asia/Shanghai&quot;<br /> <br /> config:<br /> pluginsDir: /headlamp/plugins<br /> <br /> volumes:<br /> - name: plugins-volume<br /> hostPath:<br /> path: /main/k8s/headlamp/plugins<br /> type: DirectoryOrCreate<br /> <br /> volumeMounts:<br /> - name: plugins-volume<br /> mountPath: /headlamp/plugins<br /> <br /> <br /> resources:<br /> requests:<br /> cpu: 100m<br /> memory: 128Mi<br /> limits:<br /> cpu: 500m<br /> memory: 512Mi<br /> <br /> &lt;/syntaxhighlight&gt;用 Helm 安装&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add headlamp https://kubernetes-sigs.github.io/headlamp/<br /> helm repo update<br /> helm upgrade --install headlamp headlamp/headlamp -n headlamp --create-namespace -f /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;通过开放的端口访问到 Headlamp, 初次加载需要等待一会, 之后需要输入 &lt;code&gt;token&lt;/code&gt;, 使用命令生成&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl create token headlamp --namespace headlamp --duration 168h<br /> &lt;/syntaxhighlight&gt;若不通则进行检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 9.3 查看资源使用概览 ====<br /> Headlamp中各种资源显示, 需要依赖 &lt;code&gt;metrics-server&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add metrics-server https://kubernetes-sigs.github.io/metrics-server/<br /> helm repo update<br /> helm upgrade --install metrics-server metrics-server/metrics-server -n kube-system --set &quot;args[0]=--kubelet-insecure-tls&quot;<br /> &lt;/syntaxhighlight&gt;安装好后就可以正常显示资源占用情况<br /> <br /> == 10. 常见问题排查 ==<br /> <br /> ==== 10.1 Flannel 启动失败 ====<br /> 优先检查这几个点, Flannel 官方 README 明确指出 它依赖 &lt;code&gt;br_netfilter&lt;/code&gt; 另外它默认使用 &lt;code&gt;portmap&lt;/code&gt; 作为 CNI 网络插件的一部分 并要求相关 CNI 二进制位于 &lt;code&gt;/opt/cni/bin&lt;/code&gt; <br /> <br /> ==== 10.2 Headlamp 页面能打开但无法登录 ====<br /> 重点检查<br /> <br /> * token 是否复制完整<br /> * ServiceAccount 是否创建在 &lt;code&gt;kube-system&lt;/code&gt;<br /> * ClusterRoleBinding 是否绑定成功<br /> * Headlamp 是否真的暴露成 NodePort<br /> <br /> ==== 10.3 Pod 无法联网 ====<br /> 重点检查<br /> <br /> * &lt;code&gt;kubeadm init&lt;/code&gt; 的 &lt;code&gt;--pod-network-cidr&lt;/code&gt;<br /> * Flannel Chart 的 &lt;code&gt;podCidr&lt;/code&gt;<br /> * 主机自身网段是否与 Pod 网段冲突<br /> <br /> Kubernetes 官方明确提醒 Pod network 不应与宿主机网络重叠 否则容易出现网络异常<br /> <br /> == '''11. 常用命令''' ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot; line=&quot;1&quot;&gt;<br /> # -------------------------<br /> # 1 集群和命名空间<br /> # -------------------------<br /> kubectl config current-context # 查看当前 kubeconfig 上下文<br /> kubectl config get-contexts # 查看所有可用上下文<br /> kubectl config use-context my-cluster # 切换到指定集群上下文<br /> kubectl get ns # 查看所有命名空间<br /> kubectl get pods -n kube-system # 查看指定命名空间中的 Pod<br /> kubectl config set-context --current --namespace=default # 设置当前上下文默认命名空间<br /> <br /> # -------------------------<br /> # 2 Helm 安装和版本管理<br /> # -------------------------<br /> helm repo add bitnami https://charts.bitnami.com/bitnami # 添加 Helm 仓库<br /> helm repo update # 更新 Helm 仓库索引<br /> helm search repo nginx # 在 Helm 仓库中搜索 chart<br /> helm install my-nginx bitnami/nginx # 安装一个 Helm release<br /> helm install my-nginx bitnami/nginx -n web --create-namespace # 安装到指定命名空间 不存在则创建<br /> helm install headlamp headlamp/headlamp -n kube-system -f values.yaml # 使用 values 文件安装 release<br /> helm upgrade headlamp headlamp/headlamp -n kube-system -f values.yaml # 升级已有 release<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml # 不存在则安装 存在则升级<br /> helm list -A # 查看所有命名空间中的 Helm release<br /> helm status headlamp -n kube-system # 查看某个 release 当前状态<br /> helm history headlamp -n kube-system # 查看 release 历史版本<br /> helm rollback headlamp 2 -n kube-system # 回滚到指定 revision<br /> helm uninstall headlamp -n kube-system # 卸载 release<br /> helm show values headlamp/headlamp # 查看 chart 默认 values<br /> helm template headlamp headlamp/headlamp -n kube-system -f values.yaml # 本地渲染模板 不实际安装<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml --dry-run # 试运行安装或升级<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml --dry-run --debug # 试运行并输出详细调试信息<br /> <br /> # -------------------------<br /> # 3 常用资源查看<br /> # -------------------------<br /> kubectl get pods # 查看当前命名空间的 Pod<br /> kubectl get pods -o wide # 查看 Pod 并显示节点 IP 等更多信息<br /> kubectl get pods -w # 持续监听 Pod 状态变化<br /> kubectl get deploy # 查看 Deployment<br /> kubectl get svc # 查看 Service<br /> kubectl get ds # 查看 DaemonSet<br /> kubectl get sts # 查看 StatefulSet<br /> kubectl get ingress # 查看 Ingress<br /> kubectl get all -n kube-system # 查看命名空间下常见资源<br /> kubectl get pods -l app.kubernetes.io/name=headlamp -n kube-system # 根据标签筛选 Pod<br /> kubectl get deploy headlamp -n kube-system -o yaml # 查看 Deployment 的完整 YAML<br /> kubectl get svc headlamp -n kube-system -o wide # 查看 Service 详细信息<br /> <br /> # -------------------------<br /> # 4 排障常用<br /> # -------------------------<br /> kubectl describe pod headlamp-xxx-xxx -n kube-system # 查看 Pod 详细状态和事件<br /> kubectl describe deploy headlamp -n kube-system # 查看 Deployment 详细信息<br /> kubectl describe svc headlamp -n kube-system # 查看 Service 详细信息<br /> kubectl get events -n kube-system --sort-by=.metadata.creationTimestamp # 按时间排序查看命名空间事件<br /> kubectl get events -A --sort-by=.metadata.creationTimestamp # 查看全局事件并按时间排序<br /> kubectl logs headlamp-xxx-xxx -n kube-system # 查看 Pod 日志<br /> kubectl logs -f headlamp-xxx-xxx -n kube-system # 持续跟踪 Pod 日志<br /> kubectl logs headlamp-xxx-xxx -n kube-system -c headlamp # 查看指定容器日志<br /> kubectl logs headlamp-xxx-xxx -n kube-system --previous # 查看容器上一次崩溃前日志<br /> kubectl exec -it headlamp-xxx-xxx -n kube-system -- /bin/sh # 进入容器 shell<br /> kubectl exec -it headlamp-xxx-xxx -n kube-system -- /bin/bash # 进入容器 bash<br /> kubectl get pods -n kube-system # 先列出 Pod 再选择进入<br /> kubectl exec -it pod-name -n kube-system -- /bin/sh # 进入指定 Pod<br /> kubectl top pod -n kube-system # 查看 Pod CPU 和内存使用量<br /> kubectl top node # 查看节点资源使用量<br /> <br /> # -------------------------<br /> # 5 发布和重启相关<br /> # -------------------------<br /> kubectl rollout restart deploy headlamp -n kube-system # 滚动重启 Deployment<br /> kubectl rollout status deploy headlamp -n kube-system # 查看 Deployment 发布状态<br /> kubectl rollout history deploy headlamp -n kube-system # 查看 Deployment 发布历史<br /> kubectl rollout undo deploy headlamp -n kube-system # 回滚 Deployment 到上一版本<br /> kubectl scale deploy headlamp --replicas=3 -n kube-system # 调整副本数<br /> kubectl delete pod headlamp-xxx-xxx -n kube-system # 删除 Pod 让控制器自动重建<br /> <br /> # -------------------------<br /> # 6 网络和端口相关<br /> # -------------------------<br /> kubectl get svc -n kube-system # 查看命名空间下 Service<br /> kubectl port-forward pod/headlamp-xxx-xxx 8080:80 -n kube-system # 将本地 8080 转发到 Pod 的 80<br /> kubectl port-forward svc/headlamp 8080:80 -n kube-system # 将本地 8080 转发到 Service 的 80<br /> kubectl get endpoints headlamp -n kube-system # 查看 Service 后端 Endpoint<br /> kubectl run tmp-shell -it --rm --image=busybox -- /bin/sh # 临时启动调试 Pod<br /> nslookup kubernetes.default # 在调试容器中解析集群 DNS<br /> wget -qO- http://headlamp.kube-system.svc.cluster.local # 在调试容器中访问集群内部 Service<br /> <br /> # -------------------------<br /> # 7 配置和存储相关<br /> # -------------------------<br /> kubectl get configmap -n kube-system # 查看 ConfigMap<br /> kubectl get secret -n kube-system # 查看 Secret<br /> kubectl get pvc -A # 查看所有 PVC<br /> kubectl get pv # 查看所有 PV<br /> kubectl get nodes -o wide # 查看节点及详细信息<br /> kubectl describe node node-1 # 查看节点详细状态<br /> kubectl get deploy headlamp -n kube-system -o yaml # 查看实际生效的 Deployment YAML<br /> <br /> # -------------------------<br /> # 8 Helm 配合排障常用<br /> # -------------------------<br /> helm status headlamp -n kube-system # 查看 release 当前运行状态<br /> helm get values headlamp -n kube-system # 查看用户自定义 values<br /> helm get values headlamp -n kube-system -a # 查看合并后的全部 values<br /> helm get manifest headlamp -n kube-system # 查看 release 实际渲染出的 manifest<br /> helm get notes headlamp -n kube-system # 查看安装说明和访问提示<br /> kubectl get pod headlamp-xxx-xxx -n kube-system --show-labels # 查看 Pod 标签 判断所属 release<br /> kubectl get all -n kube-system -l app.kubernetes.io/instance=headlamp # 根据 Helm release 标签筛选整套资源<br /> <br /> # -------------------------<br /> # 9 最常用 20 个命令<br /> # -------------------------<br /> kubectl get pods -A # 查看所有命名空间 Pod<br /> kubectl get svc -A # 查看所有命名空间 Service<br /> kubectl get deploy -A # 查看所有命名空间 Deployment<br /> kubectl get all -n kube-system # 查看 kube-system 中常见资源<br /> kubectl get pods -o wide -n kube-system # 查看 Pod 详细信息<br /> kubectl describe pod pod-name -n kube-system # 查看 Pod 详情<br /> kubectl describe deploy deploy-name -n kube-system # 查看 Deployment 详情<br /> kubectl logs pod-name -n kube-system # 查看日志<br /> kubectl logs -f pod-name -n kube-system # 持续跟踪日志<br /> kubectl logs pod-name -n kube-system --previous # 查看上一次容器日志<br /> kubectl exec -it pod-name -n kube-system -- /bin/sh # 进入容器<br /> kubectl get events -n kube-system --sort-by=.metadata.creationTimestamp # 查看时间排序事件<br /> kubectl port-forward svc/service-name 8080:80 -n kube-system # 本地端口转发到 Service<br /> kubectl rollout restart deploy deploy-name -n kube-system # 重启 Deployment<br /> kubectl rollout status deploy deploy-name -n kube-system # 查看滚动发布状态<br /> kubectl scale deploy deploy-name --replicas=2 -n kube-system # 调整副本数<br /> helm list -A # 查看所有 Helm release<br /> helm status release-name -n kube-system # 查看 release 状态<br /> helm get values release-name -n kube-system -a # 查看 release 全部 values<br /> helm upgrade --install release-name repo/chart -n kube-system -f values.yaml # Helm 安装或升级<br /> <br /> # -------------------------<br /> # 10 实战排障流程<br /> # -------------------------<br /> helm status headlamp -n kube-system # 先检查 release 状态<br /> kubectl get all -n kube-system -l app.kubernetes.io/instance=headlamp # 查看 release 关联资源<br /> kubectl get pods -n kube-system -o wide # 查看 Pod 是否正常运行<br /> kubectl describe pod pod-name -n kube-system # 检查 Pod 事件和错误<br /> kubectl logs pod-name -n kube-system # 查看应用日志<br /> kubectl get svc -n kube-system # 查看 Service 是否创建成功<br /> kubectl describe svc headlamp -n kube-system # 查看 Service 配置详情<br /> kubectl get endpoints headlamp -n kube-system # 查看 Service 是否关联到后端 Pod<br /> kubectl port-forward svc/headlamp 8080:80 -n kube-system # 用本地转发验证服务本身是否正常<br /> <br /> # -------------------------<br /> # 11 常用别名<br /> # -------------------------<br /> alias k=kubectl # kubectl 简写<br /> alias kgp='kubectl get pods' # 快速查看 Pod<br /> alias kgs='kubectl get svc' # 快速查看 Service<br /> alias kgd='kubectl get deploy' # 快速查看 Deployment<br /> alias kdp='kubectl describe pod' # 快速查看 Pod 详情<br /> alias kdd='kubectl describe deploy' # 快速查看 Deployment 详情<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''12. Helm Chart 配置文件模板''' ==<br /> &lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> replicaCount: 1 # Pod 副本数. 单节点或测试环境常设为 1<br /> revisionHistoryLimit: 10 # Deployment 保留的历史版本数. 便于回滚<br /> minReadySeconds: 0 # Pod 就绪后保持多久才视为可用<br /> <br /> deploymentStrategy: # Deployment 更新策略<br /> type: RollingUpdate # 推荐 RollingUpdate. Recreate 会先删后建<br /> rollingUpdate:<br /> maxUnavailable: 25% # 滚动更新期间最大不可用比例<br /> maxSurge: 25% # 滚动更新期间可额外创建的副本比例<br /> <br /> image:<br /> registry: ghcr.io # 镜像仓库地址<br /> repository: headlamp-k8s/headlamp # 示例镜像名. 新容器可改为自己的镜像<br /> tag: &quot;&quot; # 镜像标签. 留空时通常使用 chart 默认 appVersion<br /> pullPolicy: IfNotPresent # 拉取策略. 常用 IfNotPresent 或 Always<br /> <br /> imagePullSecrets: [] # 私有仓库拉取密钥. 无需私仓时保持空数组<br /> <br /> nameOverride: &quot;&quot; # 覆盖 chart 名称的一部分. 一般不需要<br /> fullnameOverride: &quot;headlamp&quot; # 最终资源名. 示例中固定方便管理. 新项目可改<br /> namespaceOverride: &quot;&quot; # 覆盖命名空间. 一般更建议 helm -n 指定<br /> <br /> initContainers: # 初始化容器. 在主容器启动前执行<br /> - name: init-plugin-dir # 初始化容器名称<br /> image: busybox:1.36 # 使用轻量 busybox 镜像<br /> imagePullPolicy: IfNotPresent # initContainer 拉取策略<br /> command:<br /> - sh<br /> - -c<br /> - mkdir -p /headlamp/plugins &amp;&amp; chmod -R 755 /headlamp/plugins # 创建插件目录并赋权<br /> securityContext:<br /> runAsNonRoot: false # 初始化目录时通常允许 root 更省事. 严格环境可改<br /> allowPrivilegeEscalation: false # 禁止提权<br /> volumeMounts:<br /> - name: plugins-volume # 挂载插件卷以便初始化目录<br /> mountPath: /headlamp/plugins # 容器内插件目录路径<br /> <br /> extraContainers: [] # 额外 sidecar 容器. 例如日志采集或代理<br /> <br /> terminationGracePeriodSeconds: 30 # 优雅退出宽限期. 过短可能导致连接被硬切断<br /> hostNetwork: false # 是否使用宿主机网络. 一般保持 false<br /> dnsPolicy: ClusterFirst # DNS 策略. hostNetwork=true 时常配 ClusterFirstWithHostNet<br /> dnsConfig: {} # 自定义 DNS 配置. 需模板支持<br /> hostAliases: [] # 额外 hosts 映射. 仅少数场景使用<br /> <br /> config:<br /> inCluster: true # 集群内访问模式. Pod 通过 ServiceAccount 访问 K8s API<br /> inClusterContextName: &quot;main&quot; # 集群内上下文名称<br /> baseURL: &quot;&quot; # 子路径访问时填写如 /headlamp. 根路径保持空<br /> sessionTTL: 86400 # 登录会话有效期. 单位秒. 86400 = 24 小时<br /> <br /> oidc:<br /> secret:<br /> create: false # 是否由 chart 自动创建 OIDC Secret<br /> name: oidc # OIDC Secret 名称<br /> clientID: &quot;&quot; # OIDC 客户端 ID<br /> clientSecret: &quot;&quot; # OIDC 客户端密钥<br /> issuerURL: &quot;&quot; # OIDC 发行者地址<br /> scopes: &quot;&quot; # OIDC scopes<br /> callbackURL: &quot;&quot; # OIDC 回调地址<br /> validatorClientID: &quot;&quot; # Token 校验客户端 ID<br /> validatorIssuerURL: &quot;&quot; # Token 校验发行者地址<br /> useAccessToken: false # 是否使用 Access Token<br /> usePKCE: false # 是否启用 PKCE<br /> useCookie: false # 是否通过 Cookie 保存认证信息<br /> externalSecret:<br /> enabled: false # 是否使用外部 Secret<br /> name: &quot;&quot; # 外部 Secret 名称<br /> <br /> meUserInfoURL: &quot;&quot; # 用户信息接口地址. 未接入外部认证时可留空<br /> pluginsDir: &quot;/headlamp/plugins&quot; # 插件目录<br /> enableHelm: false # 最新 chart 默认值为 false. 仅需展示 Helm 信息时开启<br /> watchPlugins: false # 是否实时监听插件目录变化<br /> extraArgs: [] # 额外启动参数. 例如 -plugins-dir=/headlamp/plugins<br /> <br /> env: # 环境变量<br /> - name: TZ # 时区环境变量名称<br /> value: &quot;Asia/Shanghai&quot; # 时区设置<br /> <br /> envFrom: [] # 从 ConfigMap 或 Secret 批量导入环境变量. 需模板支持<br /> <br /> containerPorts: # 容器端口示例. 需模板支持<br /> - name: http # 端口名称. 多端口 Service 时建议显式命名<br /> containerPort: 4466 # 容器监听端口. 请按实际应用修改<br /> protocol: TCP # 协议. 通常 TCP<br /> <br /> livenessProbe: {} # 存活探针. K8S 原生支持 exec/httpGet/tcpSocket/grpc. 需模板支持<br /> readinessProbe: {} # 就绪探针. 控制是否加入 Service 端点. 需模板支持<br /> startupProbe: {} # 启动探针. 慢启动应用推荐配置. 需模板支持<br /> lifecycle: {} # 生命周期钩子. preStop/postStart. 需模板支持<br /> <br /> automountServiceAccountToken: true # 自动挂载 ServiceAccount Token. 集群内访问通常保持 true<br /> <br /> serviceAccount:<br /> create: true # 是否自动创建 ServiceAccount<br /> annotations: {} # ServiceAccount 注解<br /> name: &quot;&quot; # 最新 chart 默认空字符串. 留空时一般按 fullname 生成<br /> <br /> clusterRoleBinding:<br /> create: true # 是否自动创建 ClusterRoleBinding<br /> clusterRoleName: &quot;cluster-admin&quot; # 示例使用 cluster-admin. 生产环境建议改成最小权限角色<br /> annotations: {} # ClusterRoleBinding 注解<br /> <br /> deploymentAnnotations: {} # Deployment 注解<br /> podAnnotations: # Pod 注解. 可用于 sidecar 注入 监控抓取等<br /> kubectl.kubernetes.io/default-container: &quot;headlamp&quot; # kubectl exec/logs 默认容器提示. 非必须但更顺手<br /> <br /> podLabels:<br /> app.kubernetes.io/name: &quot;headlamp&quot; # 推荐使用标准标签<br /> app.kubernetes.io/component: &quot;web&quot; # 组件标签. 便于筛选和治理<br /> <br /> hostUsers: true # Pod 是否共享宿主用户命名空间. 设 false 可启用 user namespaces<br /> <br /> podSecurityContext:<br /> fsGroup: 101 # 卷文件组 ID. 便于挂载目录权限控制<br /> fsGroupChangePolicy: OnRootMismatch # 新版常用项. 仅在需要时递归改卷权限<br /> seccompProfile:<br /> type: RuntimeDefault # 推荐使用运行时默认 seccomp 配置<br /> <br /> securityContext:<br /> runAsNonRoot: true # 强制非 root 运行<br /> privileged: false # 不使用特权模式<br /> runAsUser: 100 # 容器运行用户 UID<br /> runAsGroup: 101 # 容器运行用户组 GID<br /> allowPrivilegeEscalation: false # 禁止提权<br /> readOnlyRootFilesystem: false # 需要更强约束时可设 true 并配 writable 卷<br /> capabilities:<br /> drop:<br /> - ALL # 建议默认移除全部 Linux capabilities<br /> <br /> service:<br /> annotations: {} # Service 注解<br /> type: NodePort # 暴露方式. 可选 ClusterIP / NodePort / LoadBalancer<br /> port: 80 # Service 端口<br /> targetPort: http # 目标端口. 建议引用命名端口便于变更<br /> appProtocol: http # 应用层协议提示. v1.20 稳定<br /> clusterIP: &quot;&quot; # ClusterIP 一般不手动指定<br /> # loadBalancerIP: &quot;&quot; # 该字段自 v1.24 起已废弃. 新环境不建议再依赖<br /> loadBalancerSourceRanges: [] # 限制允许访问的来源网段<br /> nodePort: 30080 # NodePort 固定端口. 浏览器可通过 NodeIP:30080 访问<br /> externalTrafficPolicy: Cluster # 对外流量策略. Local 可保留客户端源 IP<br /> internalTrafficPolicy: Cluster # 集群内流量策略. v1.26 稳定. Local 可优先本地端点<br /> sessionAffinity: None # 会话亲和性. 可选 None / ClientIP<br /> sessionAffinityConfig: {} # 会话亲和性高级配置. 需按需填写<br /> ipFamilyPolicy: SingleStack # 可选 SingleStack / PreferDualStack / RequireDualStack<br /> ipFamilies: [] # 双栈时可写 [IPv4, IPv6] 或 [IPv6, IPv4]<br /> trafficDistribution: PreferSameZone # v1.33 稳定. v1.35 支持 PreferSameZone / PreferSameNode<br /> <br /> volumeMounts:<br /> - name: plugins-volume # 插件卷名称<br /> mountPath: /headlamp/plugins # 容器内挂载路径<br /> <br /> # - name: kubeconfig-volume # 可选 kubeconfig 卷名称<br /> # mountPath: /home/headlamp/.config/Headlamp/kubeconfigs/config # 容器内 kubeconfig 文件路径<br /> # subPath: config # 将卷中的 config 文件挂载为单文件<br /> <br /> volumes:<br /> - name: plugins-volume # 卷名称. 需与 volumeMounts 对应<br /> hostPath:<br /> path: /data/headlamp/plugins # 宿主机目录. 等价于 Docker 左侧路径<br /> type: DirectoryOrCreate # 不存在时自动创建目录<br /> <br /> # - name: kubeconfig-volume # 可选 kubeconfig 卷<br /> # hostPath:<br /> # path: /data/headlamp/kubeconfigs # 宿主机 kubeconfig 所在目录<br /> # type: DirectoryOrCreate # 不存在时自动创建<br /> <br /> persistentVolumeClaim:<br /> enabled: false # 是否改用 PVC 持久化. 使用 hostPath 时通常设 false<br /> annotations: {} # PVC 注解<br /> accessModes: [] # PVC 访问模式. 如 ReadWriteOnce<br /> size: &quot;&quot; # PVC 大小. 如 5Gi<br /> storageClassName: &quot;&quot; # 存储类名称<br /> selector: {} # PVC 选择器<br /> volumeMode: &quot;&quot; # 卷模式. 如 Filesystem / Block<br /> dataSource: {} # 高级项. 可从快照或现有卷克隆. 需模板支持<br /> <br /> ingress:<br /> enabled: false # 是否启用 Ingress<br /> annotations: {} # Ingress 注解<br /> labels: {} # Ingress 标签<br /> ingressClassName: &quot;&quot; # IngressClass 名称. 替代旧注解 kubernetes.io/ingress.class<br /> hosts: [] # 域名和路径配置<br /> tls: [] # TLS 配置<br /> <br /> httpRoute:<br /> enabled: false # 是否启用 Gateway API 的 HTTPRoute<br /> annotations: {} # HTTPRoute 注解<br /> labels: {} # HTTPRoute 标签<br /> parentRefs: [] # 关联 Gateway. 启用时通常必填<br /> hostnames: [] # 绑定域名<br /> rules: [] # 路由规则. 未配置时通常走默认前缀路由<br /> <br /> resources: # 资源请求与限制<br /> requests:<br /> cpu: &quot;100m&quot; # 最低 CPU 请求<br /> memory: &quot;128Mi&quot; # 最低内存请求<br /> limits:<br /> cpu: &quot;500m&quot; # CPU 上限<br /> memory: &quot;512Mi&quot; # 内存上限<br /> <br /> nodeSelector:<br /> kubernetes.io/os: linux # 仅调度到 Linux 节点<br /> <br /> tolerations: [] # 容忍污点. 无特殊需求可留空<br /> affinity: {} # 亲和性规则. 无特殊需求可留空<br /> topologySpreadConstraints: # 拓扑分布约束. 新版 K8S 常用高可用配置<br /> # - maxSkew: 1 # 单个拓扑域允许的最大偏斜<br /> # topologyKey: topology.kubernetes.io/zone # 按可用区分布. 也可用 kubernetes.io/hostname<br /> # whenUnsatisfiable: ScheduleAnyway # 可选 DoNotSchedule / ScheduleAnyway<br /> # labelSelector:<br /> # matchLabels:<br /> # app.kubernetes.io/name: headlamp # 选取同类 Pod<br /> # matchLabelKeys: # v1.27 起 Beta. 可按 Pod 标签键自动匹配<br /> # - pod-template-hash<br /> # nodeAffinityPolicy: Honor # v1.26 起 Beta. 可选 Honor / Ignore<br /> # nodeTaintsPolicy: Ignore # v1.26 起 Beta. 可选 Honor / Ignore<br /> []<br /> <br /> priorityClassName: &quot;&quot; # 优先级类名称<br /> runtimeClassName: &quot;&quot; # 运行时类. 如 gvisor kata 等. 需模板支持<br /> <br /> pluginsManager:<br /> enabled: false # 是否启用插件管理 sidecar<br /> configFile: &quot;plugin.yml&quot; # 插件配置文件名<br /> configContent: &quot;&quot; # 插件配置内容<br /> baseImage: node:lts-alpine # 插件管理器基础镜像<br /> version: latest # 插件管理器版本<br /> volumeMounts: [] # 插件管理器额外挂载<br /> securityContext: {} # 插件管理器安全上下文<br /> <br /> podDisruptionBudget:<br /> enabled: false # 是否启用 PDB<br /> minAvailable: 0 # 最少可用副本数<br /> maxUnavailable: null # 最大不可用副本数<br /> unhealthyPodEvictionPolicy: null # 不健康 Pod 驱逐策略. 新集群可按需设置<br /> <br /> extraManifests: [] # 附加资源清单. 可内嵌额外 K8s YAML<br /> <br /> &lt;/syntaxhighlight&gt;'''参考:'''<br /> * [https://kubernetes.io/docs/setup/production-environment/tools/kubeadm/troubleshooting-kubeadm/ kubeadm 故障排除]<br /> * [https://headlamp.dev/plugins Headlamp Plugins]<br /> * [https://helm.sh/zh/docs/chart_template_guide/getting_started/#charts Helm charts]<br /> [[Category:500 常见应用指南 — Application Guides]]</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E6%90%AD%E5%BB%BA_Kubernetes_%E4%B8%80%E7%AB%99%E5%BC%8F%E5%B9%B3%E5%8F%B0&diff=1897 2026-04-12T20:25:56Z

<p>Koud Wind：​</p> <hr /> <div>----<br /> <br /> == 1. 什么是 Kubernetes / k8s ==<br /> k8s 也就是 Kubernetes 是一个面向容器化应用的自动化管理平台, 核心职责是管理程序运行的环境, 包括 &lt;code&gt;部署应用/调度资源/维护副本/处理故障/对外暴露服务&lt;/code&gt;等等...<br /> <br /> 对于初学者来说可以把它理解成一个专门管理容器集群的平台, 当你只有一个容器时也许还感觉不到它的必要性<br /> <br /> 但当你需要同时运行多个服务, 需要让服务彼此通信, 需要保证应用异常后自动恢复, 甚至需要后续扩容到多台机器时 Kubernetes 的价值就会非常明显<br /> <br /> 而本文要做的事情, 就是在一台主机上先搭建一个最小可运行的 Kubernetes 环境, 借助这个过程去理解 Kubernetes 是怎样从零开始被组织起来的<br /> <br /> 为了易读性, 在这里会将 &lt;code&gt;Kubernetes&lt;/code&gt; 简称为 &lt;code&gt;k8s&lt;/code&gt;<br /> <br /> == 2. 环境说明 ==<br /> 运行 kubeadm 集群建议 control plane 节点至少具备 &lt;code&gt;2 Core CPU&lt;/code&gt; 和 &lt;code&gt;2 GiB&lt;/code&gt; 运存, 推荐购买搬瓦工的 [https://bandwagonhost.com/cart.php?a=add&amp;pid=166 ECOMMERCE SLA] 套餐<br /> <br /> * 操作系统以 Debian13 为例<br /> * 主机数量 1 台<br /> * 使用 root 用户<br /> * 主机承担 control plane 和 workload 调度<br /> * k8s pod网段为 &lt;code&gt;10.10.0.0/16&lt;/code&gt; , service网段为 &lt;code&gt;192.168.0.0/16&lt;/code&gt;<br /> * 使用 &lt;code&gt;Headlamp&lt;/code&gt; 管理k8s pods<br /> <br /> == '''3. 前置准备''' ==<br /> <br /> ==== 3.1 加载模块并启用转发 ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> cat &lt;&lt;'EOF' | tee /etc/modules-load.d/k8s.conf<br /> overlay<br /> br_netfilter<br /> EOF<br /> <br /> modprobe overlay<br /> modprobe br_netfilter<br /> <br /> cat &lt;&lt;'EOF' | tee /etc/sysctl.d/k8s.conf<br /> net.bridge.bridge-nf-call-iptables = 1<br /> net.bridge.bridge-nf-call-ip6tables = 1<br /> net.ipv4.ip_forward = 1<br /> net.ipv6.conf.all.forwarding = 1<br /> EOF<br /> sysctl --system<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.2 配置 hosts ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> tee -a /etc/hosts &gt; /dev/null &lt;&lt;'EOF'<br /> 127.0.0.1 k8s-master<br /> EOF<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.3 关闭 swap (可选) ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> swapoff -a<br /> sed -ri '/\sswap\s/s/^/#/' /etc/fstab<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''4. 安装 containerd''' ==<br /> 更新软件源并安装 containerd 与 其他核心组件&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> apt update<br /> apt install -y containerd apt-transport-https ca-certificates curl gpg<br /> &lt;/syntaxhighlight&gt;生成默认配置文件并修改配置文件, 这里为了防止后续可能报错, 修改了 &lt;code&gt;bin_dir&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /etc/containerd<br /> containerd config default | tee /etc/containerd/config.toml &gt; /dev/null<br /> sed -i 's#bin_dir = &quot;/usr/lib/cni&quot;#bin_dir = &quot;/opt/cni/bin&quot;#' /etc/containerd/config.toml<br /> sed -i 's/SystemdCgroup = false/SystemdCgroup = true/' /etc/containerd/config.toml&lt;/syntaxhighlight&gt;重启并设置自启&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> systemctl daemon-reload<br /> systemctl restart containerd<br /> systemctl enable containerd<br /> systemctl status containerd<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''5. 安装 kubeadm kubelet kubectl''' ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p -m 755 /etc/apt/keyrings<br /> curl -fsSL https://pkgs.k8s.io/core:/stable:/v1.35/deb/Release.key | gpg --dearmor -o /etc/apt/keyrings/kubernetes-apt-keyring.gpg<br /> echo 'deb [signed-by=/etc/apt/keyrings/kubernetes-apt-keyring.gpg] https://pkgs.k8s.io/core:/stable:/v1.35/deb/ /' | tee /etc/apt/sources.list.d/kubernetes.list<br /> apt-get update<br /> apt-get install -y kubelet kubeadm kubectl<br /> apt-mark hold kubelet kubeadm kubectl<br /> systemctl enable --now kubelet<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm version<br /> kubectl version --client<br /> kubelet --version<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''6. 初始化单节点 k8s 集群''' ==<br /> 新建一个初始化配置&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /main/k8s<br /> nano /main/k8s/kubeadm-config.yaml&lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: InitConfiguration<br /> nodeRegistration:<br /> name: master<br /> criSocket: &quot;unix:///run/containerd/containerd.sock&quot;<br /> localAPIEndpoint:<br /> advertiseAddress: &lt;你的公网主机IP&gt;<br /> bindPort: 6443<br /> <br /> ---<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: ClusterConfiguration<br /> kubernetesVersion: v1.35.0<br /> networking:<br /> podSubnet: 10.10.0.0/16<br /> serviceSubnet: 192.168.0.0/16<br /> dnsDomain: cluster.local<br /> <br /> # 若开启了Swap需要解除此注释!<br /> #---<br /> #apiVersion: kubelet.config.k8s.io/v1beta1<br /> #kind: KubeletConfiguration<br /> #cgroupDriver: systemd<br /> #failSwapOn: false<br /> #memorySwap:<br /> # swapBehavior: LimitedSwap<br /> <br /> <br /> &lt;/syntaxhighlight&gt;开始初始化&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm init --config /main/k8s/kubeadm-config.yaml<br /> &lt;/syntaxhighlight&gt;初始化完成后配置 kubectl&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p $HOME/.kube<br /> cp -i /etc/kubernetes/admin.conf $HOME/.kube/config<br /> chown &quot;$(id -u)&quot;:&quot;$(id -g)&quot; $HOME/.kube/config<br /> &lt;/syntaxhighlight&gt;因为我们是单节点, 需要移除 control plane 污点, 除非多台主机节点&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl taint nodes --all node-role.kubernetes.io/control-plane-<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl get nodes<br /> kubectl get pods -A&lt;/syntaxhighlight&gt;这时 master 大概率是 &lt;code&gt;NotReady&lt;/code&gt; 状态, 目前 CNI 还没有安装, CoreDNS 也通常不会处于 &lt;code&gt;Running&lt;/code&gt; 状态<br /> <br /> == '''7. 安装 Helm并设置补全''' ==<br /> 安装 Helm&lt;syntaxhighlight lang=&quot;bash&quot;&gt;curl -fsSL -o get_helm.sh https://raw.githubusercontent.com/helm/helm/main/scripts/get-helm-4<br /> chmod 700 get_helm.sh<br /> ./get_helm.sh<br /> helm version&lt;/syntaxhighlight&gt;<br /> <br /> ===== '''命令补全:''' =====<br /> <br /> * zsh&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion zsh)' &gt;&gt; ~/.zshrc<br /> echo 'source &lt;(helm completion zsh)' &gt;&gt; ~/.zshrc<br /> source ~/.zshrc<br /> &lt;/syntaxhighlight&gt;<br /> * bash&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion bash)' &gt;&gt; ~/.bashrc<br /> echo 'source &lt;(helm completion bash)' &gt;&gt; ~/.bashrc<br /> source ~/.bashrc<br /> &lt;/syntaxhighlight&gt;<br /> * fish&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl completion fish | sudo tee /etc/fish/completions/kubectl.fish &gt; /dev/null<br /> helm completion fish | sudo tee /etc/fish/completions/helm.fish &gt; /dev/null<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''8. 安装 CNI 插件''' ==<br /> 在资源紧凑的主机中我更推荐使用 &lt;code&gt;Flannel&lt;/code&gt; , 这里也会提供 &lt;code&gt;Calico&lt;/code&gt; 与 &lt;code&gt;Cilium&lt;/code&gt; 的安装, 根据应用场景自行选择其一<br /> <br /> 资源占用: &lt;code&gt;Flannel&lt;/code&gt; &lt; &lt;code&gt;Calico&lt;/code&gt; &lt; &lt;code&gt;Cilium&lt;/code&gt;<br /> <br /> ==== 8.1 Flannel ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl create namespace kube-flannel<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/enforce=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/audit=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/warn=privileged<br /> helm upgrade --install flannel -n kube-flannel --create-namespace --set podCidr=10.10.0.0/16 https://github.com/flannel-io/flannel/releases/download/v0.28.1/flannel.tgz&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.2 Calico ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;helm repo add projectcalico https://docs.tigera.io/calico/charts<br /> helm repo update<br /> kubectl create namespace tigera-operator<br /> helm upgrade --install calico projectcalico/tigera-operator --version v3.31.4 --namespace tigera-operator --set installation.calicoNetwork.ipPools[0].cidr=10.10.0.0/16 --set installation.calicoNetwork.ipPools[0].encapsulation=VXLAN&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.3 Cilium ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add cilium https://helm.cilium.io/<br /> helm repo update<br /> helm upgrade --install cilium cilium/cilium --version 1.19.1 --namespace kube-system<br /> &lt;/syntaxhighlight&gt;'''检查CNI'''&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;节点状态从 &lt;code&gt;NotReady&lt;/code&gt; 变为 &lt;code&gt;Ready&lt;/code&gt; , CoreDNS 进入 &lt;code&gt;Running&lt;/code&gt; 状态, '''至此, k8s 已经初步部署完成'''<br /> <br /> == 9. Headlamp (可选) ==<br /> <br /> ==== 9.1 什么是 '''&lt;code&gt;Headlamp&lt;/code&gt;''' ====<br /> Headlamp是一个面向 k8s 的图形化管理界面, 它的目标是用更直观的方式帮助用户查看和管理集群资源, 例如节点/Pod/Deployment/Service/ConfigMap/Secret 等常见对象, 都可以通过 Web 页面进行浏览和操作<br /> <br /> 它定义为一个易用且可扩展的 Kubernetes WebUI 并强调它既可以作为集群内 Web 应用运行, 也可以作为桌面应用使用, 和很多传统 Dashboard 相比<br /> <br /> Headlamp 的特点主要有三点:<br /> <br /> # 界面更现代 更偏向日常运维与开发使用<br /> # 它支持基于 Kubernetes RBAC 的权限控制 用户能看到和操作的资源会自动受当前权限约束<br /> # 它具备插件扩展能力 可以根据团队需求定制界面和功能<br /> <br /> 我个人认为可以帮助初学者摆脱只看命令行输出的方式, 更直观地观察集群中资源的创建/状态变化/日志/配置情况, 因此很适合作为 k8s 学习和演示环境中的可视化入口. <br /> <br /> ==== 9.2 开始安装 ====<br /> 先新建一个 &lt;code&gt;values.yml&lt;/code&gt; 文件&lt;syntaxhighlight&gt;<br /> mkdir -p /main/k8s/headlamp<br /> nano /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> replicaCount: 1<br /> <br /> image:<br /> registry: ghcr.io<br /> repository: headlamp-k8s/headlamp<br /> tag: &quot;&quot;<br /> pullPolicy: IfNotPresent<br /> <br /> nameOverride: &quot;&quot;<br /> fullnameOverride: &quot;headlamp&quot;<br /> namespaceOverride: &quot;&quot;<br /> <br /> <br /> service:<br /> type: NodePort<br /> port: 80<br /> # 宿主机开放端口<br /> nodePort: 30080<br /> <br /> <br /> env:<br /> - name: TZ<br /> value: &quot;Asia/Shanghai&quot;<br /> <br /> config:<br /> pluginsDir: /headlamp/plugins<br /> <br /> volumes:<br /> - name: plugins-volume<br /> hostPath:<br /> path: /main/k8s/headlamp/plugins<br /> type: DirectoryOrCreate<br /> <br /> volumeMounts:<br /> - name: plugins-volume<br /> mountPath: /headlamp/plugins<br /> <br /> <br /> resources:<br /> requests:<br /> cpu: 100m<br /> memory: 128Mi<br /> limits:<br /> cpu: 500m<br /> memory: 512Mi<br /> <br /> &lt;/syntaxhighlight&gt;用 Helm 安装&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add headlamp https://kubernetes-sigs.github.io/headlamp/<br /> helm repo update<br /> helm upgrade --install headlamp headlamp/headlamp -n headlamp --create-namespace -f /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;通过开放的端口访问到 Headlamp, 初次加载需要等待一会, 之后需要输入 &lt;code&gt;token&lt;/code&gt;, 使用命令生成&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl create token headlamp --namespace headlamp --duration 168h<br /> &lt;/syntaxhighlight&gt;若不通则进行检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 9.3 查看资源使用概览 ====<br /> Headlamp中各种资源显示, 需要依赖 &lt;code&gt;metrics-server&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add metrics-server https://kubernetes-sigs.github.io/metrics-server/<br /> helm repo update<br /> helm upgrade --install metrics-server metrics-server/metrics-server -n kube-system --set &quot;args[0]=--kubelet-insecure-tls&quot;<br /> &lt;/syntaxhighlight&gt;安装好后就可以正常显示资源占用情况<br /> <br /> == 10. 常见问题排查 ==<br /> <br /> ==== 10.1 Flannel 启动失败 ====<br /> 优先检查这几个点, Flannel 官方 README 明确指出 它依赖 &lt;code&gt;br_netfilter&lt;/code&gt; 另外它默认使用 &lt;code&gt;portmap&lt;/code&gt; 作为 CNI 网络插件的一部分 并要求相关 CNI 二进制位于 &lt;code&gt;/opt/cni/bin&lt;/code&gt; <br /> <br /> ==== 10.2 Headlamp 页面能打开但无法登录 ====<br /> 重点检查<br /> <br /> * token 是否复制完整<br /> * ServiceAccount 是否创建在 &lt;code&gt;kube-system&lt;/code&gt;<br /> * ClusterRoleBinding 是否绑定成功<br /> * Headlamp 是否真的暴露成 NodePort<br /> <br /> ==== 10.3 Pod 无法联网 ====<br /> 重点检查<br /> <br /> * &lt;code&gt;kubeadm init&lt;/code&gt; 的 &lt;code&gt;--pod-network-cidr&lt;/code&gt;<br /> * Flannel Chart 的 &lt;code&gt;podCidr&lt;/code&gt;<br /> * 主机自身网段是否与 Pod 网段冲突<br /> <br /> Kubernetes 官方明确提醒 Pod network 不应与宿主机网络重叠 否则容易出现网络异常<br /> <br /> == '''11. 常用命令''' ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot; line=&quot;1&quot;&gt;<br /> # -------------------------<br /> # 1 集群和命名空间<br /> # -------------------------<br /> kubectl config current-context # 查看当前 kubeconfig 上下文<br /> kubectl config get-contexts # 查看所有可用上下文<br /> kubectl config use-context my-cluster # 切换到指定集群上下文<br /> kubectl get ns # 查看所有命名空间<br /> kubectl get pods -n kube-system # 查看指定命名空间中的 Pod<br /> kubectl config set-context --current --namespace=default # 设置当前上下文默认命名空间<br /> <br /> # -------------------------<br /> # 2 Helm 安装和版本管理<br /> # -------------------------<br /> helm repo add bitnami https://charts.bitnami.com/bitnami # 添加 Helm 仓库<br /> helm repo update # 更新 Helm 仓库索引<br /> helm search repo nginx # 在 Helm 仓库中搜索 chart<br /> helm install my-nginx bitnami/nginx # 安装一个 Helm release<br /> helm install my-nginx bitnami/nginx -n web --create-namespace # 安装到指定命名空间 不存在则创建<br /> helm install headlamp headlamp/headlamp -n kube-system -f values.yaml # 使用 values 文件安装 release<br /> helm upgrade headlamp headlamp/headlamp -n kube-system -f values.yaml # 升级已有 release<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml # 不存在则安装 存在则升级<br /> helm list -A # 查看所有命名空间中的 Helm release<br /> helm status headlamp -n kube-system # 查看某个 release 当前状态<br /> helm history headlamp -n kube-system # 查看 release 历史版本<br /> helm rollback headlamp 2 -n kube-system # 回滚到指定 revision<br /> helm uninstall headlamp -n kube-system # 卸载 release<br /> helm show values headlamp/headlamp # 查看 chart 默认 values<br /> helm template headlamp headlamp/headlamp -n kube-system -f values.yaml # 本地渲染模板 不实际安装<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml --dry-run # 试运行安装或升级<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml --dry-run --debug # 试运行并输出详细调试信息<br /> <br /> # -------------------------<br /> # 3 常用资源查看<br /> # -------------------------<br /> kubectl get pods # 查看当前命名空间的 Pod<br /> kubectl get pods -o wide # 查看 Pod 并显示节点 IP 等更多信息<br /> kubectl get pods -w # 持续监听 Pod 状态变化<br /> kubectl get deploy # 查看 Deployment<br /> kubectl get svc # 查看 Service<br /> kubectl get ds # 查看 DaemonSet<br /> kubectl get sts # 查看 StatefulSet<br /> kubectl get ingress # 查看 Ingress<br /> kubectl get all -n kube-system # 查看命名空间下常见资源<br /> kubectl get pods -l app.kubernetes.io/name=headlamp -n kube-system # 根据标签筛选 Pod<br /> kubectl get deploy headlamp -n kube-system -o yaml # 查看 Deployment 的完整 YAML<br /> kubectl get svc headlamp -n kube-system -o wide # 查看 Service 详细信息<br /> <br /> # -------------------------<br /> # 4 排障常用<br /> # -------------------------<br /> kubectl describe pod headlamp-xxx-xxx -n kube-system # 查看 Pod 详细状态和事件<br /> kubectl describe deploy headlamp -n kube-system # 查看 Deployment 详细信息<br /> kubectl describe svc headlamp -n kube-system # 查看 Service 详细信息<br /> kubectl get events -n kube-system --sort-by=.metadata.creationTimestamp # 按时间排序查看命名空间事件<br /> kubectl get events -A --sort-by=.metadata.creationTimestamp # 查看全局事件并按时间排序<br /> kubectl logs headlamp-xxx-xxx -n kube-system # 查看 Pod 日志<br /> kubectl logs -f headlamp-xxx-xxx -n kube-system # 持续跟踪 Pod 日志<br /> kubectl logs headlamp-xxx-xxx -n kube-system -c headlamp # 查看指定容器日志<br /> kubectl logs headlamp-xxx-xxx -n kube-system --previous # 查看容器上一次崩溃前日志<br /> kubectl exec -it headlamp-xxx-xxx -n kube-system -- /bin/sh # 进入容器 shell<br /> kubectl exec -it headlamp-xxx-xxx -n kube-system -- /bin/bash # 进入容器 bash<br /> kubectl get pods -n kube-system # 先列出 Pod 再选择进入<br /> kubectl exec -it pod-name -n kube-system -- /bin/sh # 进入指定 Pod<br /> kubectl top pod -n kube-system # 查看 Pod CPU 和内存使用量<br /> kubectl top node # 查看节点资源使用量<br /> <br /> # -------------------------<br /> # 5 发布和重启相关<br /> # -------------------------<br /> kubectl rollout restart deploy headlamp -n kube-system # 滚动重启 Deployment<br /> kubectl rollout status deploy headlamp -n kube-system # 查看 Deployment 发布状态<br /> kubectl rollout history deploy headlamp -n kube-system # 查看 Deployment 发布历史<br /> kubectl rollout undo deploy headlamp -n kube-system # 回滚 Deployment 到上一版本<br /> kubectl scale deploy headlamp --replicas=3 -n kube-system # 调整副本数<br /> kubectl delete pod headlamp-xxx-xxx -n kube-system # 删除 Pod 让控制器自动重建<br /> <br /> # -------------------------<br /> # 6 网络和端口相关<br /> # -------------------------<br /> kubectl get svc -n kube-system # 查看命名空间下 Service<br /> kubectl port-forward pod/headlamp-xxx-xxx 8080:80 -n kube-system # 将本地 8080 转发到 Pod 的 80<br /> kubectl port-forward svc/headlamp 8080:80 -n kube-system # 将本地 8080 转发到 Service 的 80<br /> kubectl get endpoints headlamp -n kube-system # 查看 Service 后端 Endpoint<br /> kubectl run tmp-shell -it --rm --image=busybox -- /bin/sh # 临时启动调试 Pod<br /> nslookup kubernetes.default # 在调试容器中解析集群 DNS<br /> wget -qO- http://headlamp.kube-system.svc.cluster.local # 在调试容器中访问集群内部 Service<br /> <br /> # -------------------------<br /> # 7 配置和存储相关<br /> # -------------------------<br /> kubectl get configmap -n kube-system # 查看 ConfigMap<br /> kubectl get secret -n kube-system # 查看 Secret<br /> kubectl get pvc -A # 查看所有 PVC<br /> kubectl get pv # 查看所有 PV<br /> kubectl get nodes -o wide # 查看节点及详细信息<br /> kubectl describe node node-1 # 查看节点详细状态<br /> kubectl get deploy headlamp -n kube-system -o yaml # 查看实际生效的 Deployment YAML<br /> <br /> # -------------------------<br /> # 8 Helm 配合排障常用<br /> # -------------------------<br /> helm status headlamp -n kube-system # 查看 release 当前运行状态<br /> helm get values headlamp -n kube-system # 查看用户自定义 values<br /> helm get values headlamp -n kube-system -a # 查看合并后的全部 values<br /> helm get manifest headlamp -n kube-system # 查看 release 实际渲染出的 manifest<br /> helm get notes headlamp -n kube-system # 查看安装说明和访问提示<br /> kubectl get pod headlamp-xxx-xxx -n kube-system --show-labels # 查看 Pod 标签 判断所属 release<br /> kubectl get all -n kube-system -l app.kubernetes.io/instance=headlamp # 根据 Helm release 标签筛选整套资源<br /> <br /> # -------------------------<br /> # 9 最常用 20 个命令<br /> # -------------------------<br /> kubectl get pods -A # 查看所有命名空间 Pod<br /> kubectl get svc -A # 查看所有命名空间 Service<br /> kubectl get deploy -A # 查看所有命名空间 Deployment<br /> kubectl get all -n kube-system # 查看 kube-system 中常见资源<br /> kubectl get pods -o wide -n kube-system # 查看 Pod 详细信息<br /> kubectl describe pod pod-name -n kube-system # 查看 Pod 详情<br /> kubectl describe deploy deploy-name -n kube-system # 查看 Deployment 详情<br /> kubectl logs pod-name -n kube-system # 查看日志<br /> kubectl logs -f pod-name -n kube-system # 持续跟踪日志<br /> kubectl logs pod-name -n kube-system --previous # 查看上一次容器日志<br /> kubectl exec -it pod-name -n kube-system -- /bin/sh # 进入容器<br /> kubectl get events -n kube-system --sort-by=.metadata.creationTimestamp # 查看时间排序事件<br /> kubectl port-forward svc/service-name 8080:80 -n kube-system # 本地端口转发到 Service<br /> kubectl rollout restart deploy deploy-name -n kube-system # 重启 Deployment<br /> kubectl rollout status deploy deploy-name -n kube-system # 查看滚动发布状态<br /> kubectl scale deploy deploy-name --replicas=2 -n kube-system # 调整副本数<br /> helm list -A # 查看所有 Helm release<br /> helm status release-name -n kube-system # 查看 release 状态<br /> helm get values release-name -n kube-system -a # 查看 release 全部 values<br /> helm upgrade --install release-name repo/chart -n kube-system -f values.yaml # Helm 安装或升级<br /> <br /> # -------------------------<br /> # 10 实战排障流程<br /> # -------------------------<br /> helm status headlamp -n kube-system # 先检查 release 状态<br /> kubectl get all -n kube-system -l app.kubernetes.io/instance=headlamp # 查看 release 关联资源<br /> kubectl get pods -n kube-system -o wide # 查看 Pod 是否正常运行<br /> kubectl describe pod pod-name -n kube-system # 检查 Pod 事件和错误<br /> kubectl logs pod-name -n kube-system # 查看应用日志<br /> kubectl get svc -n kube-system # 查看 Service 是否创建成功<br /> kubectl describe svc headlamp -n kube-system # 查看 Service 配置详情<br /> kubectl get endpoints headlamp -n kube-system # 查看 Service 是否关联到后端 Pod<br /> kubectl port-forward svc/headlamp 8080:80 -n kube-system # 用本地转发验证服务本身是否正常<br /> <br /> # -------------------------<br /> # 11 常用别名<br /> # -------------------------<br /> alias k=kubectl # kubectl 简写<br /> alias kgp='kubectl get pods' # 快速查看 Pod<br /> alias kgs='kubectl get svc' # 快速查看 Service<br /> alias kgd='kubectl get deploy' # 快速查看 Deployment<br /> alias kdp='kubectl describe pod' # 快速查看 Pod 详情<br /> alias kdd='kubectl describe deploy' # 快速查看 Deployment 详情<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''12. Helm Chart 配置文件模板''' ==<br /> &lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> replicaCount: 1 # Pod 副本数. 单节点或测试环境常设为 1<br /> revisionHistoryLimit: 10 # Deployment 保留的历史版本数. 便于回滚<br /> minReadySeconds: 0 # Pod 就绪后保持多久才视为可用<br /> <br /> deploymentStrategy: # Deployment 更新策略<br /> type: RollingUpdate # 推荐 RollingUpdate. Recreate 会先删后建<br /> rollingUpdate:<br /> maxUnavailable: 25% # 滚动更新期间最大不可用比例<br /> maxSurge: 25% # 滚动更新期间可额外创建的副本比例<br /> <br /> image:<br /> registry: ghcr.io # 镜像仓库地址<br /> repository: headlamp-k8s/headlamp # 示例镜像名. 新容器可改为自己的镜像<br /> tag: &quot;&quot; # 镜像标签. 留空时通常使用 chart 默认 appVersion<br /> pullPolicy: IfNotPresent # 拉取策略. 常用 IfNotPresent 或 Always<br /> <br /> imagePullSecrets: [] # 私有仓库拉取密钥. 无需私仓时保持空数组<br /> <br /> nameOverride: &quot;&quot; # 覆盖 chart 名称的一部分. 一般不需要<br /> fullnameOverride: &quot;headlamp&quot; # 最终资源名. 示例中固定方便管理. 新项目可改<br /> namespaceOverride: &quot;&quot; # 覆盖命名空间. 一般更建议 helm -n 指定<br /> <br /> initContainers: # 初始化容器. 在主容器启动前执行<br /> - name: init-plugin-dir # 初始化容器名称<br /> image: busybox:1.36 # 使用轻量 busybox 镜像<br /> imagePullPolicy: IfNotPresent # initContainer 拉取策略<br /> command:<br /> - sh<br /> - -c<br /> - mkdir -p /headlamp/plugins &amp;&amp; chmod -R 755 /headlamp/plugins # 创建插件目录并赋权<br /> securityContext:<br /> runAsNonRoot: false # 初始化目录时通常允许 root 更省事. 严格环境可改<br /> allowPrivilegeEscalation: false # 禁止提权<br /> volumeMounts:<br /> - name: plugins-volume # 挂载插件卷以便初始化目录<br /> mountPath: /headlamp/plugins # 容器内插件目录路径<br /> <br /> extraContainers: [] # 额外 sidecar 容器. 例如日志采集或代理<br /> <br /> terminationGracePeriodSeconds: 30 # 优雅退出宽限期. 过短可能导致连接被硬切断<br /> hostNetwork: false # 是否使用宿主机网络. 一般保持 false<br /> dnsPolicy: ClusterFirst # DNS 策略. hostNetwork=true 时常配 ClusterFirstWithHostNet<br /> dnsConfig: {} # 自定义 DNS 配置. 需模板支持<br /> hostAliases: [] # 额外 hosts 映射. 仅少数场景使用<br /> <br /> config:<br /> inCluster: true # 集群内访问模式. Pod 通过 ServiceAccount 访问 K8s API<br /> inClusterContextName: &quot;main&quot; # 集群内上下文名称<br /> baseURL: &quot;&quot; # 子路径访问时填写如 /headlamp. 根路径保持空<br /> sessionTTL: 86400 # 登录会话有效期. 单位秒. 86400 = 24 小时<br /> <br /> oidc:<br /> secret:<br /> create: false # 是否由 chart 自动创建 OIDC Secret<br /> name: oidc # OIDC Secret 名称<br /> clientID: &quot;&quot; # OIDC 客户端 ID<br /> clientSecret: &quot;&quot; # OIDC 客户端密钥<br /> issuerURL: &quot;&quot; # OIDC 发行者地址<br /> scopes: &quot;&quot; # OIDC scopes<br /> callbackURL: &quot;&quot; # OIDC 回调地址<br /> validatorClientID: &quot;&quot; # Token 校验客户端 ID<br /> validatorIssuerURL: &quot;&quot; # Token 校验发行者地址<br /> useAccessToken: false # 是否使用 Access Token<br /> usePKCE: false # 是否启用 PKCE<br /> useCookie: false # 是否通过 Cookie 保存认证信息<br /> externalSecret:<br /> enabled: false # 是否使用外部 Secret<br /> name: &quot;&quot; # 外部 Secret 名称<br /> <br /> meUserInfoURL: &quot;&quot; # 用户信息接口地址. 未接入外部认证时可留空<br /> pluginsDir: &quot;/headlamp/plugins&quot; # 插件目录<br /> enableHelm: false # 最新 chart 默认值为 false. 仅需展示 Helm 信息时开启<br /> watchPlugins: false # 是否实时监听插件目录变化<br /> extraArgs: [] # 额外启动参数. 例如 -plugins-dir=/headlamp/plugins<br /> <br /> env: # 环境变量<br /> - name: TZ # 时区环境变量名称<br /> value: &quot;Asia/Shanghai&quot; # 时区设置<br /> <br /> envFrom: [] # 从 ConfigMap 或 Secret 批量导入环境变量. 需模板支持<br /> <br /> containerPorts: # 容器端口示例. 需模板支持<br /> - name: http # 端口名称. 多端口 Service 时建议显式命名<br /> containerPort: 4466 # 容器监听端口. 请按实际应用修改<br /> protocol: TCP # 协议. 通常 TCP<br /> <br /> livenessProbe: {} # 存活探针. K8S 原生支持 exec/httpGet/tcpSocket/grpc. 需模板支持<br /> readinessProbe: {} # 就绪探针. 控制是否加入 Service 端点. 需模板支持<br /> startupProbe: {} # 启动探针. 慢启动应用推荐配置. 需模板支持<br /> lifecycle: {} # 生命周期钩子. preStop/postStart. 需模板支持<br /> <br /> automountServiceAccountToken: true # 自动挂载 ServiceAccount Token. 集群内访问通常保持 true<br /> <br /> serviceAccount:<br /> create: true # 是否自动创建 ServiceAccount<br /> annotations: {} # ServiceAccount 注解<br /> name: &quot;&quot; # 最新 chart 默认空字符串. 留空时一般按 fullname 生成<br /> <br /> clusterRoleBinding:<br /> create: true # 是否自动创建 ClusterRoleBinding<br /> clusterRoleName: &quot;cluster-admin&quot; # 示例使用 cluster-admin. 生产环境建议改成最小权限角色<br /> annotations: {} # ClusterRoleBinding 注解<br /> <br /> deploymentAnnotations: {} # Deployment 注解<br /> podAnnotations: # Pod 注解. 可用于 sidecar 注入 监控抓取等<br /> kubectl.kubernetes.io/default-container: &quot;headlamp&quot; # kubectl exec/logs 默认容器提示. 非必须但更顺手<br /> <br /> podLabels:<br /> app.kubernetes.io/name: &quot;headlamp&quot; # 推荐使用标准标签<br /> app.kubernetes.io/component: &quot;web&quot; # 组件标签. 便于筛选和治理<br /> <br /> hostUsers: true # Pod 是否共享宿主用户命名空间. 设 false 可启用 user namespaces<br /> <br /> podSecurityContext:<br /> fsGroup: 101 # 卷文件组 ID. 便于挂载目录权限控制<br /> fsGroupChangePolicy: OnRootMismatch # 新版常用项. 仅在需要时递归改卷权限<br /> seccompProfile:<br /> type: RuntimeDefault # 推荐使用运行时默认 seccomp 配置<br /> <br /> securityContext:<br /> runAsNonRoot: true # 强制非 root 运行<br /> privileged: false # 不使用特权模式<br /> runAsUser: 100 # 容器运行用户 UID<br /> runAsGroup: 101 # 容器运行用户组 GID<br /> allowPrivilegeEscalation: false # 禁止提权<br /> readOnlyRootFilesystem: false # 需要更强约束时可设 true 并配 writable 卷<br /> capabilities:<br /> drop:<br /> - ALL # 建议默认移除全部 Linux capabilities<br /> <br /> service:<br /> annotations: {} # Service 注解<br /> type: NodePort # 暴露方式. 可选 ClusterIP / NodePort / LoadBalancer<br /> port: 80 # Service 端口<br /> targetPort: http # 目标端口. 建议引用命名端口便于变更<br /> appProtocol: http # 应用层协议提示. v1.20 稳定<br /> clusterIP: &quot;&quot; # ClusterIP 一般不手动指定<br /> # loadBalancerIP: &quot;&quot; # 该字段自 v1.24 起已废弃. 新环境不建议再依赖<br /> loadBalancerSourceRanges: [] # 限制允许访问的来源网段<br /> nodePort: 30080 # NodePort 固定端口. 浏览器可通过 NodeIP:30080 访问<br /> externalTrafficPolicy: Cluster # 对外流量策略. Local 可保留客户端源 IP<br /> internalTrafficPolicy: Cluster # 集群内流量策略. v1.26 稳定. Local 可优先本地端点<br /> sessionAffinity: None # 会话亲和性. 可选 None / ClientIP<br /> sessionAffinityConfig: {} # 会话亲和性高级配置. 需按需填写<br /> ipFamilyPolicy: SingleStack # 可选 SingleStack / PreferDualStack / RequireDualStack<br /> ipFamilies: [] # 双栈时可写 [IPv4, IPv6] 或 [IPv6, IPv4]<br /> trafficDistribution: PreferSameZone # v1.33 稳定. v1.35 支持 PreferSameZone / PreferSameNode<br /> <br /> volumeMounts:<br /> - name: plugins-volume # 插件卷名称<br /> mountPath: /headlamp/plugins # 容器内挂载路径<br /> <br /> # - name: kubeconfig-volume # 可选 kubeconfig 卷名称<br /> # mountPath: /home/headlamp/.config/Headlamp/kubeconfigs/config # 容器内 kubeconfig 文件路径<br /> # subPath: config # 将卷中的 config 文件挂载为单文件<br /> <br /> volumes:<br /> - name: plugins-volume # 卷名称. 需与 volumeMounts 对应<br /> hostPath:<br /> path: /data/headlamp/plugins # 宿主机目录. 等价于 Docker 左侧路径<br /> type: DirectoryOrCreate # 不存在时自动创建目录<br /> <br /> # - name: kubeconfig-volume # 可选 kubeconfig 卷<br /> # hostPath:<br /> # path: /data/headlamp/kubeconfigs # 宿主机 kubeconfig 所在目录<br /> # type: DirectoryOrCreate # 不存在时自动创建<br /> <br /> persistentVolumeClaim:<br /> enabled: false # 是否改用 PVC 持久化. 使用 hostPath 时通常设 false<br /> annotations: {} # PVC 注解<br /> accessModes: [] # PVC 访问模式. 如 ReadWriteOnce<br /> size: &quot;&quot; # PVC 大小. 如 5Gi<br /> storageClassName: &quot;&quot; # 存储类名称<br /> selector: {} # PVC 选择器<br /> volumeMode: &quot;&quot; # 卷模式. 如 Filesystem / Block<br /> dataSource: {} # 高级项. 可从快照或现有卷克隆. 需模板支持<br /> <br /> ingress:<br /> enabled: false # 是否启用 Ingress<br /> annotations: {} # Ingress 注解<br /> labels: {} # Ingress 标签<br /> ingressClassName: &quot;&quot; # IngressClass 名称. 替代旧注解 kubernetes.io/ingress.class<br /> hosts: [] # 域名和路径配置<br /> tls: [] # TLS 配置<br /> <br /> httpRoute:<br /> enabled: false # 是否启用 Gateway API 的 HTTPRoute<br /> annotations: {} # HTTPRoute 注解<br /> labels: {} # HTTPRoute 标签<br /> parentRefs: [] # 关联 Gateway. 启用时通常必填<br /> hostnames: [] # 绑定域名<br /> rules: [] # 路由规则. 未配置时通常走默认前缀路由<br /> <br /> resources: # 资源请求与限制<br /> requests:<br /> cpu: &quot;100m&quot; # 最低 CPU 请求<br /> memory: &quot;128Mi&quot; # 最低内存请求<br /> limits:<br /> cpu: &quot;500m&quot; # CPU 上限<br /> memory: &quot;512Mi&quot; # 内存上限<br /> <br /> nodeSelector:<br /> kubernetes.io/os: linux # 仅调度到 Linux 节点<br /> <br /> tolerations: [] # 容忍污点. 无特殊需求可留空<br /> affinity: {} # 亲和性规则. 无特殊需求可留空<br /> topologySpreadConstraints: # 拓扑分布约束. 新版 K8S 常用高可用配置<br /> # - maxSkew: 1 # 单个拓扑域允许的最大偏斜<br /> # topologyKey: topology.kubernetes.io/zone # 按可用区分布. 也可用 kubernetes.io/hostname<br /> # whenUnsatisfiable: ScheduleAnyway # 可选 DoNotSchedule / ScheduleAnyway<br /> # labelSelector:<br /> # matchLabels:<br /> # app.kubernetes.io/name: headlamp # 选取同类 Pod<br /> # matchLabelKeys: # v1.27 起 Beta. 可按 Pod 标签键自动匹配<br /> # - pod-template-hash<br /> # nodeAffinityPolicy: Honor # v1.26 起 Beta. 可选 Honor / Ignore<br /> # nodeTaintsPolicy: Ignore # v1.26 起 Beta. 可选 Honor / Ignore<br /> []<br /> <br /> priorityClassName: &quot;&quot; # 优先级类名称<br /> runtimeClassName: &quot;&quot; # 运行时类. 如 gvisor kata 等. 需模板支持<br /> <br /> pluginsManager:<br /> enabled: false # 是否启用插件管理 sidecar<br /> configFile: &quot;plugin.yml&quot; # 插件配置文件名<br /> configContent: &quot;&quot; # 插件配置内容<br /> baseImage: node:lts-alpine # 插件管理器基础镜像<br /> version: latest # 插件管理器版本<br /> volumeMounts: [] # 插件管理器额外挂载<br /> securityContext: {} # 插件管理器安全上下文<br /> <br /> podDisruptionBudget:<br /> enabled: false # 是否启用 PDB<br /> minAvailable: 0 # 最少可用副本数<br /> maxUnavailable: null # 最大不可用副本数<br /> unhealthyPodEvictionPolicy: null # 不健康 Pod 驱逐策略. 新集群可按需设置<br /> <br /> extraManifests: [] # 附加资源清单. 可内嵌额外 K8s YAML<br /> <br /> &lt;/syntaxhighlight&gt;'''参考:'''<br /> * [https://kubernetes.io/docs/setup/production-environment/tools/kubeadm/troubleshooting-kubeadm/ kubeadm 故障排除]<br /> * [https://headlamp.dev/plugins Headlamp Plugins]<br /> * [https://helm.sh/zh/docs/chart_template_guide/getting_started/#charts Helm charts]</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E6%90%AD%E5%BB%BA_Kubernetes_%E4%B8%80%E7%AB%99%E5%BC%8F%E5%B9%B3%E5%8F%B0&diff=1896 2026-04-12T20:23:03Z

<p>Koud Wind：​</p> <hr /> <div>----<br /> <br /> == 1. 什么是 Kubernetes / k8s ==<br /> k8s 也就是 Kubernetes 是一个面向容器化应用的自动化管理平台, 核心职责是管理程序运行的环境, 包括 &lt;code&gt;部署应用/调度资源/维护副本/处理故障/对外暴露服务&lt;/code&gt;等等...<br /> <br /> 对于初学者来说可以把它理解成一个专门管理容器集群的平台, 当你只有一个容器时也许还感觉不到它的必要性<br /> <br /> 但当你需要同时运行多个服务, 需要让服务彼此通信, 需要保证应用异常后自动恢复, 甚至需要后续扩容到多台机器时 Kubernetes 的价值就会非常明显<br /> <br /> 而本文要做的事情, 就是在一台主机上先搭建一个最小可运行的 Kubernetes 环境, 借助这个过程去理解 Kubernetes 是怎样从零开始被组织起来的<br /> <br /> 为了易读性, 在这里会将 &lt;code&gt;Kubernetes&lt;/code&gt; 简称为 &lt;code&gt;k8s&lt;/code&gt;<br /> <br /> == 2. 环境说明 ==<br /> 运行 kubeadm 集群建议 control plane 节点至少具备 &lt;code&gt;2 Core CPU&lt;/code&gt; 和 &lt;code&gt;2 GiB&lt;/code&gt; 运存, 推荐购买搬瓦工的 [https://bandwagonhost.com/cart.php?a=add&amp;pid=166 ECOMMERCE SLA] 套餐<br /> <br /> * 操作系统以 Debian13 为例<br /> * 主机数量 1 台<br /> * 使用 root 用户<br /> * 主机承担 control plane 和 workload 调度<br /> * k8s pod网段为 &lt;code&gt;10.10.0.0/16&lt;/code&gt; , service网段为 &lt;code&gt;192.168.0.0/16&lt;/code&gt;<br /> * 使用 &lt;code&gt;Headlamp&lt;/code&gt; 管理k8s pods<br /> <br /> == '''3. 前置准备''' ==<br /> <br /> ==== 3.1 加载模块并启用转发 ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> cat &lt;&lt;'EOF' | tee /etc/modules-load.d/k8s.conf<br /> overlay<br /> br_netfilter<br /> EOF<br /> <br /> modprobe overlay<br /> modprobe br_netfilter<br /> <br /> cat &lt;&lt;'EOF' | tee /etc/sysctl.d/k8s.conf<br /> net.bridge.bridge-nf-call-iptables = 1<br /> net.bridge.bridge-nf-call-ip6tables = 1<br /> net.ipv4.ip_forward = 1<br /> net.ipv6.conf.all.forwarding = 1<br /> EOF<br /> sysctl --system<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.2 配置 hosts ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> tee -a /etc/hosts &gt; /dev/null &lt;&lt;'EOF'<br /> 127.0.0.1 k8s-master<br /> EOF<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.3 关闭 swap (可选) ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> swapoff -a<br /> sed -ri '/\sswap\s/s/^/#/' /etc/fstab<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''4. 安装 containerd''' ==<br /> 更新软件源并安装 containerd 与 其他核心组件&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> apt update<br /> apt install -y containerd apt-transport-https ca-certificates curl gpg<br /> &lt;/syntaxhighlight&gt;生成默认配置文件并修改配置文件, 这里为了防止后续可能报错, 修改了 &lt;code&gt;bin_dir&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /etc/containerd<br /> containerd config default | tee /etc/containerd/config.toml &gt; /dev/null<br /> sed -i 's#bin_dir = &quot;/usr/lib/cni&quot;#bin_dir = &quot;/opt/cni/bin&quot;#' /etc/containerd/config.toml<br /> sed -i 's/SystemdCgroup = false/SystemdCgroup = true/' /etc/containerd/config.toml&lt;/syntaxhighlight&gt;重启并设置自启&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> systemctl daemon-reload<br /> systemctl restart containerd<br /> systemctl enable containerd<br /> systemctl status containerd<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''5. 安装 kubeadm kubelet kubectl''' ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p -m 755 /etc/apt/keyrings<br /> curl -fsSL https://pkgs.k8s.io/core:/stable:/v1.35/deb/Release.key | gpg --dearmor -o /etc/apt/keyrings/kubernetes-apt-keyring.gpg<br /> echo 'deb [signed-by=/etc/apt/keyrings/kubernetes-apt-keyring.gpg] https://pkgs.k8s.io/core:/stable:/v1.35/deb/ /' | tee /etc/apt/sources.list.d/kubernetes.list<br /> apt-get update<br /> apt-get install -y kubelet kubeadm kubectl<br /> apt-mark hold kubelet kubeadm kubectl<br /> systemctl enable --now kubelet<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm version<br /> kubectl version --client<br /> kubelet --version<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''6. 初始化单节点 k8s 集群''' ==<br /> 新建一个初始化配置&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /main/k8s<br /> nano /main/k8s/kubeadm-config.yaml&lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: InitConfiguration<br /> nodeRegistration:<br /> name: master<br /> criSocket: &quot;unix:///run/containerd/containerd.sock&quot;<br /> localAPIEndpoint:<br /> advertiseAddress: &lt;你的公网主机IP&gt;<br /> bindPort: 6443<br /> <br /> ---<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: ClusterConfiguration<br /> kubernetesVersion: v1.35.0<br /> networking:<br /> podSubnet: 10.10.0.0/16<br /> serviceSubnet: 192.168.0.0/16<br /> dnsDomain: cluster.local<br /> <br /> # 若开启了Swap需要解除此注释!<br /> #---<br /> #apiVersion: kubelet.config.k8s.io/v1beta1<br /> #kind: KubeletConfiguration<br /> #cgroupDriver: systemd<br /> #failSwapOn: false<br /> #memorySwap:<br /> # swapBehavior: LimitedSwap<br /> <br /> <br /> &lt;/syntaxhighlight&gt;开始初始化&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm init --config /main/k8s/kubeadm-config.yaml<br /> &lt;/syntaxhighlight&gt;初始化完成后配置 kubectl&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p $HOME/.kube<br /> cp -i /etc/kubernetes/admin.conf $HOME/.kube/config<br /> chown &quot;$(id -u)&quot;:&quot;$(id -g)&quot; $HOME/.kube/config<br /> &lt;/syntaxhighlight&gt;因为我们是单节点, 需要移除 control plane 污点, 除非多台主机节点&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl taint nodes --all node-role.kubernetes.io/control-plane-<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl get nodes<br /> kubectl get pods -A&lt;/syntaxhighlight&gt;这时 master 大概率是 &lt;code&gt;NotReady&lt;/code&gt; 状态, 目前 CNI 还没有安装, CoreDNS 也通常不会处于 &lt;code&gt;Running&lt;/code&gt; 状态<br /> <br /> == '''7. 安装 Helm并设置补全''' ==<br /> 安装 Helm&lt;syntaxhighlight lang=&quot;bash&quot;&gt;curl -fsSL -o get_helm.sh https://raw.githubusercontent.com/helm/helm/main/scripts/get-helm-4<br /> chmod 700 get_helm.sh<br /> ./get_helm.sh<br /> helm version&lt;/syntaxhighlight&gt;<br /> <br /> ===== '''命令补全:''' =====<br /> <br /> * zsh&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion zsh)' &gt;&gt; ~/.zshrc<br /> echo 'source &lt;(helm completion zsh)' &gt;&gt; ~/.zshrc<br /> source ~/.zshrc<br /> &lt;/syntaxhighlight&gt;<br /> * bash&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion bash)' &gt;&gt; ~/.bashrc<br /> echo 'source &lt;(helm completion bash)' &gt;&gt; ~/.bashrc<br /> source ~/.bashrc<br /> &lt;/syntaxhighlight&gt;<br /> * fish&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl completion fish | sudo tee /etc/fish/completions/kubectl.fish &gt; /dev/null<br /> helm completion fish | sudo tee /etc/fish/completions/helm.fish &gt; /dev/null<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''8. 安装 CNI 插件''' ==<br /> 在资源紧凑的主机中我更推荐使用 &lt;code&gt;Flannel&lt;/code&gt; , 这里也会提供 &lt;code&gt;Calico&lt;/code&gt; 与 &lt;code&gt;Cilium&lt;/code&gt; 的安装, 根据应用场景自行选择其一<br /> <br /> 资源占用: &lt;code&gt;Flannel&lt;/code&gt; &lt; &lt;code&gt;Calico&lt;/code&gt; &lt; &lt;code&gt;Cilium&lt;/code&gt;<br /> <br /> ==== 8.1 Flannel ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl create namespace kube-flannel<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/enforce=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/audit=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/warn=privileged<br /> helm upgrade --install flannel -n kube-flannel --create-namespace --set podCidr=10.10.0.0/16 https://github.com/flannel-io/flannel/releases/download/v0.28.1/flannel.tgz&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.2 Calico ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;helm repo add projectcalico https://docs.tigera.io/calico/charts<br /> helm repo update<br /> kubectl create namespace tigera-operator<br /> helm upgrade --install calico projectcalico/tigera-operator --version v3.31.4 --namespace tigera-operator --set installation.calicoNetwork.ipPools[0].cidr=10.10.0.0/16 --set installation.calicoNetwork.ipPools[0].encapsulation=VXLAN&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.3 Cilium ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add cilium https://helm.cilium.io/<br /> helm repo update<br /> helm upgrade --install cilium cilium/cilium --version 1.19.1 --namespace kube-system<br /> &lt;/syntaxhighlight&gt;'''检查CNI'''&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;节点状态从 &lt;code&gt;NotReady&lt;/code&gt; 变为 &lt;code&gt;Ready&lt;/code&gt; , CoreDNS 进入 &lt;code&gt;Running&lt;/code&gt; 状态, '''至此, k8s 已经初步部署完成'''<br /> <br /> == 9. Headlamp (可选) ==<br /> <br /> ==== 9.1 什么是 '''&lt;code&gt;Headlamp&lt;/code&gt;''' ====<br /> Headlamp是一个面向 k8s 的图形化管理界面, 它的目标是用更直观的方式帮助用户查看和管理集群资源, 例如节点/Pod/Deployment/Service/ConfigMap/Secret 等常见对象, 都可以通过 Web 页面进行浏览和操作<br /> <br /> 它定义为一个易用且可扩展的 Kubernetes WebUI 并强调它既可以作为集群内 Web 应用运行, 也可以作为桌面应用使用, 和很多传统 Dashboard 相比<br /> <br /> Headlamp 的特点主要有三点:<br /> <br /> # 界面更现代 更偏向日常运维与开发使用<br /> # 它支持基于 Kubernetes RBAC 的权限控制 用户能看到和操作的资源会自动受当前权限约束<br /> # 它具备插件扩展能力 可以根据团队需求定制界面和功能<br /> <br /> 我个人认为可以帮助初学者摆脱只看命令行输出的方式, 更直观地观察集群中资源的创建/状态变化/日志/配置情况, 因此很适合作为 k8s 学习和演示环境中的可视化入口. <br /> <br /> ==== 9.2 开始安装 ====<br /> 先新建一个 &lt;code&gt;values.yml&lt;/code&gt; 文件&lt;syntaxhighlight&gt;<br /> mkdir -p /main/k8s/headlamp<br /> nano /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> replicaCount: 1<br /> <br /> image:<br /> registry: ghcr.io<br /> repository: headlamp-k8s/headlamp<br /> tag: &quot;&quot;<br /> pullPolicy: IfNotPresent<br /> <br /> nameOverride: &quot;&quot;<br /> fullnameOverride: &quot;headlamp&quot;<br /> namespaceOverride: &quot;&quot;<br /> <br /> <br /> service:<br /> type: NodePort<br /> port: 80<br /> # 宿主机开放端口<br /> nodePort: 30080<br /> <br /> <br /> env:<br /> - name: TZ<br /> value: &quot;Asia/Shanghai&quot;<br /> <br /> config:<br /> pluginsDir: /headlamp/plugins<br /> <br /> volumes:<br /> - name: plugins-volume<br /> hostPath:<br /> path: /main/k8s/headlamp/plugins<br /> type: DirectoryOrCreate<br /> <br /> volumeMounts:<br /> - name: plugins-volume<br /> mountPath: /headlamp/plugins<br /> <br /> <br /> resources:<br /> requests:<br /> cpu: 100m<br /> memory: 128Mi<br /> limits:<br /> cpu: 500m<br /> memory: 512Mi<br /> <br /> &lt;/syntaxhighlight&gt;用 Helm 安装&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add headlamp https://kubernetes-sigs.github.io/headlamp/<br /> helm repo update<br /> helm upgrade --install headlamp headlamp/headlamp -n headlamp --create-namespace -f /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;通过开放的端口访问到 Headlamp, 初次加载需要等待一会, 之后需要输入 &lt;code&gt;token&lt;/code&gt;, 使用命令生成&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl create token headlamp --namespace headlamp --duration 168h<br /> &lt;/syntaxhighlight&gt;若不通则进行检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 9.3 查看资源使用概览 ====<br /> Headlamp中各种资源显示, 需要依赖 &lt;code&gt;metrics-server&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add metrics-server https://kubernetes-sigs.github.io/metrics-server/<br /> helm repo update<br /> helm upgrade --install metrics-server metrics-server/metrics-server -n kube-system --set &quot;args[0]=--kubelet-insecure-tls&quot;<br /> &lt;/syntaxhighlight&gt;安装好后就可以正常显示资源占用情况<br /> <br /> == 10. 常见问题排查 ==<br /> <br /> ==== 10.1 Flannel 启动失败 ====<br /> 优先检查这几个点, Flannel 官方 README 明确指出 它依赖 &lt;code&gt;br_netfilter&lt;/code&gt; 另外它默认使用 &lt;code&gt;portmap&lt;/code&gt; 作为 CNI 网络插件的一部分 并要求相关 CNI 二进制位于 &lt;code&gt;/opt/cni/bin&lt;/code&gt; <br /> <br /> ==== 10.2 Headlamp 页面能打开但无法登录 ====<br /> 重点检查<br /> <br /> * token 是否复制完整<br /> * ServiceAccount 是否创建在 &lt;code&gt;kube-system&lt;/code&gt;<br /> * ClusterRoleBinding 是否绑定成功<br /> * Headlamp 是否真的暴露成 NodePort<br /> <br /> ==== 10.3 Pod 无法联网 ====<br /> 重点检查<br /> <br /> * &lt;code&gt;kubeadm init&lt;/code&gt; 的 &lt;code&gt;--pod-network-cidr&lt;/code&gt;<br /> * Flannel Chart 的 &lt;code&gt;podCidr&lt;/code&gt;<br /> * 主机自身网段是否与 Pod 网段冲突<br /> <br /> Kubernetes 官方明确提醒 Pod network 不应与宿主机网络重叠 否则容易出现网络异常<br /> <br /> == '''11. 常用命令''' ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot; line=&quot;1&quot;&gt;<br /> # -------------------------<br /> # 1 集群和命名空间<br /> # -------------------------<br /> kubectl config current-context # 查看当前 kubeconfig 上下文<br /> kubectl config get-contexts # 查看所有可用上下文<br /> kubectl config use-context my-cluster # 切换到指定集群上下文<br /> kubectl get ns # 查看所有命名空间<br /> kubectl get pods -n kube-system # 查看指定命名空间中的 Pod<br /> kubectl config set-context --current --namespace=default # 设置当前上下文默认命名空间<br /> <br /> # -------------------------<br /> # 2 Helm 安装和版本管理<br /> # -------------------------<br /> helm repo add bitnami https://charts.bitnami.com/bitnami # 添加 Helm 仓库<br /> helm repo update # 更新 Helm 仓库索引<br /> helm search repo nginx # 在 Helm 仓库中搜索 chart<br /> helm install my-nginx bitnami/nginx # 安装一个 Helm release<br /> helm install my-nginx bitnami/nginx -n web --create-namespace # 安装到指定命名空间 不存在则创建<br /> helm install headlamp headlamp/headlamp -n kube-system -f values.yaml # 使用 values 文件安装 release<br /> helm upgrade headlamp headlamp/headlamp -n kube-system -f values.yaml # 升级已有 release<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml # 不存在则安装 存在则升级<br /> helm list -A # 查看所有命名空间中的 Helm release<br /> helm status headlamp -n kube-system # 查看某个 release 当前状态<br /> helm history headlamp -n kube-system # 查看 release 历史版本<br /> helm rollback headlamp 2 -n kube-system # 回滚到指定 revision<br /> helm uninstall headlamp -n kube-system # 卸载 release<br /> helm show values headlamp/headlamp # 查看 chart 默认 values<br /> helm template headlamp headlamp/headlamp -n kube-system -f values.yaml # 本地渲染模板 不实际安装<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml --dry-run # 试运行安装或升级<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml --dry-run --debug # 试运行并输出详细调试信息<br /> <br /> # -------------------------<br /> # 3 常用资源查看<br /> # -------------------------<br /> kubectl get pods # 查看当前命名空间的 Pod<br /> kubectl get pods -o wide # 查看 Pod 并显示节点 IP 等更多信息<br /> kubectl get pods -w # 持续监听 Pod 状态变化<br /> kubectl get deploy # 查看 Deployment<br /> kubectl get svc # 查看 Service<br /> kubectl get ds # 查看 DaemonSet<br /> kubectl get sts # 查看 StatefulSet<br /> kubectl get ingress # 查看 Ingress<br /> kubectl get all -n kube-system # 查看命名空间下常见资源<br /> kubectl get pods -l app.kubernetes.io/name=headlamp -n kube-system # 根据标签筛选 Pod<br /> kubectl get deploy headlamp -n kube-system -o yaml # 查看 Deployment 的完整 YAML<br /> kubectl get svc headlamp -n kube-system -o wide # 查看 Service 详细信息<br /> <br /> # -------------------------<br /> # 4 排障常用<br /> # -------------------------<br /> kubectl describe pod headlamp-xxx-xxx -n kube-system # 查看 Pod 详细状态和事件<br /> kubectl describe deploy headlamp -n kube-system # 查看 Deployment 详细信息<br /> kubectl describe svc headlamp -n kube-system # 查看 Service 详细信息<br /> kubectl get events -n kube-system --sort-by=.metadata.creationTimestamp # 按时间排序查看命名空间事件<br /> kubectl get events -A --sort-by=.metadata.creationTimestamp # 查看全局事件并按时间排序<br /> kubectl logs headlamp-xxx-xxx -n kube-system # 查看 Pod 日志<br /> kubectl logs -f headlamp-xxx-xxx -n kube-system # 持续跟踪 Pod 日志<br /> kubectl logs headlamp-xxx-xxx -n kube-system -c headlamp # 查看指定容器日志<br /> kubectl logs headlamp-xxx-xxx -n kube-system --previous # 查看容器上一次崩溃前日志<br /> kubectl exec -it headlamp-xxx-xxx -n kube-system -- /bin/sh # 进入容器 shell<br /> kubectl exec -it headlamp-xxx-xxx -n kube-system -- /bin/bash # 进入容器 bash<br /> kubectl get pods -n kube-system # 先列出 Pod 再选择进入<br /> kubectl exec -it pod-name -n kube-system -- /bin/sh # 进入指定 Pod<br /> kubectl top pod -n kube-system # 查看 Pod CPU 和内存使用量<br /> kubectl top node # 查看节点资源使用量<br /> <br /> # -------------------------<br /> # 5 发布和重启相关<br /> # -------------------------<br /> kubectl rollout restart deploy headlamp -n kube-system # 滚动重启 Deployment<br /> kubectl rollout status deploy headlamp -n kube-system # 查看 Deployment 发布状态<br /> kubectl rollout history deploy headlamp -n kube-system # 查看 Deployment 发布历史<br /> kubectl rollout undo deploy headlamp -n kube-system # 回滚 Deployment 到上一版本<br /> kubectl scale deploy headlamp --replicas=3 -n kube-system # 调整副本数<br /> kubectl delete pod headlamp-xxx-xxx -n kube-system # 删除 Pod 让控制器自动重建<br /> <br /> # -------------------------<br /> # 6 网络和端口相关<br /> # -------------------------<br /> kubectl get svc -n kube-system # 查看命名空间下 Service<br /> kubectl port-forward pod/headlamp-xxx-xxx 8080:80 -n kube-system # 将本地 8080 转发到 Pod 的 80<br /> kubectl port-forward svc/headlamp 8080:80 -n kube-system # 将本地 8080 转发到 Service 的 80<br /> kubectl get endpoints headlamp -n kube-system # 查看 Service 后端 Endpoint<br /> kubectl run tmp-shell -it --rm --image=busybox -- /bin/sh # 临时启动调试 Pod<br /> nslookup kubernetes.default # 在调试容器中解析集群 DNS<br /> wget -qO- http://headlamp.kube-system.svc.cluster.local # 在调试容器中访问集群内部 Service<br /> <br /> # -------------------------<br /> # 7 配置和存储相关<br /> # -------------------------<br /> kubectl get configmap -n kube-system # 查看 ConfigMap<br /> kubectl get secret -n kube-system # 查看 Secret<br /> kubectl get pvc -A # 查看所有 PVC<br /> kubectl get pv # 查看所有 PV<br /> kubectl get nodes -o wide # 查看节点及详细信息<br /> kubectl describe node node-1 # 查看节点详细状态<br /> kubectl get deploy headlamp -n kube-system -o yaml # 查看实际生效的 Deployment YAML<br /> <br /> # -------------------------<br /> # 8 Helm 配合排障常用<br /> # -------------------------<br /> helm status headlamp -n kube-system # 查看 release 当前运行状态<br /> helm get values headlamp -n kube-system # 查看用户自定义 values<br /> helm get values headlamp -n kube-system -a # 查看合并后的全部 values<br /> helm get manifest headlamp -n kube-system # 查看 release 实际渲染出的 manifest<br /> helm get notes headlamp -n kube-system # 查看安装说明和访问提示<br /> kubectl get pod headlamp-xxx-xxx -n kube-system --show-labels # 查看 Pod 标签 判断所属 release<br /> kubectl get all -n kube-system -l app.kubernetes.io/instance=headlamp # 根据 Helm release 标签筛选整套资源<br /> <br /> # -------------------------<br /> # 9 最常用 20 个命令<br /> # -------------------------<br /> kubectl get pods -A # 查看所有命名空间 Pod<br /> kubectl get svc -A # 查看所有命名空间 Service<br /> kubectl get deploy -A # 查看所有命名空间 Deployment<br /> kubectl get all -n kube-system # 查看 kube-system 中常见资源<br /> kubectl get pods -o wide -n kube-system # 查看 Pod 详细信息<br /> kubectl describe pod pod-name -n kube-system # 查看 Pod 详情<br /> kubectl describe deploy deploy-name -n kube-system # 查看 Deployment 详情<br /> kubectl logs pod-name -n kube-system # 查看日志<br /> kubectl logs -f pod-name -n kube-system # 持续跟踪日志<br /> kubectl logs pod-name -n kube-system --previous # 查看上一次容器日志<br /> kubectl exec -it pod-name -n kube-system -- /bin/sh # 进入容器<br /> kubectl get events -n kube-system --sort-by=.metadata.creationTimestamp # 查看时间排序事件<br /> kubectl port-forward svc/service-name 8080:80 -n kube-system # 本地端口转发到 Service<br /> kubectl rollout restart deploy deploy-name -n kube-system # 重启 Deployment<br /> kubectl rollout status deploy deploy-name -n kube-system # 查看滚动发布状态<br /> kubectl scale deploy deploy-name --replicas=2 -n kube-system # 调整副本数<br /> helm list -A # 查看所有 Helm release<br /> helm status release-name -n kube-system # 查看 release 状态<br /> helm get values release-name -n kube-system -a # 查看 release 全部 values<br /> helm upgrade --install release-name repo/chart -n kube-system -f values.yaml # Helm 安装或升级<br /> <br /> # -------------------------<br /> # 10 实战排障流程<br /> # -------------------------<br /> helm status headlamp -n kube-system # 先检查 release 状态<br /> kubectl get all -n kube-system -l app.kubernetes.io/instance=headlamp # 查看 release 关联资源<br /> kubectl get pods -n kube-system -o wide # 查看 Pod 是否正常运行<br /> kubectl describe pod pod-name -n kube-system # 检查 Pod 事件和错误<br /> kubectl logs pod-name -n kube-system # 查看应用日志<br /> kubectl get svc -n kube-system # 查看 Service 是否创建成功<br /> kubectl describe svc headlamp -n kube-system # 查看 Service 配置详情<br /> kubectl get endpoints headlamp -n kube-system # 查看 Service 是否关联到后端 Pod<br /> kubectl port-forward svc/headlamp 8080:80 -n kube-system # 用本地转发验证服务本身是否正常<br /> <br /> # -------------------------<br /> # 11 常用别名<br /> # -------------------------<br /> alias k=kubectl # kubectl 简写<br /> alias kgp='kubectl get pods' # 快速查看 Pod<br /> alias kgs='kubectl get svc' # 快速查看 Service<br /> alias kgd='kubectl get deploy' # 快速查看 Deployment<br /> alias kdp='kubectl describe pod' # 快速查看 Pod 详情<br /> alias kdd='kubectl describe deploy' # 快速查看 Deployment 详情<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''12. Helm Chart 配置文件模板''' ==<br /> &lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> replicaCount: 1 # Pod 副本数. 单节点或测试环境常设为 1<br /> revisionHistoryLimit: 10 # Deployment 保留的历史版本数. 便于回滚<br /> minReadySeconds: 0 # Pod 就绪后保持多久才视为可用<br /> <br /> deploymentStrategy: # Deployment 更新策略<br /> type: RollingUpdate # 推荐 RollingUpdate. Recreate 会先删后建<br /> rollingUpdate:<br /> maxUnavailable: 25% # 滚动更新期间最大不可用比例<br /> maxSurge: 25% # 滚动更新期间可额外创建的副本比例<br /> <br /> image:<br /> registry: ghcr.io # 镜像仓库地址<br /> repository: headlamp-k8s/headlamp # 示例镜像名. 新容器可改为自己的镜像<br /> tag: &quot;&quot; # 镜像标签. 留空时通常使用 chart 默认 appVersion<br /> pullPolicy: IfNotPresent # 拉取策略. 常用 IfNotPresent 或 Always<br /> <br /> imagePullSecrets: [] # 私有仓库拉取密钥. 无需私仓时保持空数组<br /> <br /> nameOverride: &quot;&quot; # 覆盖 chart 名称的一部分. 一般不需要<br /> fullnameOverride: &quot;headlamp&quot; # 最终资源名. 示例中固定方便管理. 新项目可改<br /> namespaceOverride: &quot;&quot; # 覆盖命名空间. 一般更建议 helm -n 指定<br /> <br /> initContainers: # 初始化容器. 在主容器启动前执行<br /> - name: init-plugin-dir # 初始化容器名称<br /> image: busybox:1.36 # 使用轻量 busybox 镜像<br /> imagePullPolicy: IfNotPresent # initContainer 拉取策略<br /> command:<br /> - sh<br /> - -c<br /> - mkdir -p /headlamp/plugins &amp;&amp; chmod -R 755 /headlamp/plugins # 创建插件目录并赋权<br /> securityContext:<br /> runAsNonRoot: false # 初始化目录时通常允许 root 更省事. 严格环境可改<br /> allowPrivilegeEscalation: false # 禁止提权<br /> volumeMounts:<br /> - name: plugins-volume # 挂载插件卷以便初始化目录<br /> mountPath: /headlamp/plugins # 容器内插件目录路径<br /> <br /> extraContainers: [] # 额外 sidecar 容器. 例如日志采集或代理<br /> <br /> terminationGracePeriodSeconds: 30 # 优雅退出宽限期. 过短可能导致连接被硬切断<br /> hostNetwork: false # 是否使用宿主机网络. 一般保持 false<br /> dnsPolicy: ClusterFirst # DNS 策略. hostNetwork=true 时常配 ClusterFirstWithHostNet<br /> dnsConfig: {} # 自定义 DNS 配置. 需模板支持<br /> hostAliases: [] # 额外 hosts 映射. 仅少数场景使用<br /> <br /> config:<br /> inCluster: true # 集群内访问模式. Pod 通过 ServiceAccount 访问 K8s API<br /> inClusterContextName: &quot;main&quot; # 集群内上下文名称<br /> baseURL: &quot;&quot; # 子路径访问时填写如 /headlamp. 根路径保持空<br /> sessionTTL: 86400 # 登录会话有效期. 单位秒. 86400 = 24 小时<br /> <br /> oidc:<br /> secret:<br /> create: false # 是否由 chart 自动创建 OIDC Secret<br /> name: oidc # OIDC Secret 名称<br /> clientID: &quot;&quot; # OIDC 客户端 ID<br /> clientSecret: &quot;&quot; # OIDC 客户端密钥<br /> issuerURL: &quot;&quot; # OIDC 发行者地址<br /> scopes: &quot;&quot; # OIDC scopes<br /> callbackURL: &quot;&quot; # OIDC 回调地址<br /> validatorClientID: &quot;&quot; # Token 校验客户端 ID<br /> validatorIssuerURL: &quot;&quot; # Token 校验发行者地址<br /> useAccessToken: false # 是否使用 Access Token<br /> usePKCE: false # 是否启用 PKCE<br /> useCookie: false # 是否通过 Cookie 保存认证信息<br /> externalSecret:<br /> enabled: false # 是否使用外部 Secret<br /> name: &quot;&quot; # 外部 Secret 名称<br /> <br /> meUserInfoURL: &quot;&quot; # 用户信息接口地址. 未接入外部认证时可留空<br /> pluginsDir: &quot;/headlamp/plugins&quot; # 插件目录<br /> enableHelm: false # 最新 chart 默认值为 false. 仅需展示 Helm 信息时开启<br /> watchPlugins: false # 是否实时监听插件目录变化<br /> extraArgs: [] # 额外启动参数. 例如 -plugins-dir=/headlamp/plugins<br /> <br /> env: # 环境变量<br /> - name: TZ # 时区环境变量名称<br /> value: &quot;Asia/Shanghai&quot; # 时区设置<br /> <br /> envFrom: [] # 从 ConfigMap 或 Secret 批量导入环境变量. 需模板支持<br /> <br /> containerPorts: # 容器端口示例. 需模板支持<br /> - name: http # 端口名称. 多端口 Service 时建议显式命名<br /> containerPort: 4466 # 容器监听端口. 请按实际应用修改<br /> protocol: TCP # 协议. 通常 TCP<br /> <br /> livenessProbe: {} # 存活探针. K8S 原生支持 exec/httpGet/tcpSocket/grpc. 需模板支持<br /> readinessProbe: {} # 就绪探针. 控制是否加入 Service 端点. 需模板支持<br /> startupProbe: {} # 启动探针. 慢启动应用推荐配置. 需模板支持<br /> lifecycle: {} # 生命周期钩子. preStop/postStart. 需模板支持<br /> <br /> automountServiceAccountToken: true # 自动挂载 ServiceAccount Token. 集群内访问通常保持 true<br /> <br /> serviceAccount:<br /> create: true # 是否自动创建 ServiceAccount<br /> annotations: {} # ServiceAccount 注解<br /> name: &quot;&quot; # 最新 chart 默认空字符串. 留空时一般按 fullname 生成<br /> <br /> clusterRoleBinding:<br /> create: true # 是否自动创建 ClusterRoleBinding<br /> clusterRoleName: &quot;cluster-admin&quot; # 示例使用 cluster-admin. 生产环境建议改成最小权限角色<br /> annotations: {} # ClusterRoleBinding 注解<br /> <br /> deploymentAnnotations: {} # Deployment 注解<br /> podAnnotations: # Pod 注解. 可用于 sidecar 注入 监控抓取等<br /> kubectl.kubernetes.io/default-container: &quot;headlamp&quot; # kubectl exec/logs 默认容器提示. 非必须但更顺手<br /> <br /> podLabels:<br /> app.kubernetes.io/name: &quot;headlamp&quot; # 推荐使用标准标签<br /> app.kubernetes.io/component: &quot;web&quot; # 组件标签. 便于筛选和治理<br /> <br /> hostUsers: true # Pod 是否共享宿主用户命名空间. 设 false 可启用 user namespaces<br /> <br /> podSecurityContext:<br /> fsGroup: 101 # 卷文件组 ID. 便于挂载目录权限控制<br /> fsGroupChangePolicy: OnRootMismatch # 新版常用项. 仅在需要时递归改卷权限<br /> seccompProfile:<br /> type: RuntimeDefault # 推荐使用运行时默认 seccomp 配置<br /> <br /> securityContext:<br /> runAsNonRoot: true # 强制非 root 运行<br /> privileged: false # 不使用特权模式<br /> runAsUser: 100 # 容器运行用户 UID<br /> runAsGroup: 101 # 容器运行用户组 GID<br /> allowPrivilegeEscalation: false # 禁止提权<br /> readOnlyRootFilesystem: false # 需要更强约束时可设 true 并配 writable 卷<br /> capabilities:<br /> drop:<br /> - ALL # 建议默认移除全部 Linux capabilities<br /> <br /> service:<br /> annotations: {} # Service 注解<br /> type: NodePort # 暴露方式. 可选 ClusterIP / NodePort / LoadBalancer<br /> port: 80 # Service 端口<br /> targetPort: http # 目标端口. 建议引用命名端口便于变更<br /> appProtocol: http # 应用层协议提示. v1.20 稳定<br /> clusterIP: &quot;&quot; # ClusterIP 一般不手动指定<br /> # loadBalancerIP: &quot;&quot; # 该字段自 v1.24 起已废弃. 新环境不建议再依赖<br /> loadBalancerSourceRanges: [] # 限制允许访问的来源网段<br /> nodePort: 30080 # NodePort 固定端口. 浏览器可通过 NodeIP:30080 访问<br /> externalTrafficPolicy: Cluster # 对外流量策略. Local 可保留客户端源 IP<br /> internalTrafficPolicy: Cluster # 集群内流量策略. v1.26 稳定. Local 可优先本地端点<br /> sessionAffinity: None # 会话亲和性. 可选 None / ClientIP<br /> sessionAffinityConfig: {} # 会话亲和性高级配置. 需按需填写<br /> ipFamilyPolicy: SingleStack # 可选 SingleStack / PreferDualStack / RequireDualStack<br /> ipFamilies: [] # 双栈时可写 [IPv4, IPv6] 或 [IPv6, IPv4]<br /> trafficDistribution: PreferSameZone # v1.33 稳定. v1.35 支持 PreferSameZone / PreferSameNode<br /> <br /> volumeMounts:<br /> - name: plugins-volume # 插件卷名称<br /> mountPath: /headlamp/plugins # 容器内挂载路径<br /> <br /> # - name: kubeconfig-volume # 可选 kubeconfig 卷名称<br /> # mountPath: /home/headlamp/.config/Headlamp/kubeconfigs/config # 容器内 kubeconfig 文件路径<br /> # subPath: config # 将卷中的 config 文件挂载为单文件<br /> <br /> volumes:<br /> - name: plugins-volume # 卷名称. 需与 volumeMounts 对应<br /> hostPath:<br /> path: /data/headlamp/plugins # 宿主机目录. 等价于 Docker 左侧路径<br /> type: DirectoryOrCreate # 不存在时自动创建目录<br /> <br /> # - name: kubeconfig-volume # 可选 kubeconfig 卷<br /> # hostPath:<br /> # path: /data/headlamp/kubeconfigs # 宿主机 kubeconfig 所在目录<br /> # type: DirectoryOrCreate # 不存在时自动创建<br /> <br /> persistentVolumeClaim:<br /> enabled: false # 是否改用 PVC 持久化. 使用 hostPath 时通常设 false<br /> annotations: {} # PVC 注解<br /> accessModes: [] # PVC 访问模式. 如 ReadWriteOnce<br /> size: &quot;&quot; # PVC 大小. 如 5Gi<br /> storageClassName: &quot;&quot; # 存储类名称<br /> selector: {} # PVC 选择器<br /> volumeMode: &quot;&quot; # 卷模式. 如 Filesystem / Block<br /> dataSource: {} # 高级项. 可从快照或现有卷克隆. 需模板支持<br /> <br /> ingress:<br /> enabled: false # 是否启用 Ingress<br /> annotations: {} # Ingress 注解<br /> labels: {} # Ingress 标签<br /> ingressClassName: &quot;&quot; # IngressClass 名称. 替代旧注解 kubernetes.io/ingress.class<br /> hosts: [] # 域名和路径配置<br /> tls: [] # TLS 配置<br /> <br /> httpRoute:<br /> enabled: false # 是否启用 Gateway API 的 HTTPRoute<br /> annotations: {} # HTTPRoute 注解<br /> labels: {} # HTTPRoute 标签<br /> parentRefs: [] # 关联 Gateway. 启用时通常必填<br /> hostnames: [] # 绑定域名<br /> rules: [] # 路由规则. 未配置时通常走默认前缀路由<br /> <br /> resources: # 资源请求与限制<br /> requests:<br /> cpu: &quot;100m&quot; # 最低 CPU 请求<br /> memory: &quot;128Mi&quot; # 最低内存请求<br /> limits:<br /> cpu: &quot;500m&quot; # CPU 上限<br /> memory: &quot;512Mi&quot; # 内存上限<br /> <br /> nodeSelector:<br /> kubernetes.io/os: linux # 仅调度到 Linux 节点<br /> <br /> tolerations: [] # 容忍污点. 无特殊需求可留空<br /> affinity: {} # 亲和性规则. 无特殊需求可留空<br /> topologySpreadConstraints: # 拓扑分布约束. 新版 K8S 常用高可用配置<br /> # - maxSkew: 1 # 单个拓扑域允许的最大偏斜<br /> # topologyKey: topology.kubernetes.io/zone # 按可用区分布. 也可用 kubernetes.io/hostname<br /> # whenUnsatisfiable: ScheduleAnyway # 可选 DoNotSchedule / ScheduleAnyway<br /> # labelSelector:<br /> # matchLabels:<br /> # app.kubernetes.io/name: headlamp # 选取同类 Pod<br /> # matchLabelKeys: # v1.27 起 Beta. 可按 Pod 标签键自动匹配<br /> # - pod-template-hash<br /> # nodeAffinityPolicy: Honor # v1.26 起 Beta. 可选 Honor / Ignore<br /> # nodeTaintsPolicy: Ignore # v1.26 起 Beta. 可选 Honor / Ignore<br /> []<br /> <br /> priorityClassName: &quot;&quot; # 优先级类名称<br /> runtimeClassName: &quot;&quot; # 运行时类. 如 gvisor kata 等. 需模板支持<br /> <br /> pluginsManager:<br /> enabled: false # 是否启用插件管理 sidecar<br /> configFile: &quot;plugin.yml&quot; # 插件配置文件名<br /> configContent: &quot;&quot; # 插件配置内容<br /> baseImage: node:lts-alpine # 插件管理器基础镜像<br /> version: latest # 插件管理器版本<br /> volumeMounts: [] # 插件管理器额外挂载<br /> securityContext: {} # 插件管理器安全上下文<br /> <br /> podDisruptionBudget:<br /> enabled: false # 是否启用 PDB<br /> minAvailable: 0 # 最少可用副本数<br /> maxUnavailable: null # 最大不可用副本数<br /> unhealthyPodEvictionPolicy: null # 不健康 Pod 驱逐策略. 新集群可按需设置<br /> <br /> extraManifests: [] # 附加资源清单. 可内嵌额外 K8s YAML<br /> <br /> &lt;/syntaxhighlight&gt;<br /> <br /> ===== 参考: =====<br /> <br /> * [https://kubernetes.io/docs/setup/production-environment/tools/kubeadm/troubleshooting-kubeadm/ kubeadm 故障排除]<br /> * [https://headlamp.dev/plugins Headlamp Plugins]</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E6%90%AD%E5%BB%BA_Kubernetes_%E4%B8%80%E7%AB%99%E5%BC%8F%E5%B9%B3%E5%8F%B0&diff=1895 2026-04-12T20:13:00Z

<p>Koud Wind：​我有强迫症</p> <hr /> <div>----<br /> <br /> == 1. 什么是 Kubernetes / k8s ==<br /> k8s 也就是 Kubernetes 是一个面向容器化应用的自动化管理平台, 核心职责是管理程序运行的环境, 包括 &lt;code&gt;部署应用/调度资源/维护副本/处理故障/对外暴露服务&lt;/code&gt;等等...<br /> <br /> 对于初学者来说可以把它理解成一个专门管理容器集群的平台, 当你只有一个容器时也许还感觉不到它的必要性<br /> <br /> 但当你需要同时运行多个服务, 需要让服务彼此通信, 需要保证应用异常后自动恢复, 甚至需要后续扩容到多台机器时 Kubernetes 的价值就会非常明显<br /> <br /> 而本文要做的事情, 就是在一台主机上先搭建一个最小可运行的 Kubernetes 环境, 借助这个过程去理解 Kubernetes 是怎样从零开始被组织起来的<br /> <br /> 为了易读性, 在这里会将 &lt;code&gt;Kubernetes&lt;/code&gt; 简称为 &lt;code&gt;k8s&lt;/code&gt;<br /> <br /> == 2. 环境说明 ==<br /> 运行 kubeadm 集群建议 control plane 节点至少具备 &lt;code&gt;2 Core CPU&lt;/code&gt; 和 &lt;code&gt;2 GiB&lt;/code&gt; 运存, 推荐购买搬瓦工的 [https://bandwagonhost.com/cart.php?a=add&amp;pid=166 ECOMMERCE SLA] 套餐<br /> <br /> * 操作系统以 Debian13 为例<br /> * 主机数量 1 台<br /> * 使用 root 用户<br /> * 主机承担 control plane 和 workload 调度<br /> * k8s pod网段为 &lt;code&gt;10.10.0.0/16&lt;/code&gt; , service网段为 &lt;code&gt;192.168.0.0/16&lt;/code&gt;<br /> * 使用 &lt;code&gt;Headlamp&lt;/code&gt; 管理k8s pods<br /> <br /> == '''3. 前置准备''' ==<br /> <br /> ==== 3.1 加载模块并启用转发 ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> cat &lt;&lt;'EOF' | tee /etc/modules-load.d/k8s.conf<br /> overlay<br /> br_netfilter<br /> EOF<br /> <br /> modprobe overlay<br /> modprobe br_netfilter<br /> <br /> cat &lt;&lt;'EOF' | tee /etc/sysctl.d/k8s.conf<br /> net.bridge.bridge-nf-call-iptables = 1<br /> net.bridge.bridge-nf-call-ip6tables = 1<br /> net.ipv4.ip_forward = 1<br /> net.ipv6.conf.all.forwarding = 1<br /> EOF<br /> sysctl --system<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.2 配置 hosts ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> tee -a /etc/hosts &gt; /dev/null &lt;&lt;'EOF'<br /> 127.0.0.1 k8s-master<br /> EOF<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.3 关闭 swap (可选) ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> swapoff -a<br /> sed -ri '/\sswap\s/s/^/#/' /etc/fstab<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''4. 安装 containerd''' ==<br /> 更新软件源并安装 containerd 与 其他核心组件&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> apt update<br /> apt install -y containerd apt-transport-https ca-certificates curl gpg<br /> &lt;/syntaxhighlight&gt;生成默认配置文件并修改配置文件, 这里为了防止后续可能报错, 修改了 &lt;code&gt;bin_dir&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /etc/containerd<br /> containerd config default | tee /etc/containerd/config.toml &gt; /dev/null<br /> sed -i 's#bin_dir = &quot;/usr/lib/cni&quot;#bin_dir = &quot;/opt/cni/bin&quot;#' /etc/containerd/config.toml<br /> sed -i 's/SystemdCgroup = false/SystemdCgroup = true/' /etc/containerd/config.toml&lt;/syntaxhighlight&gt;重启并设置自启&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> systemctl daemon-reload<br /> systemctl restart containerd<br /> systemctl enable containerd<br /> systemctl status containerd<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''5. 安装 kubeadm kubelet kubectl''' ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p -m 755 /etc/apt/keyrings<br /> curl -fsSL https://pkgs.k8s.io/core:/stable:/v1.35/deb/Release.key | gpg --dearmor -o /etc/apt/keyrings/kubernetes-apt-keyring.gpg<br /> echo 'deb [signed-by=/etc/apt/keyrings/kubernetes-apt-keyring.gpg] https://pkgs.k8s.io/core:/stable:/v1.35/deb/ /' | tee /etc/apt/sources.list.d/kubernetes.list<br /> apt-get update<br /> apt-get install -y kubelet kubeadm kubectl<br /> apt-mark hold kubelet kubeadm kubectl<br /> systemctl enable --now kubelet<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm version<br /> kubectl version --client<br /> kubelet --version<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''6. 初始化单节点 k8s 集群''' ==<br /> 新建一个初始化配置&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /main/k8s<br /> nano /main/k8s/kubeadm-config.yaml&lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: InitConfiguration<br /> nodeRegistration:<br /> name: master<br /> criSocket: &quot;unix:///run/containerd/containerd.sock&quot;<br /> localAPIEndpoint:<br /> advertiseAddress: &lt;你的公网主机IP&gt;<br /> bindPort: 6443<br /> <br /> ---<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: ClusterConfiguration<br /> kubernetesVersion: v1.35.0<br /> networking:<br /> podSubnet: 10.10.0.0/16<br /> serviceSubnet: 192.168.0.0/16<br /> dnsDomain: cluster.local<br /> <br /> # 若开启了Swap需要解除此注释!<br /> #---<br /> #apiVersion: kubelet.config.k8s.io/v1beta1<br /> #kind: KubeletConfiguration<br /> #cgroupDriver: systemd<br /> #failSwapOn: false<br /> #memorySwap:<br /> # swapBehavior: LimitedSwap<br /> <br /> <br /> &lt;/syntaxhighlight&gt;开始初始化&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm init --config /main/k8s/kubeadm-config.yaml<br /> &lt;/syntaxhighlight&gt;初始化完成后配置 kubectl&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p $HOME/.kube<br /> cp -i /etc/kubernetes/admin.conf $HOME/.kube/config<br /> chown &quot;$(id -u)&quot;:&quot;$(id -g)&quot; $HOME/.kube/config<br /> &lt;/syntaxhighlight&gt;因为我们是单节点, 需要移除 control plane 污点, 除非多台主机节点&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl taint nodes --all node-role.kubernetes.io/control-plane-<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl get nodes<br /> kubectl get pods -A&lt;/syntaxhighlight&gt;这时 master 大概率是 &lt;code&gt;NotReady&lt;/code&gt; 状态, 目前 CNI 还没有安装, CoreDNS 也通常不会处于 &lt;code&gt;Running&lt;/code&gt; 状态<br /> <br /> == '''7. 安装 Helm并设置补全''' ==<br /> 安装 Helm&lt;syntaxhighlight lang=&quot;bash&quot;&gt;curl -fsSL -o get_helm.sh https://raw.githubusercontent.com/helm/helm/main/scripts/get-helm-4<br /> chmod 700 get_helm.sh<br /> ./get_helm.sh<br /> helm version&lt;/syntaxhighlight&gt;<br /> <br /> ===== '''命令补全:''' =====<br /> <br /> * zsh&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion zsh)' &gt;&gt; ~/.zshrc<br /> echo 'source &lt;(helm completion zsh)' &gt;&gt; ~/.zshrc<br /> source ~/.zshrc<br /> &lt;/syntaxhighlight&gt;<br /> * bash&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion bash)' &gt;&gt; ~/.bashrc<br /> echo 'source &lt;(helm completion bash)' &gt;&gt; ~/.bashrc<br /> source ~/.bashrc<br /> &lt;/syntaxhighlight&gt;<br /> * fish&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl completion fish | sudo tee /etc/fish/completions/kubectl.fish &gt; /dev/null<br /> helm completion fish | sudo tee /etc/fish/completions/helm.fish &gt; /dev/null<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''8. 安装 CNI 插件''' ==<br /> 在资源紧凑的主机中我更推荐使用 &lt;code&gt;Flannel&lt;/code&gt; , 这里也会提供 &lt;code&gt;Calico&lt;/code&gt; 与 &lt;code&gt;Cilium&lt;/code&gt; 的安装, 根据应用场景自行选择其一<br /> <br /> 资源占用: &lt;code&gt;Flannel&lt;/code&gt; &lt; &lt;code&gt;Calico&lt;/code&gt; &lt; &lt;code&gt;Cilium&lt;/code&gt;<br /> <br /> ==== 8.1 Flannel ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl create namespace kube-flannel<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/enforce=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/audit=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/warn=privileged<br /> helm upgrade --install flannel -n kube-flannel --create-namespace --set podCidr=10.10.0.0/16 https://github.com/flannel-io/flannel/releases/download/v0.28.1/flannel.tgz&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.2 Calico ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;helm repo add projectcalico https://docs.tigera.io/calico/charts<br /> helm repo update<br /> kubectl create namespace tigera-operator<br /> helm upgrade --install calico projectcalico/tigera-operator --version v3.31.4 --namespace tigera-operator --set installation.calicoNetwork.ipPools[0].cidr=10.10.0.0/16 --set installation.calicoNetwork.ipPools[0].encapsulation=VXLAN&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.3 Cilium ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add cilium https://helm.cilium.io/<br /> helm repo update<br /> helm upgrade --install cilium cilium/cilium --version 1.19.1 --namespace kube-system<br /> &lt;/syntaxhighlight&gt;'''检查CNI'''&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;节点状态从 &lt;code&gt;NotReady&lt;/code&gt; 变为 &lt;code&gt;Ready&lt;/code&gt; , CoreDNS 进入 &lt;code&gt;Running&lt;/code&gt; 状态, '''至此, k8s 已经初步部署完成'''<br /> <br /> == 9. Headlamp (可选) ==<br /> <br /> ==== 9.1 什么是 '''&lt;code&gt;Headlamp&lt;/code&gt;''' ====<br /> Headlamp是一个面向 k8s 的图形化管理界面, 它的目标是用更直观的方式帮助用户查看和管理集群资源, 例如节点/Pod/Deployment/Service/ConfigMap/Secret 等常见对象, 都可以通过 Web 页面进行浏览和操作<br /> <br /> 它定义为一个易用且可扩展的 Kubernetes WebUI 并强调它既可以作为集群内 Web 应用运行, 也可以作为桌面应用使用, 和很多传统 Dashboard 相比<br /> <br /> Headlamp 的特点主要有三点:<br /> <br /> # 界面更现代 更偏向日常运维与开发使用<br /> # 它支持基于 Kubernetes RBAC 的权限控制 用户能看到和操作的资源会自动受当前权限约束<br /> # 它具备插件扩展能力 可以根据团队需求定制界面和功能<br /> <br /> 我个人认为可以帮助初学者摆脱只看命令行输出的方式, 更直观地观察集群中资源的创建/状态变化/日志/配置情况, 因此很适合作为 k8s 学习和演示环境中的可视化入口. <br /> <br /> ==== 9.2 开始安装 ====<br /> 先新建一个 &lt;code&gt;values.yml&lt;/code&gt; 文件&lt;syntaxhighlight&gt;<br /> mkdir -p /main/k8s/headlamp<br /> nano /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> replicaCount: 1<br /> <br /> image:<br /> registry: ghcr.io<br /> repository: headlamp-k8s/headlamp<br /> tag: &quot;&quot;<br /> pullPolicy: IfNotPresent<br /> <br /> nameOverride: &quot;&quot;<br /> fullnameOverride: &quot;headlamp&quot;<br /> namespaceOverride: &quot;&quot;<br /> <br /> <br /> service:<br /> type: NodePort<br /> port: 80<br /> # 宿主机开放端口<br /> nodePort: 30080<br /> <br /> <br /> env:<br /> - name: TZ<br /> value: &quot;Asia/Shanghai&quot;<br /> <br /> config:<br /> pluginsDir: /headlamp/plugins<br /> <br /> volumes:<br /> - name: plugins-volume<br /> hostPath:<br /> path: /main/k8s/headlamp/plugins<br /> type: DirectoryOrCreate<br /> <br /> volumeMounts:<br /> - name: plugins-volume<br /> mountPath: /headlamp/plugins<br /> <br /> <br /> resources:<br /> requests:<br /> cpu: 100m<br /> memory: 128Mi<br /> limits:<br /> cpu: 500m<br /> memory: 512Mi<br /> <br /> &lt;/syntaxhighlight&gt;用 Helm 安装&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add headlamp https://kubernetes-sigs.github.io/headlamp/<br /> helm repo update<br /> helm upgrade --install headlamp headlamp/headlamp -n headlamp --create-namespace -f /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;通过开放的端口访问到 Headlamp, 初次加载需要等待一会, 之后需要输入 &lt;code&gt;token&lt;/code&gt;, 使用命令生成&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl create token headlamp --namespace headlamp --duration 168h<br /> &lt;/syntaxhighlight&gt;若不通则进行检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 9.3 查看资源使用概览 ====<br /> Headlamp中各种资源显示, 需要依赖 &lt;code&gt;metrics-server&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add metrics-server https://kubernetes-sigs.github.io/metrics-server/<br /> helm repo update<br /> helm upgrade --install metrics-server metrics-server/metrics-server -n kube-system --set &quot;args[0]=--kubelet-insecure-tls&quot;<br /> &lt;/syntaxhighlight&gt;安装好后就可以正常显示资源占用情况<br /> <br /> == 10. 常见问题排查 ==<br /> <br /> ==== 10.1 Flannel 启动失败 ====<br /> 优先检查这几个点, Flannel 官方 README 明确指出 它依赖 &lt;code&gt;br_netfilter&lt;/code&gt; 另外它默认使用 &lt;code&gt;portmap&lt;/code&gt; 作为 CNI 网络插件的一部分 并要求相关 CNI 二进制位于 &lt;code&gt;/opt/cni/bin&lt;/code&gt; <br /> <br /> ==== 10.2 Headlamp 页面能打开但无法登录 ====<br /> 重点检查<br /> <br /> * token 是否复制完整<br /> * ServiceAccount 是否创建在 &lt;code&gt;kube-system&lt;/code&gt;<br /> * ClusterRoleBinding 是否绑定成功<br /> * Headlamp 是否真的暴露成 NodePort<br /> <br /> ==== 10.3 Pod 无法联网 ====<br /> 重点检查<br /> <br /> * &lt;code&gt;kubeadm init&lt;/code&gt; 的 &lt;code&gt;--pod-network-cidr&lt;/code&gt;<br /> * Flannel Chart 的 &lt;code&gt;podCidr&lt;/code&gt;<br /> * 主机自身网段是否与 Pod 网段冲突<br /> <br /> Kubernetes 官方明确提醒 Pod network 不应与宿主机网络重叠 否则容易出现网络异常<br /> <br /> == '''11. 常用命令''' ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot; line=&quot;1&quot;&gt;<br /> # -------------------------<br /> # 1 集群和命名空间<br /> # -------------------------<br /> kubectl config current-context # 查看当前 kubeconfig 上下文<br /> kubectl config get-contexts # 查看所有可用上下文<br /> kubectl config use-context my-cluster # 切换到指定集群上下文<br /> kubectl get ns # 查看所有命名空间<br /> kubectl get pods -n kube-system # 查看指定命名空间中的 Pod<br /> kubectl config set-context --current --namespace=default # 设置当前上下文默认命名空间<br /> <br /> # -------------------------<br /> # 2 Helm 安装和版本管理<br /> # -------------------------<br /> helm repo add bitnami https://charts.bitnami.com/bitnami # 添加 Helm 仓库<br /> helm repo update # 更新 Helm 仓库索引<br /> helm search repo nginx # 在 Helm 仓库中搜索 chart<br /> helm install my-nginx bitnami/nginx # 安装一个 Helm release<br /> helm install my-nginx bitnami/nginx -n web --create-namespace # 安装到指定命名空间 不存在则创建<br /> helm install headlamp headlamp/headlamp -n kube-system -f values.yaml # 使用 values 文件安装 release<br /> helm upgrade headlamp headlamp/headlamp -n kube-system -f values.yaml # 升级已有 release<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml # 不存在则安装 存在则升级<br /> helm list -A # 查看所有命名空间中的 Helm release<br /> helm status headlamp -n kube-system # 查看某个 release 当前状态<br /> helm history headlamp -n kube-system # 查看 release 历史版本<br /> helm rollback headlamp 2 -n kube-system # 回滚到指定 revision<br /> helm uninstall headlamp -n kube-system # 卸载 release<br /> helm show values headlamp/headlamp # 查看 chart 默认 values<br /> helm template headlamp headlamp/headlamp -n kube-system -f values.yaml # 本地渲染模板 不实际安装<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml --dry-run # 试运行安装或升级<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml --dry-run --debug # 试运行并输出详细调试信息<br /> <br /> # -------------------------<br /> # 3 常用资源查看<br /> # -------------------------<br /> kubectl get pods # 查看当前命名空间的 Pod<br /> kubectl get pods -o wide # 查看 Pod 并显示节点 IP 等更多信息<br /> kubectl get pods -w # 持续监听 Pod 状态变化<br /> kubectl get deploy # 查看 Deployment<br /> kubectl get svc # 查看 Service<br /> kubectl get ds # 查看 DaemonSet<br /> kubectl get sts # 查看 StatefulSet<br /> kubectl get ingress # 查看 Ingress<br /> kubectl get all -n kube-system # 查看命名空间下常见资源<br /> kubectl get pods -l app.kubernetes.io/name=headlamp -n kube-system # 根据标签筛选 Pod<br /> kubectl get deploy headlamp -n kube-system -o yaml # 查看 Deployment 的完整 YAML<br /> kubectl get svc headlamp -n kube-system -o wide # 查看 Service 详细信息<br /> <br /> # -------------------------<br /> # 4 排障常用<br /> # -------------------------<br /> kubectl describe pod headlamp-xxx-xxx -n kube-system # 查看 Pod 详细状态和事件<br /> kubectl describe deploy headlamp -n kube-system # 查看 Deployment 详细信息<br /> kubectl describe svc headlamp -n kube-system # 查看 Service 详细信息<br /> kubectl get events -n kube-system --sort-by=.metadata.creationTimestamp # 按时间排序查看命名空间事件<br /> kubectl get events -A --sort-by=.metadata.creationTimestamp # 查看全局事件并按时间排序<br /> kubectl logs headlamp-xxx-xxx -n kube-system # 查看 Pod 日志<br /> kubectl logs -f headlamp-xxx-xxx -n kube-system # 持续跟踪 Pod 日志<br /> kubectl logs headlamp-xxx-xxx -n kube-system -c headlamp # 查看指定容器日志<br /> kubectl logs headlamp-xxx-xxx -n kube-system --previous # 查看容器上一次崩溃前日志<br /> kubectl exec -it headlamp-xxx-xxx -n kube-system -- /bin/sh # 进入容器 shell<br /> kubectl exec -it headlamp-xxx-xxx -n kube-system -- /bin/bash # 进入容器 bash<br /> kubectl get pods -n kube-system # 先列出 Pod 再选择进入<br /> kubectl exec -it pod-name -n kube-system -- /bin/sh # 进入指定 Pod<br /> kubectl top pod -n kube-system # 查看 Pod CPU 和内存使用量<br /> kubectl top node # 查看节点资源使用量<br /> <br /> # -------------------------<br /> # 5 发布和重启相关<br /> # -------------------------<br /> kubectl rollout restart deploy headlamp -n kube-system # 滚动重启 Deployment<br /> kubectl rollout status deploy headlamp -n kube-system # 查看 Deployment 发布状态<br /> kubectl rollout history deploy headlamp -n kube-system # 查看 Deployment 发布历史<br /> kubectl rollout undo deploy headlamp -n kube-system # 回滚 Deployment 到上一版本<br /> kubectl scale deploy headlamp --replicas=3 -n kube-system # 调整副本数<br /> kubectl delete pod headlamp-xxx-xxx -n kube-system # 删除 Pod 让控制器自动重建<br /> <br /> # -------------------------<br /> # 6 网络和端口相关<br /> # -------------------------<br /> kubectl get svc -n kube-system # 查看命名空间下 Service<br /> kubectl port-forward pod/headlamp-xxx-xxx 8080:80 -n kube-system # 将本地 8080 转发到 Pod 的 80<br /> kubectl port-forward svc/headlamp 8080:80 -n kube-system # 将本地 8080 转发到 Service 的 80<br /> kubectl get endpoints headlamp -n kube-system # 查看 Service 后端 Endpoint<br /> kubectl run tmp-shell -it --rm --image=busybox -- /bin/sh # 临时启动调试 Pod<br /> nslookup kubernetes.default # 在调试容器中解析集群 DNS<br /> wget -qO- http://headlamp.kube-system.svc.cluster.local # 在调试容器中访问集群内部 Service<br /> <br /> # -------------------------<br /> # 7 配置和存储相关<br /> # -------------------------<br /> kubectl get configmap -n kube-system # 查看 ConfigMap<br /> kubectl get secret -n kube-system # 查看 Secret<br /> kubectl get pvc -A # 查看所有 PVC<br /> kubectl get pv # 查看所有 PV<br /> kubectl get nodes -o wide # 查看节点及详细信息<br /> kubectl describe node node-1 # 查看节点详细状态<br /> kubectl get deploy headlamp -n kube-system -o yaml # 查看实际生效的 Deployment YAML<br /> <br /> # -------------------------<br /> # 8 Helm 配合排障常用<br /> # -------------------------<br /> helm status headlamp -n kube-system # 查看 release 当前运行状态<br /> helm get values headlamp -n kube-system # 查看用户自定义 values<br /> helm get values headlamp -n kube-system -a # 查看合并后的全部 values<br /> helm get manifest headlamp -n kube-system # 查看 release 实际渲染出的 manifest<br /> helm get notes headlamp -n kube-system # 查看安装说明和访问提示<br /> kubectl get pod headlamp-xxx-xxx -n kube-system --show-labels # 查看 Pod 标签 判断所属 release<br /> kubectl get all -n kube-system -l app.kubernetes.io/instance=headlamp # 根据 Helm release 标签筛选整套资源<br /> <br /> # -------------------------<br /> # 9 最常用 20 个命令<br /> # -------------------------<br /> kubectl get pods -A # 查看所有命名空间 Pod<br /> kubectl get svc -A # 查看所有命名空间 Service<br /> kubectl get deploy -A # 查看所有命名空间 Deployment<br /> kubectl get all -n kube-system # 查看 kube-system 中常见资源<br /> kubectl get pods -o wide -n kube-system # 查看 Pod 详细信息<br /> kubectl describe pod pod-name -n kube-system # 查看 Pod 详情<br /> kubectl describe deploy deploy-name -n kube-system # 查看 Deployment 详情<br /> kubectl logs pod-name -n kube-system # 查看日志<br /> kubectl logs -f pod-name -n kube-system # 持续跟踪日志<br /> kubectl logs pod-name -n kube-system --previous # 查看上一次容器日志<br /> kubectl exec -it pod-name -n kube-system -- /bin/sh # 进入容器<br /> kubectl get events -n kube-system --sort-by=.metadata.creationTimestamp # 查看时间排序事件<br /> kubectl port-forward svc/service-name 8080:80 -n kube-system # 本地端口转发到 Service<br /> kubectl rollout restart deploy deploy-name -n kube-system # 重启 Deployment<br /> kubectl rollout status deploy deploy-name -n kube-system # 查看滚动发布状态<br /> kubectl scale deploy deploy-name --replicas=2 -n kube-system # 调整副本数<br /> helm list -A # 查看所有 Helm release<br /> helm status release-name -n kube-system # 查看 release 状态<br /> helm get values release-name -n kube-system -a # 查看 release 全部 values<br /> helm upgrade --install release-name repo/chart -n kube-system -f values.yaml # Helm 安装或升级<br /> <br /> # -------------------------<br /> # 10 实战排障流程<br /> # -------------------------<br /> helm status headlamp -n kube-system # 先检查 release 状态<br /> kubectl get all -n kube-system -l app.kubernetes.io/instance=headlamp # 查看 release 关联资源<br /> kubectl get pods -n kube-system -o wide # 查看 Pod 是否正常运行<br /> kubectl describe pod pod-name -n kube-system # 检查 Pod 事件和错误<br /> kubectl logs pod-name -n kube-system # 查看应用日志<br /> kubectl get svc -n kube-system # 查看 Service 是否创建成功<br /> kubectl describe svc headlamp -n kube-system # 查看 Service 配置详情<br /> kubectl get endpoints headlamp -n kube-system # 查看 Service 是否关联到后端 Pod<br /> kubectl port-forward svc/headlamp 8080:80 -n kube-system # 用本地转发验证服务本身是否正常<br /> <br /> # -------------------------<br /> # 11 常用别名<br /> # -------------------------<br /> alias k=kubectl # kubectl 简写<br /> alias kgp='kubectl get pods' # 快速查看 Pod<br /> alias kgs='kubectl get svc' # 快速查看 Service<br /> alias kgd='kubectl get deploy' # 快速查看 Deployment<br /> alias kdp='kubectl describe pod' # 快速查看 Pod 详情<br /> alias kdd='kubectl describe deploy' # 快速查看 Deployment 详情<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''12. Helm Chart 配置文件模板''' ==<br /> &lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> replicaCount: 1 # Pod 副本数. 单节点或测试环境常设为 1<br /> revisionHistoryLimit: 10 # Deployment 保留的历史版本数. 便于回滚<br /> minReadySeconds: 0 # Pod 就绪后保持多久才视为可用<br /> <br /> deploymentStrategy: # Deployment 更新策略<br /> type: RollingUpdate # 推荐 RollingUpdate. Recreate 会先删后建<br /> rollingUpdate:<br /> maxUnavailable: 25% # 滚动更新期间最大不可用比例<br /> maxSurge: 25% # 滚动更新期间可额外创建的副本比例<br /> <br /> image:<br /> registry: ghcr.io # 镜像仓库地址<br /> repository: headlamp-k8s/headlamp # 示例镜像名. 新容器可改为自己的镜像<br /> tag: &quot;&quot; # 镜像标签. 留空时通常使用 chart 默认 appVersion<br /> pullPolicy: IfNotPresent # 拉取策略. 常用 IfNotPresent 或 Always<br /> <br /> imagePullSecrets: [] # 私有仓库拉取密钥. 无需私仓时保持空数组<br /> <br /> nameOverride: &quot;&quot; # 覆盖 chart 名称的一部分. 一般不需要<br /> fullnameOverride: &quot;headlamp&quot; # 最终资源名. 示例中固定方便管理. 新项目可改<br /> namespaceOverride: &quot;&quot; # 覆盖命名空间. 一般更建议 helm -n 指定<br /> <br /> initContainers: # 初始化容器. 在主容器启动前执行<br /> - name: init-plugin-dir # 初始化容器名称<br /> image: busybox:1.36 # 使用轻量 busybox 镜像<br /> imagePullPolicy: IfNotPresent # initContainer 拉取策略<br /> command:<br /> - sh<br /> - -c<br /> - mkdir -p /headlamp/plugins &amp;&amp; chmod -R 755 /headlamp/plugins # 创建插件目录并赋权<br /> securityContext:<br /> runAsNonRoot: false # 初始化目录时通常允许 root 更省事. 严格环境可改<br /> allowPrivilegeEscalation: false # 禁止提权<br /> volumeMounts:<br /> - name: plugins-volume # 挂载插件卷以便初始化目录<br /> mountPath: /headlamp/plugins # 容器内插件目录路径<br /> <br /> extraContainers: [] # 额外 sidecar 容器. 例如日志采集或代理<br /> <br /> terminationGracePeriodSeconds: 30 # 优雅退出宽限期. 过短可能导致连接被硬切断<br /> hostNetwork: false # 是否使用宿主机网络. 一般保持 false<br /> dnsPolicy: ClusterFirst # DNS 策略. hostNetwork=true 时常配 ClusterFirstWithHostNet<br /> dnsConfig: {} # 自定义 DNS 配置. 需模板支持<br /> hostAliases: [] # 额外 hosts 映射. 仅少数场景使用<br /> <br /> config:<br /> inCluster: true # 集群内访问模式. Pod 通过 ServiceAccount 访问 K8s API<br /> inClusterContextName: &quot;main&quot; # 集群内上下文名称<br /> baseURL: &quot;&quot; # 子路径访问时填写如 /headlamp. 根路径保持空<br /> sessionTTL: 86400 # 登录会话有效期. 单位秒. 86400 = 24 小时<br /> <br /> oidc:<br /> secret:<br /> create: false # 是否由 chart 自动创建 OIDC Secret<br /> name: oidc # OIDC Secret 名称<br /> clientID: &quot;&quot; # OIDC 客户端 ID<br /> clientSecret: &quot;&quot; # OIDC 客户端密钥<br /> issuerURL: &quot;&quot; # OIDC 发行者地址<br /> scopes: &quot;&quot; # OIDC scopes<br /> callbackURL: &quot;&quot; # OIDC 回调地址<br /> validatorClientID: &quot;&quot; # Token 校验客户端 ID<br /> validatorIssuerURL: &quot;&quot; # Token 校验发行者地址<br /> useAccessToken: false # 是否使用 Access Token<br /> usePKCE: false # 是否启用 PKCE<br /> useCookie: false # 是否通过 Cookie 保存认证信息<br /> externalSecret:<br /> enabled: false # 是否使用外部 Secret<br /> name: &quot;&quot; # 外部 Secret 名称<br /> <br /> meUserInfoURL: &quot;&quot; # 用户信息接口地址. 未接入外部认证时可留空<br /> pluginsDir: &quot;/headlamp/plugins&quot; # 插件目录<br /> enableHelm: false # 最新 chart 默认值为 false. 仅需展示 Helm 信息时开启<br /> watchPlugins: false # 是否实时监听插件目录变化<br /> extraArgs: [] # 额外启动参数. 例如 -plugins-dir=/headlamp/plugins<br /> <br /> env: # 环境变量<br /> - name: TZ # 时区环境变量名称<br /> value: &quot;Asia/Shanghai&quot; # 时区设置<br /> <br /> envFrom: [] # 从 ConfigMap 或 Secret 批量导入环境变量. 需模板支持<br /> <br /> containerPorts: # 容器端口示例. 需模板支持<br /> - name: http # 端口名称. 多端口 Service 时建议显式命名<br /> containerPort: 4466 # 容器监听端口. 请按实际应用修改<br /> protocol: TCP # 协议. 通常 TCP<br /> <br /> livenessProbe: {} # 存活探针. K8S 原生支持 exec/httpGet/tcpSocket/grpc. 需模板支持<br /> readinessProbe: {} # 就绪探针. 控制是否加入 Service 端点. 需模板支持<br /> startupProbe: {} # 启动探针. 慢启动应用推荐配置. 需模板支持<br /> lifecycle: {} # 生命周期钩子. preStop/postStart. 需模板支持<br /> <br /> automountServiceAccountToken: true # 自动挂载 ServiceAccount Token. 集群内访问通常保持 true<br /> <br /> serviceAccount:<br /> create: true # 是否自动创建 ServiceAccount<br /> annotations: {} # ServiceAccount 注解<br /> name: &quot;&quot; # 最新 chart 默认空字符串. 留空时一般按 fullname 生成<br /> <br /> clusterRoleBinding:<br /> create: true # 是否自动创建 ClusterRoleBinding<br /> clusterRoleName: &quot;cluster-admin&quot; # 示例使用 cluster-admin. 生产环境建议改成最小权限角色<br /> annotations: {} # ClusterRoleBinding 注解<br /> <br /> deploymentAnnotations: {} # Deployment 注解<br /> podAnnotations: # Pod 注解. 可用于 sidecar 注入 监控抓取等<br /> kubectl.kubernetes.io/default-container: &quot;headlamp&quot; # kubectl exec/logs 默认容器提示. 非必须但更顺手<br /> <br /> podLabels:<br /> app.kubernetes.io/name: &quot;headlamp&quot; # 推荐使用标准标签<br /> app.kubernetes.io/component: &quot;web&quot; # 组件标签. 便于筛选和治理<br /> <br /> hostUsers: true # Pod 是否共享宿主用户命名空间. 设 false 可启用 user namespaces<br /> <br /> podSecurityContext:<br /> fsGroup: 101 # 卷文件组 ID. 便于挂载目录权限控制<br /> fsGroupChangePolicy: OnRootMismatch # 新版常用项. 仅在需要时递归改卷权限<br /> seccompProfile:<br /> type: RuntimeDefault # 推荐使用运行时默认 seccomp 配置<br /> <br /> securityContext:<br /> runAsNonRoot: true # 强制非 root 运行<br /> privileged: false # 不使用特权模式<br /> runAsUser: 100 # 容器运行用户 UID<br /> runAsGroup: 101 # 容器运行用户组 GID<br /> allowPrivilegeEscalation: false # 禁止提权<br /> readOnlyRootFilesystem: false # 需要更强约束时可设 true 并配 writable 卷<br /> capabilities:<br /> drop:<br /> - ALL # 建议默认移除全部 Linux capabilities<br /> <br /> service:<br /> annotations: {} # Service 注解<br /> type: NodePort # 暴露方式. 可选 ClusterIP / NodePort / LoadBalancer<br /> port: 80 # Service 端口<br /> targetPort: http # 目标端口. 建议引用命名端口便于变更<br /> appProtocol: http # 应用层协议提示. v1.20 稳定<br /> clusterIP: &quot;&quot; # ClusterIP 一般不手动指定<br /> # loadBalancerIP: &quot;&quot; # 该字段自 v1.24 起已废弃. 新环境不建议再依赖<br /> loadBalancerSourceRanges: [] # 限制允许访问的来源网段<br /> nodePort: 30080 # NodePort 固定端口. 浏览器可通过 NodeIP:30080 访问<br /> externalTrafficPolicy: Cluster # 对外流量策略. Local 可保留客户端源 IP<br /> internalTrafficPolicy: Cluster # 集群内流量策略. v1.26 稳定. Local 可优先本地端点<br /> sessionAffinity: None # 会话亲和性. 可选 None / ClientIP<br /> sessionAffinityConfig: {} # 会话亲和性高级配置. 需按需填写<br /> ipFamilyPolicy: SingleStack # 可选 SingleStack / PreferDualStack / RequireDualStack<br /> ipFamilies: [] # 双栈时可写 [IPv4, IPv6] 或 [IPv6, IPv4]<br /> trafficDistribution: PreferSameZone # v1.33 稳定. v1.35 支持 PreferSameZone / PreferSameNode<br /> <br /> volumeMounts:<br /> - name: plugins-volume # 插件卷名称<br /> mountPath: /headlamp/plugins # 容器内挂载路径<br /> <br /> # - name: kubeconfig-volume # 可选 kubeconfig 卷名称<br /> # mountPath: /home/headlamp/.config/Headlamp/kubeconfigs/config # 容器内 kubeconfig 文件路径<br /> # subPath: config # 将卷中的 config 文件挂载为单文件<br /> <br /> volumes:<br /> - name: plugins-volume # 卷名称. 需与 volumeMounts 对应<br /> hostPath:<br /> path: /data/headlamp/plugins # 宿主机目录. 等价于 Docker 左侧路径<br /> type: DirectoryOrCreate # 不存在时自动创建目录<br /> <br /> # - name: kubeconfig-volume # 可选 kubeconfig 卷<br /> # hostPath:<br /> # path: /data/headlamp/kubeconfigs # 宿主机 kubeconfig 所在目录<br /> # type: DirectoryOrCreate # 不存在时自动创建<br /> <br /> persistentVolumeClaim:<br /> enabled: false # 是否改用 PVC 持久化. 使用 hostPath 时通常设 false<br /> annotations: {} # PVC 注解<br /> accessModes: [] # PVC 访问模式. 如 ReadWriteOnce<br /> size: &quot;&quot; # PVC 大小. 如 5Gi<br /> storageClassName: &quot;&quot; # 存储类名称<br /> selector: {} # PVC 选择器<br /> volumeMode: &quot;&quot; # 卷模式. 如 Filesystem / Block<br /> dataSource: {} # 高级项. 可从快照或现有卷克隆. 需模板支持<br /> <br /> ingress:<br /> enabled: false # 是否启用 Ingress<br /> annotations: {} # Ingress 注解<br /> labels: {} # Ingress 标签<br /> ingressClassName: &quot;&quot; # IngressClass 名称. 替代旧注解 kubernetes.io/ingress.class<br /> hosts: [] # 域名和路径配置<br /> tls: [] # TLS 配置<br /> <br /> httpRoute:<br /> enabled: false # 是否启用 Gateway API 的 HTTPRoute<br /> annotations: {} # HTTPRoute 注解<br /> labels: {} # HTTPRoute 标签<br /> parentRefs: [] # 关联 Gateway. 启用时通常必填<br /> hostnames: [] # 绑定域名<br /> rules: [] # 路由规则. 未配置时通常走默认前缀路由<br /> <br /> resources: # 资源请求与限制<br /> requests:<br /> cpu: &quot;100m&quot; # 最低 CPU 请求<br /> memory: &quot;128Mi&quot; # 最低内存请求<br /> limits:<br /> cpu: &quot;500m&quot; # CPU 上限<br /> memory: &quot;512Mi&quot; # 内存上限<br /> <br /> nodeSelector:<br /> kubernetes.io/os: linux # 仅调度到 Linux 节点<br /> <br /> tolerations: [] # 容忍污点. 无特殊需求可留空<br /> affinity: {} # 亲和性规则. 无特殊需求可留空<br /> topologySpreadConstraints: # 拓扑分布约束. 新版 K8S 常用高可用配置<br /> # - maxSkew: 1 # 单个拓扑域允许的最大偏斜<br /> # topologyKey: topology.kubernetes.io/zone # 按可用区分布. 也可用 kubernetes.io/hostname<br /> # whenUnsatisfiable: ScheduleAnyway # 可选 DoNotSchedule / ScheduleAnyway<br /> # labelSelector:<br /> # matchLabels:<br /> # app.kubernetes.io/name: headlamp # 选取同类 Pod<br /> # matchLabelKeys: # v1.27 起 Beta. 可按 Pod 标签键自动匹配<br /> # - pod-template-hash<br /> # nodeAffinityPolicy: Honor # v1.26 起 Beta. 可选 Honor / Ignore<br /> # nodeTaintsPolicy: Ignore # v1.26 起 Beta. 可选 Honor / Ignore<br /> []<br /> <br /> priorityClassName: &quot;&quot; # 优先级类名称<br /> runtimeClassName: &quot;&quot; # 运行时类. 如 gvisor kata 等. 需模板支持<br /> <br /> pluginsManager:<br /> enabled: false # 是否启用插件管理 sidecar<br /> configFile: &quot;plugin.yml&quot; # 插件配置文件名<br /> configContent: &quot;&quot; # 插件配置内容<br /> baseImage: node:lts-alpine # 插件管理器基础镜像<br /> version: latest # 插件管理器版本<br /> volumeMounts: [] # 插件管理器额外挂载<br /> securityContext: {} # 插件管理器安全上下文<br /> <br /> podDisruptionBudget:<br /> enabled: false # 是否启用 PDB<br /> minAvailable: 0 # 最少可用副本数<br /> maxUnavailable: null # 最大不可用副本数<br /> unhealthyPodEvictionPolicy: null # 不健康 Pod 驱逐策略. 新集群可按需设置<br /> <br /> extraManifests: [] # 附加资源清单. 可内嵌额外 K8s YAML<br /> <br /> &lt;/syntaxhighlight&gt;</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E6%90%AD%E5%BB%BA_Kubernetes_%E4%B8%80%E7%AB%99%E5%BC%8F%E5%B9%B3%E5%8F%B0&diff=1894 2026-04-12T20:05:22Z

<p>Koud Wind：​</p> <hr /> <div>----<br /> <br /> == 1. 什么是 Kubernetes / k8s ==<br /> k8s 也就是 Kubernetes 是一个面向容器化应用的自动化管理平台, 核心职责是管理程序运行的环境, 包括 &lt;code&gt;部署应用/调度资源/维护副本/处理故障/对外暴露服务&lt;/code&gt;等等...<br /> <br /> 对于初学者来说可以把它理解成一个专门管理容器集群的平台, 当你只有一个容器时也许还感觉不到它的必要性<br /> <br /> 但当你需要同时运行多个服务, 需要让服务彼此通信, 需要保证应用异常后自动恢复, 甚至需要后续扩容到多台机器时 Kubernetes 的价值就会非常明显<br /> <br /> 而本文要做的事情, 就是在一台主机上先搭建一个最小可运行的 Kubernetes 环境, 借助这个过程去理解 Kubernetes 是怎样从零开始被组织起来的<br /> <br /> 为了易读性, 在这里会将 &lt;code&gt;Kubernetes&lt;/code&gt; 简称为 &lt;code&gt;k8s&lt;/code&gt;<br /> <br /> == 2. 环境说明 ==<br /> 运行 kubeadm 集群建议 control plane 节点至少具备 &lt;code&gt;2 Core CPU&lt;/code&gt; 和 &lt;code&gt;2 GiB&lt;/code&gt; 运存, 推荐购买搬瓦工的 [https://bandwagonhost.com/cart.php?a=add&amp;pid=166 ECOMMERCE SLA] 套餐<br /> <br /> * 操作系统以 Debian13 为例<br /> * 主机数量 1 台<br /> * 使用 root 用户<br /> * 主机承担 control plane 和 workload 调度<br /> * k8s pod网段为 &lt;code&gt;10.10.0.0/16&lt;/code&gt; , service网段为 &lt;code&gt;192.168.0.0/16&lt;/code&gt;<br /> * 使用 &lt;code&gt;Headlamp&lt;/code&gt; 管理k8s pods<br /> <br /> == '''3. 前置准备''' ==<br /> <br /> ==== 3.1 加载模块并启用转发 ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> cat &lt;&lt;'EOF' | tee /etc/modules-load.d/k8s.conf<br /> overlay<br /> br_netfilter<br /> EOF<br /> <br /> modprobe overlay<br /> modprobe br_netfilter<br /> <br /> cat &lt;&lt;'EOF' | tee /etc/sysctl.d/k8s.conf<br /> net.bridge.bridge-nf-call-iptables = 1<br /> net.bridge.bridge-nf-call-ip6tables = 1<br /> net.ipv4.ip_forward = 1<br /> net.ipv6.conf.all.forwarding = 1<br /> EOF<br /> sysctl --system<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.2 配置 hosts ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> tee -a /etc/hosts &gt; /dev/null &lt;&lt;'EOF'<br /> 127.0.0.1 k8s-master<br /> EOF<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.3 关闭 swap (可选) ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> swapoff -a<br /> sed -ri '/\sswap\s/s/^/#/' /etc/fstab<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''4. 安装 containerd''' ==<br /> 更新软件源并安装 containerd 与 其他核心组件&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> apt update<br /> apt install -y containerd apt-transport-https ca-certificates curl gpg<br /> &lt;/syntaxhighlight&gt;生成默认配置文件并修改配置文件, 这里为了防止后续可能报错, 修改了 &lt;code&gt;bin_dir&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /etc/containerd<br /> containerd config default | tee /etc/containerd/config.toml &gt; /dev/null<br /> sed -i 's#bin_dir = &quot;/usr/lib/cni&quot;#bin_dir = &quot;/opt/cni/bin&quot;#' /etc/containerd/config.toml<br /> sed -i 's/SystemdCgroup = false/SystemdCgroup = true/' /etc/containerd/config.toml&lt;/syntaxhighlight&gt;重启并设置自启&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> systemctl daemon-reload<br /> systemctl restart containerd<br /> systemctl enable containerd<br /> systemctl status containerd<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''5. 安装 kubeadm kubelet kubectl''' ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p -m 755 /etc/apt/keyrings<br /> curl -fsSL https://pkgs.k8s.io/core:/stable:/v1.35/deb/Release.key | gpg --dearmor -o /etc/apt/keyrings/kubernetes-apt-keyring.gpg<br /> echo 'deb [signed-by=/etc/apt/keyrings/kubernetes-apt-keyring.gpg] https://pkgs.k8s.io/core:/stable:/v1.35/deb/ /' | tee /etc/apt/sources.list.d/kubernetes.list<br /> apt-get update<br /> apt-get install -y kubelet kubeadm kubectl<br /> apt-mark hold kubelet kubeadm kubectl<br /> systemctl enable --now kubelet<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm version<br /> kubectl version --client<br /> kubelet --version<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''6. 初始化单节点 k8s 集群''' ==<br /> 新建一个初始化配置&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /main/k8s<br /> nano /main/k8s/kubeadm-config.yaml&lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: InitConfiguration<br /> nodeRegistration:<br /> name: master<br /> criSocket: &quot;unix:///run/containerd/containerd.sock&quot;<br /> localAPIEndpoint:<br /> advertiseAddress: &lt;你的公网主机IP&gt;<br /> bindPort: 6443<br /> <br /> ---<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: ClusterConfiguration<br /> kubernetesVersion: v1.35.0<br /> networking:<br /> podSubnet: 10.10.0.0/16<br /> serviceSubnet: 192.168.0.0/16<br /> dnsDomain: cluster.local<br /> <br /> # 若开启了Swap需要解除此注释!<br /> #---<br /> #apiVersion: kubelet.config.k8s.io/v1beta1<br /> #kind: KubeletConfiguration<br /> #cgroupDriver: systemd<br /> #failSwapOn: false<br /> #memorySwap:<br /> # swapBehavior: LimitedSwap<br /> <br /> <br /> &lt;/syntaxhighlight&gt;开始初始化&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm init --config /main/k8s/kubeadm-config.yaml<br /> &lt;/syntaxhighlight&gt;初始化完成后配置 kubectl&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p $HOME/.kube<br /> cp -i /etc/kubernetes/admin.conf $HOME/.kube/config<br /> chown &quot;$(id -u)&quot;:&quot;$(id -g)&quot; $HOME/.kube/config<br /> &lt;/syntaxhighlight&gt;因为我们是单节点, 需要移除 control plane 污点, 除非多台主机节点&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl taint nodes --all node-role.kubernetes.io/control-plane-<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl get nodes<br /> kubectl get pods -A&lt;/syntaxhighlight&gt;这时 master 大概率是 &lt;code&gt;NotReady&lt;/code&gt; 状态, 目前 CNI 还没有安装, CoreDNS 也通常不会处于 &lt;code&gt;Running&lt;/code&gt; 状态<br /> <br /> == '''7. 安装 Helm并设置补全''' ==<br /> 安装 Helm&lt;syntaxhighlight lang=&quot;bash&quot;&gt;curl -fsSL -o get_helm.sh https://raw.githubusercontent.com/helm/helm/main/scripts/get-helm-4<br /> chmod 700 get_helm.sh<br /> ./get_helm.sh<br /> helm version&lt;/syntaxhighlight&gt;<br /> <br /> ===== '''命令补全:''' =====<br /> <br /> * zsh&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion zsh)' &gt;&gt; ~/.zshrc<br /> echo 'source &lt;(helm completion zsh)' &gt;&gt; ~/.zshrc<br /> source ~/.zshrc<br /> &lt;/syntaxhighlight&gt;<br /> * bash&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion bash)' &gt;&gt; ~/.bashrc<br /> echo 'source &lt;(helm completion bash)' &gt;&gt; ~/.bashrc<br /> source ~/.bashrc<br /> &lt;/syntaxhighlight&gt;<br /> * fish&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl completion fish | sudo tee /etc/fish/completions/kubectl.fish &gt; /dev/null<br /> helm completion fish | sudo tee /etc/fish/completions/helm.fish &gt; /dev/null<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''8. 安装 CNI 插件''' ==<br /> 在资源紧凑的主机中我更推荐使用 &lt;code&gt;Flannel&lt;/code&gt; , 这里也会提供 &lt;code&gt;Calico&lt;/code&gt; 与 &lt;code&gt;Cilium&lt;/code&gt; 的安装, 根据应用场景自行选择其一<br /> <br /> 资源占用: &lt;code&gt;Flannel&lt;/code&gt; &lt; &lt;code&gt;Calico&lt;/code&gt; &lt; &lt;code&gt;Cilium&lt;/code&gt;<br /> <br /> ==== 8.1 Flannel ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl create namespace kube-flannel<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/enforce=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/audit=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/warn=privileged<br /> helm upgrade --install flannel -n kube-flannel --create-namespace --set podCidr=10.10.0.0/16 https://github.com/flannel-io/flannel/releases/download/v0.28.1/flannel.tgz&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.2 Calico ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;helm repo add projectcalico https://docs.tigera.io/calico/charts<br /> helm repo update<br /> kubectl create namespace tigera-operator<br /> helm upgrade --install calico projectcalico/tigera-operator --version v3.31.4 --namespace tigera-operator --set installation.calicoNetwork.ipPools[0].cidr=10.10.0.0/16 --set installation.calicoNetwork.ipPools[0].encapsulation=VXLAN&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.3 Cilium ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add cilium https://helm.cilium.io/<br /> helm repo update<br /> helm upgrade --install cilium cilium/cilium --version 1.19.1 --namespace kube-system<br /> &lt;/syntaxhighlight&gt;'''检查CNI'''&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;节点状态从 &lt;code&gt;NotReady&lt;/code&gt; 变为 &lt;code&gt;Ready&lt;/code&gt; , CoreDNS 进入 &lt;code&gt;Running&lt;/code&gt; 状态, '''至此, k8s 已经初步部署完成'''<br /> <br /> == 9. Headlamp (可选) ==<br /> <br /> ==== 9.1 什么是 '''&lt;code&gt;Headlamp&lt;/code&gt;''' ====<br /> Headlamp是一个面向 k8s 的图形化管理界面, 它的目标是用更直观的方式帮助用户查看和管理集群资源, 例如节点/Pod/Deployment/Service/ConfigMap/Secret 等常见对象, 都可以通过 Web 页面进行浏览和操作<br /> <br /> 它定义为一个易用且可扩展的 Kubernetes WebUI 并强调它既可以作为集群内 Web 应用运行, 也可以作为桌面应用使用, 和很多传统 Dashboard 相比<br /> <br /> Headlamp 的特点主要有三点:<br /> <br /> # 界面更现代 更偏向日常运维与开发使用<br /> # 它支持基于 Kubernetes RBAC 的权限控制 用户能看到和操作的资源会自动受当前权限约束<br /> # 它具备插件扩展能力 可以根据团队需求定制界面和功能<br /> <br /> 我个人认为可以帮助初学者摆脱只看命令行输出的方式, 更直观地观察集群中资源的创建/状态变化/日志/配置情况, 因此很适合作为 k8s 学习和演示环境中的可视化入口. <br /> <br /> ==== 9.2 开始安装 ====<br /> 先新建一个 &lt;code&gt;values.yml&lt;/code&gt; 文件&lt;syntaxhighlight&gt;<br /> mkdir -p /main/k8s/headlamp<br /> nano /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> replicaCount: 1<br /> <br /> image:<br /> registry: ghcr.io<br /> repository: headlamp-k8s/headlamp<br /> tag: &quot;&quot;<br /> pullPolicy: IfNotPresent<br /> <br /> nameOverride: &quot;&quot;<br /> fullnameOverride: &quot;headlamp&quot;<br /> namespaceOverride: &quot;&quot;<br /> <br /> <br /> service:<br /> type: NodePort<br /> port: 80<br /> # 宿主机开放端口<br /> nodePort: 30080<br /> <br /> <br /> env:<br /> - name: TZ<br /> value: &quot;Asia/Shanghai&quot;<br /> <br /> config:<br /> pluginsDir: /headlamp/plugins<br /> <br /> volumes:<br /> - name: plugins-volume<br /> hostPath:<br /> path: /main/k8s/headlamp/plugins<br /> type: DirectoryOrCreate<br /> <br /> volumeMounts:<br /> - name: plugins-volume<br /> mountPath: /headlamp/plugins<br /> <br /> <br /> resources:<br /> requests:<br /> cpu: 100m<br /> memory: 128Mi<br /> limits:<br /> cpu: 500m<br /> memory: 512Mi<br /> <br /> &lt;/syntaxhighlight&gt;用 Helm 安装&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add headlamp https://kubernetes-sigs.github.io/headlamp/<br /> helm repo update<br /> helm upgrade --install headlamp headlamp/headlamp -n headlamp --create-namespace -f /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;通过开放的端口访问到 Headlamp, 初次加载需要等待一会, 之后需要输入 &lt;code&gt;token&lt;/code&gt;, 使用命令生成&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl create token headlamp --namespace headlamp --duration 168h<br /> &lt;/syntaxhighlight&gt;若不通则进行检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 9.3 查看资源使用概览 ====<br /> Headlamp中各种资源显示, 需要依赖 &lt;code&gt;metrics-server&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add metrics-server https://kubernetes-sigs.github.io/metrics-server/<br /> helm repo update<br /> helm upgrade --install metrics-server metrics-server/metrics-server -n kube-system --set &quot;args[0]=--kubelet-insecure-tls&quot;<br /> &lt;/syntaxhighlight&gt;安装好后就可以正常显示资源占用情况<br /> <br /> == 10. 常见问题排查 ==<br /> <br /> ==== 10.1 Flannel 启动失败 ====<br /> 优先检查这几个点, Flannel 官方 README 明确指出 它依赖 &lt;code&gt;br_netfilter&lt;/code&gt; 另外它默认使用 &lt;code&gt;portmap&lt;/code&gt; 作为 CNI 网络插件的一部分 并要求相关 CNI 二进制位于 &lt;code&gt;/opt/cni/bin&lt;/code&gt; <br /> <br /> ==== 10.2 Headlamp 页面能打开但无法登录 ====<br /> 重点检查<br /> <br /> * token 是否复制完整<br /> * ServiceAccount 是否创建在 &lt;code&gt;kube-system&lt;/code&gt;<br /> * ClusterRoleBinding 是否绑定成功<br /> * Headlamp 是否真的暴露成 NodePort<br /> <br /> ==== 10.3 Pod 无法联网 ====<br /> 重点检查<br /> <br /> * &lt;code&gt;kubeadm init&lt;/code&gt; 的 &lt;code&gt;--pod-network-cidr&lt;/code&gt;<br /> * Flannel Chart 的 &lt;code&gt;podCidr&lt;/code&gt;<br /> * 主机自身网段是否与 Pod 网段冲突<br /> <br /> Kubernetes 官方明确提醒 Pod network 不应与宿主机网络重叠 否则容易出现网络异常<br /> <br /> == '''11. 常用命令''' ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot; line=&quot;1&quot;&gt;<br /> # -------------------------<br /> # 1 集群和命名空间<br /> # -------------------------<br /> kubectl config current-context # 查看当前 kubeconfig 上下文<br /> kubectl config get-contexts # 查看所有可用上下文<br /> kubectl config use-context my-cluster # 切换到指定集群上下文<br /> kubectl get ns # 查看所有命名空间<br /> kubectl get pods -n kube-system # 查看指定命名空间中的 Pod<br /> kubectl config set-context --current --namespace=default # 设置当前上下文默认命名空间<br /> <br /> # -------------------------<br /> # 2 Helm 安装和版本管理<br /> # -------------------------<br /> helm repo add bitnami https://charts.bitnami.com/bitnami # 添加 Helm 仓库<br /> helm repo update # 更新 Helm 仓库索引<br /> helm search repo nginx # 在 Helm 仓库中搜索 chart<br /> helm install my-nginx bitnami/nginx # 安装一个 Helm release<br /> helm install my-nginx bitnami/nginx -n web --create-namespace # 安装到指定命名空间 不存在则创建<br /> helm install headlamp headlamp/headlamp -n kube-system -f values.yaml # 使用 values 文件安装 release<br /> helm upgrade headlamp headlamp/headlamp -n kube-system -f values.yaml # 升级已有 release<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml # 不存在则安装 存在则升级<br /> helm list -A # 查看所有命名空间中的 Helm release<br /> helm status headlamp -n kube-system # 查看某个 release 当前状态<br /> helm history headlamp -n kube-system # 查看 release 历史版本<br /> helm rollback headlamp 2 -n kube-system # 回滚到指定 revision<br /> helm uninstall headlamp -n kube-system # 卸载 release<br /> helm show values headlamp/headlamp # 查看 chart 默认 values<br /> helm template headlamp headlamp/headlamp -n kube-system -f values.yaml # 本地渲染模板 不实际安装<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml --dry-run # 试运行安装或升级<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml --dry-run --debug # 试运行并输出详细调试信息<br /> <br /> # -------------------------<br /> # 3 常用资源查看<br /> # -------------------------<br /> kubectl get pods # 查看当前命名空间的 Pod<br /> kubectl get pods -o wide # 查看 Pod 并显示节点 IP 等更多信息<br /> kubectl get pods -w # 持续监听 Pod 状态变化<br /> kubectl get deploy # 查看 Deployment<br /> kubectl get svc # 查看 Service<br /> kubectl get ds # 查看 DaemonSet<br /> kubectl get sts # 查看 StatefulSet<br /> kubectl get ingress # 查看 Ingress<br /> kubectl get all -n kube-system # 查看命名空间下常见资源<br /> kubectl get pods -l app.kubernetes.io/name=headlamp -n kube-system # 根据标签筛选 Pod<br /> kubectl get deploy headlamp -n kube-system -o yaml # 查看 Deployment 的完整 YAML<br /> kubectl get svc headlamp -n kube-system -o wide # 查看 Service 详细信息<br /> <br /> # -------------------------<br /> # 4 排障常用<br /> # -------------------------<br /> kubectl describe pod headlamp-xxx-xxx -n kube-system # 查看 Pod 详细状态和事件<br /> kubectl describe deploy headlamp -n kube-system # 查看 Deployment 详细信息<br /> kubectl describe svc headlamp -n kube-system # 查看 Service 详细信息<br /> kubectl get events -n kube-system --sort-by=.metadata.creationTimestamp # 按时间排序查看命名空间事件<br /> kubectl get events -A --sort-by=.metadata.creationTimestamp # 查看全局事件并按时间排序<br /> kubectl logs headlamp-xxx-xxx -n kube-system # 查看 Pod 日志<br /> kubectl logs -f headlamp-xxx-xxx -n kube-system # 持续跟踪 Pod 日志<br /> kubectl logs headlamp-xxx-xxx -n kube-system -c headlamp # 查看指定容器日志<br /> kubectl logs headlamp-xxx-xxx -n kube-system --previous # 查看容器上一次崩溃前日志<br /> kubectl exec -it headlamp-xxx-xxx -n kube-system -- /bin/sh # 进入容器 shell<br /> kubectl exec -it headlamp-xxx-xxx -n kube-system -- /bin/bash # 进入容器 bash<br /> kubectl get pods -n kube-system # 先列出 Pod 再选择进入<br /> kubectl exec -it pod-name -n kube-system -- /bin/sh # 进入指定 Pod<br /> kubectl top pod -n kube-system # 查看 Pod CPU 和内存使用量<br /> kubectl top node # 查看节点资源使用量<br /> <br /> # -------------------------<br /> # 5 发布和重启相关<br /> # -------------------------<br /> kubectl rollout restart deploy headlamp -n kube-system # 滚动重启 Deployment<br /> kubectl rollout status deploy headlamp -n kube-system # 查看 Deployment 发布状态<br /> kubectl rollout history deploy headlamp -n kube-system # 查看 Deployment 发布历史<br /> kubectl rollout undo deploy headlamp -n kube-system # 回滚 Deployment 到上一版本<br /> kubectl scale deploy headlamp --replicas=3 -n kube-system # 调整副本数<br /> kubectl delete pod headlamp-xxx-xxx -n kube-system # 删除 Pod 让控制器自动重建<br /> <br /> # -------------------------<br /> # 6 网络和端口相关<br /> # -------------------------<br /> kubectl get svc -n kube-system # 查看命名空间下 Service<br /> kubectl port-forward pod/headlamp-xxx-xxx 8080:80 -n kube-system # 将本地 8080 转发到 Pod 的 80<br /> kubectl port-forward svc/headlamp 8080:80 -n kube-system # 将本地 8080 转发到 Service 的 80<br /> kubectl get endpoints headlamp -n kube-system # 查看 Service 后端 Endpoint<br /> kubectl run tmp-shell -it --rm --image=busybox -- /bin/sh # 临时启动调试 Pod<br /> nslookup kubernetes.default # 在调试容器中解析集群 DNS<br /> wget -qO- http://headlamp.kube-system.svc.cluster.local # 在调试容器中访问集群内部 Service<br /> <br /> # -------------------------<br /> # 7 配置和存储相关<br /> # -------------------------<br /> <br /> kubectl get configmap -n kube-system # 查看 ConfigMap<br /> kubectl get secret -n kube-system # 查看 Secret<br /> kubectl get pvc -A # 查看所有 PVC<br /> kubectl get pv # 查看所有 PV<br /> kubectl get nodes -o wide # 查看节点及详细信息<br /> kubectl describe node node-1 # 查看节点详细状态<br /> kubectl get deploy headlamp -n kube-system -o yaml # 查看实际生效的 Deployment YAML<br /> <br /> # -------------------------<br /> # 8 Helm 配合排障常用<br /> # -------------------------<br /> helm status headlamp -n kube-system # 查看 release 当前运行状态<br /> helm get values headlamp -n kube-system # 查看用户自定义 values<br /> helm get values headlamp -n kube-system -a # 查看合并后的全部 values<br /> helm get manifest headlamp -n kube-system # 查看 release 实际渲染出的 manifest<br /> helm get notes headlamp -n kube-system # 查看安装说明和访问提示<br /> kubectl get pod headlamp-xxx-xxx -n kube-system --show-labels # 查看 Pod 标签 判断所属 release<br /> kubectl get all -n kube-system -l app.kubernetes.io/instance=headlamp # 根据 Helm release 标签筛选整套资源<br /> <br /> # -------------------------<br /> # 9 最常用 20 个命令<br /> # -------------------------<br /> kubectl get pods -A # 查看所有命名空间 Pod<br /> kubectl get svc -A # 查看所有命名空间 Service<br /> kubectl get deploy -A # 查看所有命名空间 Deployment<br /> kubectl get all -n kube-system # 查看 kube-system 中常见资源<br /> kubectl get pods -o wide -n kube-system # 查看 Pod 详细信息<br /> kubectl describe pod pod-name -n kube-system # 查看 Pod 详情<br /> kubectl describe deploy deploy-name -n kube-system # 查看 Deployment 详情<br /> kubectl logs pod-name -n kube-system # 查看日志<br /> kubectl logs -f pod-name -n kube-system # 持续跟踪日志<br /> kubectl logs pod-name -n kube-system --previous # 查看上一次容器日志<br /> kubectl exec -it pod-name -n kube-system -- /bin/sh # 进入容器<br /> kubectl get events -n kube-system --sort-by=.metadata.creationTimestamp # 查看时间排序事件<br /> kubectl port-forward svc/service-name 8080:80 -n kube-system # 本地端口转发到 Service<br /> kubectl rollout restart deploy deploy-name -n kube-system # 重启 Deployment<br /> kubectl rollout status deploy deploy-name -n kube-system # 查看滚动发布状态<br /> kubectl scale deploy deploy-name --replicas=2 -n kube-system # 调整副本数<br /> helm list -A # 查看所有 Helm release<br /> helm status release-name -n kube-system # 查看 release 状态<br /> helm get values release-name -n kube-system -a # 查看 release 全部 values<br /> helm upgrade --install release-name repo/chart -n kube-system -f values.yaml # Helm 安装或升级<br /> <br /> # -------------------------<br /> # 10 实战排障流程<br /> # -------------------------<br /> helm status headlamp -n kube-system # 先检查 release 状态<br /> kubectl get all -n kube-system -l app.kubernetes.io/instance=headlamp # 查看 release 关联资源<br /> kubectl get pods -n kube-system -o wide # 查看 Pod 是否正常运行<br /> kubectl describe pod pod-name -n kube-system # 检查 Pod 事件和错误<br /> kubectl logs pod-name -n kube-system # 查看应用日志<br /> kubectl get svc -n kube-system # 查看 Service 是否创建成功<br /> kubectl describe svc headlamp -n kube-system # 查看 Service 配置详情<br /> kubectl get endpoints headlamp -n kube-system # 查看 Service 是否关联到后端 Pod<br /> kubectl port-forward svc/headlamp 8080:80 -n kube-system # 用本地转发验证服务本身是否正常<br /> <br /> # -------------------------<br /> # 11 常用别名<br /> # -------------------------<br /> alias k=kubectl # kubectl 简写<br /> alias kgp='kubectl get pods' # 快速查看 Pod<br /> alias kgs='kubectl get svc' # 快速查看 Service<br /> alias kgd='kubectl get deploy' # 快速查看 Deployment<br /> alias kdp='kubectl describe pod' # 快速查看 Pod 详情<br /> alias kdd='kubectl describe deploy' # 快速查看 Deployment 详情<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''12. Helm Chart 配置文件模板''' ==<br /> &lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> replicaCount: 1 # Pod 副本数. 单节点或测试环境常设为 1<br /> revisionHistoryLimit: 10 # Deployment 保留的历史版本数. 便于回滚<br /> minReadySeconds: 0 # Pod 就绪后保持多久才视为可用<br /> <br /> deploymentStrategy: # Deployment 更新策略<br /> type: RollingUpdate # 推荐 RollingUpdate. Recreate 会先删后建<br /> rollingUpdate:<br /> maxUnavailable: 25% # 滚动更新期间最大不可用比例<br /> maxSurge: 25% # 滚动更新期间可额外创建的副本比例<br /> <br /> image:<br /> registry: ghcr.io # 镜像仓库地址<br /> repository: headlamp-k8s/headlamp # 示例镜像名. 新容器可改为自己的镜像<br /> tag: &quot;&quot; # 镜像标签. 留空时通常使用 chart 默认 appVersion<br /> pullPolicy: IfNotPresent # 拉取策略. 常用 IfNotPresent 或 Always<br /> <br /> imagePullSecrets: [] # 私有仓库拉取密钥. 无需私仓时保持空数组<br /> <br /> nameOverride: &quot;&quot; # 覆盖 chart 名称的一部分. 一般不需要<br /> fullnameOverride: &quot;headlamp&quot; # 最终资源名. 示例中固定方便管理. 新项目可改<br /> namespaceOverride: &quot;&quot; # 覆盖命名空间. 一般更建议 helm -n 指定<br /> <br /> initContainers: # 初始化容器. 在主容器启动前执行<br /> - name: init-plugin-dir # 初始化容器名称<br /> image: busybox:1.36 # 使用轻量 busybox 镜像<br /> imagePullPolicy: IfNotPresent # initContainer 拉取策略<br /> command:<br /> - sh<br /> - -c<br /> - mkdir -p /headlamp/plugins &amp;&amp; chmod -R 755 /headlamp/plugins # 创建插件目录并赋权<br /> securityContext:<br /> runAsNonRoot: false # 初始化目录时通常允许 root 更省事. 严格环境可改<br /> allowPrivilegeEscalation: false # 禁止提权<br /> volumeMounts:<br /> - name: plugins-volume # 挂载插件卷以便初始化目录<br /> mountPath: /headlamp/plugins # 容器内插件目录路径<br /> <br /> extraContainers: [] # 额外 sidecar 容器. 例如日志采集或代理<br /> <br /> terminationGracePeriodSeconds: 30 # 优雅退出宽限期. 过短可能导致连接被硬切断<br /> hostNetwork: false # 是否使用宿主机网络. 一般保持 false<br /> dnsPolicy: ClusterFirst # DNS 策略. hostNetwork=true 时常配 ClusterFirstWithHostNet<br /> dnsConfig: {} # 自定义 DNS 配置. 需模板支持<br /> hostAliases: [] # 额外 hosts 映射. 仅少数场景使用<br /> <br /> config:<br /> inCluster: true # 集群内访问模式. Pod 通过 ServiceAccount 访问 K8s API<br /> inClusterContextName: &quot;main&quot; # 集群内上下文名称<br /> baseURL: &quot;&quot; # 子路径访问时填写如 /headlamp. 根路径保持空<br /> sessionTTL: 86400 # 登录会话有效期. 单位秒. 86400 = 24 小时<br /> <br /> oidc:<br /> secret:<br /> create: false # 是否由 chart 自动创建 OIDC Secret<br /> name: oidc # OIDC Secret 名称<br /> clientID: &quot;&quot; # OIDC 客户端 ID<br /> clientSecret: &quot;&quot; # OIDC 客户端密钥<br /> issuerURL: &quot;&quot; # OIDC 发行者地址<br /> scopes: &quot;&quot; # OIDC scopes<br /> callbackURL: &quot;&quot; # OIDC 回调地址<br /> validatorClientID: &quot;&quot; # Token 校验客户端 ID<br /> validatorIssuerURL: &quot;&quot; # Token 校验发行者地址<br /> useAccessToken: false # 是否使用 Access Token<br /> usePKCE: false # 是否启用 PKCE<br /> useCookie: false # 是否通过 Cookie 保存认证信息<br /> externalSecret:<br /> enabled: false # 是否使用外部 Secret<br /> name: &quot;&quot; # 外部 Secret 名称<br /> <br /> meUserInfoURL: &quot;&quot; # 用户信息接口地址. 未接入外部认证时可留空<br /> pluginsDir: &quot;/headlamp/plugins&quot; # 插件目录<br /> enableHelm: false # 最新 chart 默认值为 false. 仅需展示 Helm 信息时开启<br /> watchPlugins: false # 是否实时监听插件目录变化<br /> extraArgs: [] # 额外启动参数. 例如 -plugins-dir=/headlamp/plugins<br /> <br /> env: # 环境变量<br /> - name: TZ # 时区环境变量名称<br /> value: &quot;Asia/Shanghai&quot; # 时区设置<br /> <br /> envFrom: [] # 从 ConfigMap 或 Secret 批量导入环境变量. 需模板支持<br /> <br /> containerPorts: # 容器端口示例. 需模板支持<br /> - name: http # 端口名称. 多端口 Service 时建议显式命名<br /> containerPort: 4466 # 容器监听端口. 请按实际应用修改<br /> protocol: TCP # 协议. 通常 TCP<br /> <br /> livenessProbe: {} # 存活探针. K8S 原生支持 exec/httpGet/tcpSocket/grpc. 需模板支持<br /> readinessProbe: {} # 就绪探针. 控制是否加入 Service 端点. 需模板支持<br /> startupProbe: {} # 启动探针. 慢启动应用推荐配置. 需模板支持<br /> lifecycle: {} # 生命周期钩子. preStop/postStart. 需模板支持<br /> <br /> automountServiceAccountToken: true # 自动挂载 ServiceAccount Token. 集群内访问通常保持 true<br /> <br /> serviceAccount:<br /> create: true # 是否自动创建 ServiceAccount<br /> annotations: {} # ServiceAccount 注解<br /> name: &quot;&quot; # 最新 chart 默认空字符串. 留空时一般按 fullname 生成<br /> <br /> clusterRoleBinding:<br /> create: true # 是否自动创建 ClusterRoleBinding<br /> clusterRoleName: &quot;cluster-admin&quot; # 示例使用 cluster-admin. 生产环境建议改成最小权限角色<br /> annotations: {} # ClusterRoleBinding 注解<br /> <br /> deploymentAnnotations: {} # Deployment 注解<br /> podAnnotations: # Pod 注解. 可用于 sidecar 注入 监控抓取等<br /> kubectl.kubernetes.io/default-container: &quot;headlamp&quot; # kubectl exec/logs 默认容器提示. 非必须但更顺手<br /> <br /> podLabels:<br /> app.kubernetes.io/name: &quot;headlamp&quot; # 推荐使用标准标签<br /> app.kubernetes.io/component: &quot;web&quot; # 组件标签. 便于筛选和治理<br /> <br /> hostUsers: true # Pod 是否共享宿主用户命名空间. 设 false 可启用 user namespaces<br /> <br /> podSecurityContext:<br /> fsGroup: 101 # 卷文件组 ID. 便于挂载目录权限控制<br /> fsGroupChangePolicy: OnRootMismatch # 新版常用项. 仅在需要时递归改卷权限<br /> seccompProfile:<br /> type: RuntimeDefault # 推荐使用运行时默认 seccomp 配置<br /> <br /> securityContext:<br /> runAsNonRoot: true # 强制非 root 运行<br /> privileged: false # 不使用特权模式<br /> runAsUser: 100 # 容器运行用户 UID<br /> runAsGroup: 101 # 容器运行用户组 GID<br /> allowPrivilegeEscalation: false # 禁止提权<br /> readOnlyRootFilesystem: false # 需要更强约束时可设 true 并配 writable 卷<br /> capabilities:<br /> drop:<br /> - ALL # 建议默认移除全部 Linux capabilities<br /> <br /> service:<br /> annotations: {} # Service 注解<br /> type: NodePort # 暴露方式. 可选 ClusterIP / NodePort / LoadBalancer<br /> port: 80 # Service 端口<br /> targetPort: http # 目标端口. 建议引用命名端口便于变更<br /> appProtocol: http # 应用层协议提示. v1.20 稳定<br /> clusterIP: &quot;&quot; # ClusterIP 一般不手动指定<br /> # loadBalancerIP: &quot;&quot; # 该字段自 v1.24 起已废弃. 新环境不建议再依赖<br /> loadBalancerSourceRanges: [] # 限制允许访问的来源网段<br /> nodePort: 30080 # NodePort 固定端口. 浏览器可通过 NodeIP:30080 访问<br /> externalTrafficPolicy: Cluster # 对外流量策略. Local 可保留客户端源 IP<br /> internalTrafficPolicy: Cluster # 集群内流量策略. v1.26 稳定. Local 可优先本地端点<br /> sessionAffinity: None # 会话亲和性. 可选 None / ClientIP<br /> sessionAffinityConfig: {} # 会话亲和性高级配置. 需按需填写<br /> ipFamilyPolicy: SingleStack # 可选 SingleStack / PreferDualStack / RequireDualStack<br /> ipFamilies: [] # 双栈时可写 [IPv4, IPv6] 或 [IPv6, IPv4]<br /> trafficDistribution: PreferSameZone # v1.33 稳定. v1.35 支持 PreferSameZone / PreferSameNode<br /> <br /> volumeMounts:<br /> - name: plugins-volume # 插件卷名称<br /> mountPath: /headlamp/plugins # 容器内挂载路径<br /> <br /> # - name: kubeconfig-volume # 可选 kubeconfig 卷名称<br /> # mountPath: /home/headlamp/.config/Headlamp/kubeconfigs/config # 容器内 kubeconfig 文件路径<br /> # subPath: config # 将卷中的 config 文件挂载为单文件<br /> <br /> volumes:<br /> - name: plugins-volume # 卷名称. 需与 volumeMounts 对应<br /> hostPath:<br /> path: /data/headlamp/plugins # 宿主机目录. 等价于 Docker 左侧路径<br /> type: DirectoryOrCreate # 不存在时自动创建目录<br /> <br /> # - name: kubeconfig-volume # 可选 kubeconfig 卷<br /> # hostPath:<br /> # path: /data/headlamp/kubeconfigs # 宿主机 kubeconfig 所在目录<br /> # type: DirectoryOrCreate # 不存在时自动创建<br /> <br /> persistentVolumeClaim:<br /> enabled: false # 是否改用 PVC 持久化. 使用 hostPath 时通常设 false<br /> annotations: {} # PVC 注解<br /> accessModes: [] # PVC 访问模式. 如 ReadWriteOnce<br /> size: &quot;&quot; # PVC 大小. 如 5Gi<br /> storageClassName: &quot;&quot; # 存储类名称<br /> selector: {} # PVC 选择器<br /> volumeMode: &quot;&quot; # 卷模式. 如 Filesystem / Block<br /> dataSource: {} # 高级项. 可从快照或现有卷克隆. 需模板支持<br /> <br /> ingress:<br /> enabled: false # 是否启用 Ingress<br /> annotations: {} # Ingress 注解<br /> labels: {} # Ingress 标签<br /> ingressClassName: &quot;&quot; # IngressClass 名称. 替代旧注解 kubernetes.io/ingress.class<br /> hosts: [] # 域名和路径配置<br /> tls: [] # TLS 配置<br /> <br /> httpRoute:<br /> enabled: false # 是否启用 Gateway API 的 HTTPRoute<br /> annotations: {} # HTTPRoute 注解<br /> labels: {} # HTTPRoute 标签<br /> parentRefs: [] # 关联 Gateway. 启用时通常必填<br /> hostnames: [] # 绑定域名<br /> rules: [] # 路由规则. 未配置时通常走默认前缀路由<br /> <br /> resources: # 资源请求与限制<br /> requests:<br /> cpu: &quot;100m&quot; # 最低 CPU 请求<br /> memory: &quot;128Mi&quot; # 最低内存请求<br /> limits:<br /> cpu: &quot;500m&quot; # CPU 上限<br /> memory: &quot;512Mi&quot; # 内存上限<br /> <br /> nodeSelector:<br /> kubernetes.io/os: linux # 仅调度到 Linux 节点<br /> <br /> tolerations: [] # 容忍污点. 无特殊需求可留空<br /> affinity: {} # 亲和性规则. 无特殊需求可留空<br /> topologySpreadConstraints: # 拓扑分布约束. 新版 K8S 常用高可用配置<br /> # - maxSkew: 1 # 单个拓扑域允许的最大偏斜<br /> # topologyKey: topology.kubernetes.io/zone # 按可用区分布. 也可用 kubernetes.io/hostname<br /> # whenUnsatisfiable: ScheduleAnyway # 可选 DoNotSchedule / ScheduleAnyway<br /> # labelSelector:<br /> # matchLabels:<br /> # app.kubernetes.io/name: headlamp # 选取同类 Pod<br /> # matchLabelKeys: # v1.27 起 Beta. 可按 Pod 标签键自动匹配<br /> # - pod-template-hash<br /> # nodeAffinityPolicy: Honor # v1.26 起 Beta. 可选 Honor / Ignore<br /> # nodeTaintsPolicy: Ignore # v1.26 起 Beta. 可选 Honor / Ignore<br /> []<br /> <br /> priorityClassName: &quot;&quot; # 优先级类名称<br /> runtimeClassName: &quot;&quot; # 运行时类. 如 gvisor kata 等. 需模板支持<br /> <br /> pluginsManager:<br /> enabled: false # 是否启用插件管理 sidecar<br /> configFile: &quot;plugin.yml&quot; # 插件配置文件名<br /> configContent: &quot;&quot; # 插件配置内容<br /> baseImage: node:lts-alpine # 插件管理器基础镜像<br /> version: latest # 插件管理器版本<br /> volumeMounts: [] # 插件管理器额外挂载<br /> securityContext: {} # 插件管理器安全上下文<br /> <br /> podDisruptionBudget:<br /> enabled: false # 是否启用 PDB<br /> minAvailable: 0 # 最少可用副本数<br /> maxUnavailable: null # 最大不可用副本数<br /> unhealthyPodEvictionPolicy: null # 不健康 Pod 驱逐策略. 新集群可按需设置<br /> <br /> extraManifests: [] # 附加资源清单. 可内嵌额外 K8s YAML<br /> <br /> &lt;/syntaxhighlight&gt;</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E6%90%AD%E5%BB%BA_Kubernetes_%E4%B8%80%E7%AB%99%E5%BC%8F%E5%B9%B3%E5%8F%B0&diff=1893 2026-04-12T20:04:05Z

<p>Koud Wind：​</p> <hr /> <div>----<br /> <br /> == '''1. 什么是 Kubernetes / k8s''' ==<br /> k8s 也就是 Kubernetes 是一个面向容器化应用的自动化管理平台, 核心职责是管理程序运行的环境, 包括 &lt;code&gt;部署应用/调度资源/维护副本/处理故障/对外暴露服务&lt;/code&gt;等等...<br /> <br /> 对于初学者来说可以把它理解成一个专门管理容器集群的平台, 当你只有一个容器时也许还感觉不到它的必要性<br /> <br /> 但当你需要同时运行多个服务, 需要让服务彼此通信, 需要保证应用异常后自动恢复, 甚至需要后续扩容到多台机器时 Kubernetes 的价值就会非常明显<br /> <br /> 而本文要做的事情, 就是在一台主机上先搭建一个最小可运行的 Kubernetes 环境, 借助这个过程去理解 Kubernetes 是怎样从零开始被组织起来的<br /> <br /> 为了易读性, 在这里会将 &lt;code&gt;Kubernetes&lt;/code&gt; 简称为 &lt;code&gt;k8s&lt;/code&gt;<br /> <br /> == 2. 环境说明 ==<br /> 运行 kubeadm 集群建议 control plane 节点至少具备 &lt;code&gt;2 Core CPU&lt;/code&gt; 和 &lt;code&gt;2 GiB&lt;/code&gt; 运存, 推荐购买搬瓦工的 [https://bandwagonhost.com/cart.php?a=add&amp;pid=166 ECOMMERCE SLA] 套餐<br /> <br /> * 操作系统以 Debian13 为例<br /> * 主机数量 1 台<br /> * 使用 root 用户<br /> * 主机承担 control plane 和 workload 调度<br /> * k8s pod网段为 &lt;code&gt;10.10.0.0/16&lt;/code&gt; , service网段为 &lt;code&gt;192.168.0.0/16&lt;/code&gt;<br /> * 使用 &lt;code&gt;Headlamp&lt;/code&gt; 管理k8s pods<br /> <br /> == '''3. 前置准备''' ==<br /> <br /> ==== 3.1 加载模块并启用转发 ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> cat &lt;&lt;'EOF' | tee /etc/modules-load.d/k8s.conf<br /> overlay<br /> br_netfilter<br /> EOF<br /> <br /> modprobe overlay<br /> modprobe br_netfilter<br /> <br /> cat &lt;&lt;'EOF' | tee /etc/sysctl.d/k8s.conf<br /> net.bridge.bridge-nf-call-iptables = 1<br /> net.bridge.bridge-nf-call-ip6tables = 1<br /> net.ipv4.ip_forward = 1<br /> net.ipv6.conf.all.forwarding = 1<br /> EOF<br /> sysctl --system<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.2 配置 hosts ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> tee -a /etc/hosts &gt; /dev/null &lt;&lt;'EOF'<br /> 127.0.0.1 k8s-master<br /> EOF<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.3 关闭 swap (可选) ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> swapoff -a<br /> sed -ri '/\sswap\s/s/^/#/' /etc/fstab<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == 4. 安装 containerd ==<br /> 更新软件源并安装 containerd 与 其他核心组件&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> apt update<br /> apt install -y containerd apt-transport-https ca-certificates curl gpg<br /> &lt;/syntaxhighlight&gt;生成默认配置文件并修改配置文件, 这里为了防止后续可能报错, 修改了 &lt;code&gt;bin_dir&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /etc/containerd<br /> containerd config default | tee /etc/containerd/config.toml &gt; /dev/null<br /> sed -i 's#bin_dir = &quot;/usr/lib/cni&quot;#bin_dir = &quot;/opt/cni/bin&quot;#' /etc/containerd/config.toml<br /> sed -i 's/SystemdCgroup = false/SystemdCgroup = true/' /etc/containerd/config.toml&lt;/syntaxhighlight&gt;重启并设置自启&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> systemctl daemon-reload<br /> systemctl restart containerd<br /> systemctl enable containerd<br /> systemctl status containerd<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''5. 安装 kubeadm kubelet kubectl''' ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p -m 755 /etc/apt/keyrings<br /> curl -fsSL https://pkgs.k8s.io/core:/stable:/v1.35/deb/Release.key | gpg --dearmor -o /etc/apt/keyrings/kubernetes-apt-keyring.gpg<br /> echo 'deb [signed-by=/etc/apt/keyrings/kubernetes-apt-keyring.gpg] https://pkgs.k8s.io/core:/stable:/v1.35/deb/ /' | tee /etc/apt/sources.list.d/kubernetes.list<br /> apt-get update<br /> apt-get install -y kubelet kubeadm kubectl<br /> apt-mark hold kubelet kubeadm kubectl<br /> systemctl enable --now kubelet<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm version<br /> kubectl version --client<br /> kubelet --version<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == 6. 初始化单节点 k8s 集群 ==<br /> 新建一个初始化配置&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /main/k8s<br /> nano /main/k8s/kubeadm-config.yaml&lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: InitConfiguration<br /> nodeRegistration:<br /> name: master<br /> criSocket: &quot;unix:///run/containerd/containerd.sock&quot;<br /> localAPIEndpoint:<br /> advertiseAddress: &lt;你的公网主机IP&gt;<br /> bindPort: 6443<br /> <br /> ---<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: ClusterConfiguration<br /> kubernetesVersion: v1.35.0<br /> networking:<br /> podSubnet: 10.10.0.0/16<br /> serviceSubnet: 192.168.0.0/16<br /> dnsDomain: cluster.local<br /> <br /> # 若开启了Swap需要解除此注释!<br /> #---<br /> #apiVersion: kubelet.config.k8s.io/v1beta1<br /> #kind: KubeletConfiguration<br /> #cgroupDriver: systemd<br /> #failSwapOn: false<br /> #memorySwap:<br /> # swapBehavior: LimitedSwap<br /> <br /> <br /> &lt;/syntaxhighlight&gt;开始初始化&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm init --config /main/k8s/kubeadm-config.yaml<br /> &lt;/syntaxhighlight&gt;初始化完成后配置 kubectl&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p $HOME/.kube<br /> cp -i /etc/kubernetes/admin.conf $HOME/.kube/config<br /> chown &quot;$(id -u)&quot;:&quot;$(id -g)&quot; $HOME/.kube/config<br /> &lt;/syntaxhighlight&gt;因为我们是单节点, 需要移除 control plane 污点, 除非多台主机节点&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl taint nodes --all node-role.kubernetes.io/control-plane-<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl get nodes<br /> kubectl get pods -A&lt;/syntaxhighlight&gt;这时 master 大概率是 &lt;code&gt;NotReady&lt;/code&gt; 状态, 目前 CNI 还没有安装, CoreDNS 也通常不会处于 &lt;code&gt;Running&lt;/code&gt; 状态<br /> <br /> == '''7. 安装 Helm并设置补全''' ==<br /> 安装 Helm&lt;syntaxhighlight lang=&quot;bash&quot;&gt;curl -fsSL -o get_helm.sh https://raw.githubusercontent.com/helm/helm/main/scripts/get-helm-4<br /> chmod 700 get_helm.sh<br /> ./get_helm.sh<br /> helm version&lt;/syntaxhighlight&gt;<br /> <br /> ===== '''命令补全:''' =====<br /> <br /> * zsh&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion zsh)' &gt;&gt; ~/.zshrc<br /> echo 'source &lt;(helm completion zsh)' &gt;&gt; ~/.zshrc<br /> source ~/.zshrc<br /> &lt;/syntaxhighlight&gt;<br /> * bash&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion bash)' &gt;&gt; ~/.bashrc<br /> echo 'source &lt;(helm completion bash)' &gt;&gt; ~/.bashrc<br /> source ~/.bashrc<br /> &lt;/syntaxhighlight&gt;<br /> * fish&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl completion fish | sudo tee /etc/fish/completions/kubectl.fish &gt; /dev/null<br /> helm completion fish | sudo tee /etc/fish/completions/helm.fish &gt; /dev/null<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == 8. 安装 CNI 插件 ==<br /> 在资源紧凑的主机中我更推荐使用 &lt;code&gt;Flannel&lt;/code&gt; , 这里也会提供 &lt;code&gt;Calico&lt;/code&gt; 与 &lt;code&gt;Cilium&lt;/code&gt; 的安装, 根据应用场景自行选择其一<br /> <br /> 资源占用: &lt;code&gt;Flannel&lt;/code&gt; &lt; &lt;code&gt;Calico&lt;/code&gt; &lt; &lt;code&gt;Cilium&lt;/code&gt;<br /> <br /> ==== 8.1 Flannel ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl create namespace kube-flannel<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/enforce=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/audit=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/warn=privileged<br /> helm upgrade --install flannel -n kube-flannel --create-namespace --set podCidr=10.10.0.0/16 https://github.com/flannel-io/flannel/releases/download/v0.28.1/flannel.tgz&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.2 Calico ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;helm repo add projectcalico https://docs.tigera.io/calico/charts<br /> helm repo update<br /> kubectl create namespace tigera-operator<br /> helm upgrade --install calico projectcalico/tigera-operator --version v3.31.4 --namespace tigera-operator --set installation.calicoNetwork.ipPools[0].cidr=10.10.0.0/16 --set installation.calicoNetwork.ipPools[0].encapsulation=VXLAN&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.3 Cilium ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add cilium https://helm.cilium.io/<br /> helm repo update<br /> helm upgrade --install cilium cilium/cilium --version 1.19.1 --namespace kube-system<br /> &lt;/syntaxhighlight&gt;'''检查CNI'''&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;节点状态从 &lt;code&gt;NotReady&lt;/code&gt; 变为 &lt;code&gt;Ready&lt;/code&gt; , CoreDNS 进入 &lt;code&gt;Running&lt;/code&gt; 状态, '''至此, k8s 已经初步部署完成'''<br /> <br /> == '''9. Headlamp (可选)''' ==<br /> <br /> ==== 9.1 什么是 '''&lt;code&gt;Headlamp&lt;/code&gt;''' ====<br /> Headlamp是一个面向 k8s 的图形化管理界面, 它的目标是用更直观的方式帮助用户查看和管理集群资源, 例如节点/Pod/Deployment/Service/ConfigMap/Secret 等常见对象, 都可以通过 Web 页面进行浏览和操作<br /> <br /> 它定义为一个易用且可扩展的 Kubernetes WebUI 并强调它既可以作为集群内 Web 应用运行, 也可以作为桌面应用使用, 和很多传统 Dashboard 相比<br /> <br /> Headlamp 的特点主要有三点:<br /> <br /> # 界面更现代 更偏向日常运维与开发使用<br /> # 它支持基于 Kubernetes RBAC 的权限控制 用户能看到和操作的资源会自动受当前权限约束<br /> # 它具备插件扩展能力 可以根据团队需求定制界面和功能<br /> <br /> 我个人认为可以帮助初学者摆脱只看命令行输出的方式, 更直观地观察集群中资源的创建/状态变化/日志/配置情况, 因此很适合作为 k8s 学习和演示环境中的可视化入口. <br /> <br /> ==== 9.2 开始安装 ====<br /> 先新建一个 &lt;code&gt;values.yml&lt;/code&gt; 文件&lt;syntaxhighlight&gt;<br /> mkdir -p /main/k8s/headlamp<br /> nano /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> replicaCount: 1<br /> <br /> image:<br /> registry: ghcr.io<br /> repository: headlamp-k8s/headlamp<br /> tag: &quot;&quot;<br /> pullPolicy: IfNotPresent<br /> <br /> nameOverride: &quot;&quot;<br /> fullnameOverride: &quot;headlamp&quot;<br /> namespaceOverride: &quot;&quot;<br /> <br /> <br /> service:<br /> type: NodePort<br /> port: 80<br /> # 宿主机开放端口<br /> nodePort: 30080<br /> <br /> <br /> env:<br /> - name: TZ<br /> value: &quot;Asia/Shanghai&quot;<br /> <br /> config:<br /> pluginsDir: /headlamp/plugins<br /> <br /> volumes:<br /> - name: plugins-volume<br /> hostPath:<br /> path: /main/k8s/headlamp/plugins<br /> type: DirectoryOrCreate<br /> <br /> volumeMounts:<br /> - name: plugins-volume<br /> mountPath: /headlamp/plugins<br /> <br /> <br /> resources:<br /> requests:<br /> cpu: 100m<br /> memory: 128Mi<br /> limits:<br /> cpu: 500m<br /> memory: 512Mi<br /> <br /> &lt;/syntaxhighlight&gt;用 Helm 安装&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add headlamp https://kubernetes-sigs.github.io/headlamp/<br /> helm repo update<br /> helm upgrade --install headlamp headlamp/headlamp -n headlamp --create-namespace -f /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;通过开放的端口访问到 Headlamp, 初次加载需要等待一会, 之后需要输入 &lt;code&gt;token&lt;/code&gt;, 使用命令生成&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl create token headlamp --namespace headlamp --duration 168h<br /> &lt;/syntaxhighlight&gt;若不通则进行检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 9.3 查看资源使用概览 ====<br /> Headlamp中各种资源显示, 需要依赖 &lt;code&gt;metrics-server&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add metrics-server https://kubernetes-sigs.github.io/metrics-server/<br /> helm repo update<br /> helm upgrade --install metrics-server metrics-server/metrics-server -n kube-system --set &quot;args[0]=--kubelet-insecure-tls&quot;<br /> &lt;/syntaxhighlight&gt;安装好后就可以正常显示资源占用情况<br /> <br /> == 10. 常见问题排查 ==<br /> <br /> ==== 10.1 Flannel 启动失败 ====<br /> 优先检查这几个点, Flannel 官方 README 明确指出 它依赖 &lt;code&gt;br_netfilter&lt;/code&gt; 另外它默认使用 &lt;code&gt;portmap&lt;/code&gt; 作为 CNI 网络插件的一部分 并要求相关 CNI 二进制位于 &lt;code&gt;/opt/cni/bin&lt;/code&gt; <br /> <br /> ==== 10.2 Headlamp 页面能打开但无法登录 ====<br /> 重点检查<br /> <br /> * token 是否复制完整<br /> * ServiceAccount 是否创建在 &lt;code&gt;kube-system&lt;/code&gt;<br /> * ClusterRoleBinding 是否绑定成功<br /> * Headlamp 是否真的暴露成 NodePort<br /> <br /> ==== 10.3 Pod 无法联网 ====<br /> 重点检查<br /> <br /> * &lt;code&gt;kubeadm init&lt;/code&gt; 的 &lt;code&gt;--pod-network-cidr&lt;/code&gt;<br /> * Flannel Chart 的 &lt;code&gt;podCidr&lt;/code&gt;<br /> * 主机自身网段是否与 Pod 网段冲突<br /> <br /> Kubernetes 官方明确提醒 Pod network 不应与宿主机网络重叠 否则容易出现网络异常<br /> <br /> == '''11. 常用命令''' ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot; line=&quot;1&quot;&gt;<br /> # -------------------------<br /> # 1 集群和命名空间<br /> # -------------------------<br /> kubectl config current-context # 查看当前 kubeconfig 上下文<br /> kubectl config get-contexts # 查看所有可用上下文<br /> kubectl config use-context my-cluster # 切换到指定集群上下文<br /> kubectl get ns # 查看所有命名空间<br /> kubectl get pods -n kube-system # 查看指定命名空间中的 Pod<br /> kubectl config set-context --current --namespace=default # 设置当前上下文默认命名空间<br /> <br /> # -------------------------<br /> # 2 Helm 安装和版本管理<br /> # -------------------------<br /> helm repo add bitnami https://charts.bitnami.com/bitnami # 添加 Helm 仓库<br /> helm repo update # 更新 Helm 仓库索引<br /> helm search repo nginx # 在 Helm 仓库中搜索 chart<br /> helm install my-nginx bitnami/nginx # 安装一个 Helm release<br /> helm install my-nginx bitnami/nginx -n web --create-namespace # 安装到指定命名空间 不存在则创建<br /> helm install headlamp headlamp/headlamp -n kube-system -f values.yaml # 使用 values 文件安装 release<br /> helm upgrade headlamp headlamp/headlamp -n kube-system -f values.yaml # 升级已有 release<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml # 不存在则安装 存在则升级<br /> helm list -A # 查看所有命名空间中的 Helm release<br /> helm status headlamp -n kube-system # 查看某个 release 当前状态<br /> helm history headlamp -n kube-system # 查看 release 历史版本<br /> helm rollback headlamp 2 -n kube-system # 回滚到指定 revision<br /> helm uninstall headlamp -n kube-system # 卸载 release<br /> helm show values headlamp/headlamp # 查看 chart 默认 values<br /> helm template headlamp headlamp/headlamp -n kube-system -f values.yaml # 本地渲染模板 不实际安装<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml --dry-run # 试运行安装或升级<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml --dry-run --debug # 试运行并输出详细调试信息<br /> <br /> # -------------------------<br /> # 3 常用资源查看<br /> # -------------------------<br /> kubectl get pods # 查看当前命名空间的 Pod<br /> kubectl get pods -o wide # 查看 Pod 并显示节点 IP 等更多信息<br /> kubectl get pods -w # 持续监听 Pod 状态变化<br /> kubectl get deploy # 查看 Deployment<br /> kubectl get svc # 查看 Service<br /> kubectl get ds # 查看 DaemonSet<br /> kubectl get sts # 查看 StatefulSet<br /> kubectl get ingress # 查看 Ingress<br /> kubectl get all -n kube-system # 查看命名空间下常见资源<br /> kubectl get pods -l app.kubernetes.io/name=headlamp -n kube-system # 根据标签筛选 Pod<br /> kubectl get deploy headlamp -n kube-system -o yaml # 查看 Deployment 的完整 YAML<br /> kubectl get svc headlamp -n kube-system -o wide # 查看 Service 详细信息<br /> <br /> # -------------------------<br /> # 4 排障常用<br /> # -------------------------<br /> kubectl describe pod headlamp-xxx-xxx -n kube-system # 查看 Pod 详细状态和事件<br /> kubectl describe deploy headlamp -n kube-system # 查看 Deployment 详细信息<br /> kubectl describe svc headlamp -n kube-system # 查看 Service 详细信息<br /> kubectl get events -n kube-system --sort-by=.metadata.creationTimestamp # 按时间排序查看命名空间事件<br /> kubectl get events -A --sort-by=.metadata.creationTimestamp # 查看全局事件并按时间排序<br /> kubectl logs headlamp-xxx-xxx -n kube-system # 查看 Pod 日志<br /> kubectl logs -f headlamp-xxx-xxx -n kube-system # 持续跟踪 Pod 日志<br /> kubectl logs headlamp-xxx-xxx -n kube-system -c headlamp # 查看指定容器日志<br /> kubectl logs headlamp-xxx-xxx -n kube-system --previous # 查看容器上一次崩溃前日志<br /> kubectl exec -it headlamp-xxx-xxx -n kube-system -- /bin/sh # 进入容器 shell<br /> kubectl exec -it headlamp-xxx-xxx -n kube-system -- /bin/bash # 进入容器 bash<br /> kubectl get pods -n kube-system # 先列出 Pod 再选择进入<br /> kubectl exec -it pod-name -n kube-system -- /bin/sh # 进入指定 Pod<br /> kubectl top pod -n kube-system # 查看 Pod CPU 和内存使用量<br /> kubectl top node # 查看节点资源使用量<br /> <br /> # -------------------------<br /> # 5 发布和重启相关<br /> # -------------------------<br /> kubectl rollout restart deploy headlamp -n kube-system # 滚动重启 Deployment<br /> kubectl rollout status deploy headlamp -n kube-system # 查看 Deployment 发布状态<br /> kubectl rollout history deploy headlamp -n kube-system # 查看 Deployment 发布历史<br /> kubectl rollout undo deploy headlamp -n kube-system # 回滚 Deployment 到上一版本<br /> kubectl scale deploy headlamp --replicas=3 -n kube-system # 调整副本数<br /> kubectl delete pod headlamp-xxx-xxx -n kube-system # 删除 Pod 让控制器自动重建<br /> <br /> # -------------------------<br /> # 6 网络和端口相关<br /> # -------------------------<br /> kubectl get svc -n kube-system # 查看命名空间下 Service<br /> kubectl port-forward pod/headlamp-xxx-xxx 8080:80 -n kube-system # 将本地 8080 转发到 Pod 的 80<br /> kubectl port-forward svc/headlamp 8080:80 -n kube-system # 将本地 8080 转发到 Service 的 80<br /> kubectl get endpoints headlamp -n kube-system # 查看 Service 后端 Endpoint<br /> kubectl run tmp-shell -it --rm --image=busybox -- /bin/sh # 临时启动调试 Pod<br /> nslookup kubernetes.default # 在调试容器中解析集群 DNS<br /> wget -qO- http://headlamp.kube-system.svc.cluster.local # 在调试容器中访问集群内部 Service<br /> <br /> # -------------------------<br /> # 7 配置和存储相关<br /> # -------------------------<br /> <br /> kubectl get configmap -n kube-system # 查看 ConfigMap<br /> kubectl get secret -n kube-system # 查看 Secret<br /> kubectl get pvc -A # 查看所有 PVC<br /> kubectl get pv # 查看所有 PV<br /> kubectl get nodes -o wide # 查看节点及详细信息<br /> kubectl describe node node-1 # 查看节点详细状态<br /> kubectl get deploy headlamp -n kube-system -o yaml # 查看实际生效的 Deployment YAML<br /> <br /> # -------------------------<br /> # 8 Helm 配合排障常用<br /> # -------------------------<br /> helm status headlamp -n kube-system # 查看 release 当前运行状态<br /> helm get values headlamp -n kube-system # 查看用户自定义 values<br /> helm get values headlamp -n kube-system -a # 查看合并后的全部 values<br /> helm get manifest headlamp -n kube-system # 查看 release 实际渲染出的 manifest<br /> helm get notes headlamp -n kube-system # 查看安装说明和访问提示<br /> kubectl get pod headlamp-xxx-xxx -n kube-system --show-labels # 查看 Pod 标签 判断所属 release<br /> kubectl get all -n kube-system -l app.kubernetes.io/instance=headlamp # 根据 Helm release 标签筛选整套资源<br /> <br /> # -------------------------<br /> # 9 最常用 20 个命令<br /> # -------------------------<br /> kubectl get pods -A # 查看所有命名空间 Pod<br /> kubectl get svc -A # 查看所有命名空间 Service<br /> kubectl get deploy -A # 查看所有命名空间 Deployment<br /> kubectl get all -n kube-system # 查看 kube-system 中常见资源<br /> kubectl get pods -o wide -n kube-system # 查看 Pod 详细信息<br /> kubectl describe pod pod-name -n kube-system # 查看 Pod 详情<br /> kubectl describe deploy deploy-name -n kube-system # 查看 Deployment 详情<br /> kubectl logs pod-name -n kube-system # 查看日志<br /> kubectl logs -f pod-name -n kube-system # 持续跟踪日志<br /> kubectl logs pod-name -n kube-system --previous # 查看上一次容器日志<br /> kubectl exec -it pod-name -n kube-system -- /bin/sh # 进入容器<br /> kubectl get events -n kube-system --sort-by=.metadata.creationTimestamp # 查看时间排序事件<br /> kubectl port-forward svc/service-name 8080:80 -n kube-system # 本地端口转发到 Service<br /> kubectl rollout restart deploy deploy-name -n kube-system # 重启 Deployment<br /> kubectl rollout status deploy deploy-name -n kube-system # 查看滚动发布状态<br /> kubectl scale deploy deploy-name --replicas=2 -n kube-system # 调整副本数<br /> helm list -A # 查看所有 Helm release<br /> helm status release-name -n kube-system # 查看 release 状态<br /> helm get values release-name -n kube-system -a # 查看 release 全部 values<br /> helm upgrade --install release-name repo/chart -n kube-system -f values.yaml # Helm 安装或升级<br /> <br /> # -------------------------<br /> # 10 实战排障流程<br /> # -------------------------<br /> helm status headlamp -n kube-system # 先检查 release 状态<br /> kubectl get all -n kube-system -l app.kubernetes.io/instance=headlamp # 查看 release 关联资源<br /> kubectl get pods -n kube-system -o wide # 查看 Pod 是否正常运行<br /> kubectl describe pod pod-name -n kube-system # 检查 Pod 事件和错误<br /> kubectl logs pod-name -n kube-system # 查看应用日志<br /> kubectl get svc -n kube-system # 查看 Service 是否创建成功<br /> kubectl describe svc headlamp -n kube-system # 查看 Service 配置详情<br /> kubectl get endpoints headlamp -n kube-system # 查看 Service 是否关联到后端 Pod<br /> kubectl port-forward svc/headlamp 8080:80 -n kube-system # 用本地转发验证服务本身是否正常<br /> <br /> # -------------------------<br /> # 11 常用别名<br /> # -------------------------<br /> alias k=kubectl # kubectl 简写<br /> alias kgp='kubectl get pods' # 快速查看 Pod<br /> alias kgs='kubectl get svc' # 快速查看 Service<br /> alias kgd='kubectl get deploy' # 快速查看 Deployment<br /> alias kdp='kubectl describe pod' # 快速查看 Pod 详情<br /> alias kdd='kubectl describe deploy' # 快速查看 Deployment 详情<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == 12. Helm Chart 配置文件模板 ==<br /> &lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> replicaCount: 1 # Pod 副本数. 单节点或测试环境常设为 1<br /> revisionHistoryLimit: 10 # Deployment 保留的历史版本数. 便于回滚<br /> minReadySeconds: 0 # Pod 就绪后保持多久才视为可用<br /> <br /> deploymentStrategy: # Deployment 更新策略<br /> type: RollingUpdate # 推荐 RollingUpdate. Recreate 会先删后建<br /> rollingUpdate:<br /> maxUnavailable: 25% # 滚动更新期间最大不可用比例<br /> maxSurge: 25% # 滚动更新期间可额外创建的副本比例<br /> <br /> image:<br /> registry: ghcr.io # 镜像仓库地址<br /> repository: headlamp-k8s/headlamp # 示例镜像名. 新容器可改为自己的镜像<br /> tag: &quot;&quot; # 镜像标签. 留空时通常使用 chart 默认 appVersion<br /> pullPolicy: IfNotPresent # 拉取策略. 常用 IfNotPresent 或 Always<br /> <br /> imagePullSecrets: [] # 私有仓库拉取密钥. 无需私仓时保持空数组<br /> <br /> nameOverride: &quot;&quot; # 覆盖 chart 名称的一部分. 一般不需要<br /> fullnameOverride: &quot;headlamp&quot; # 最终资源名. 示例中固定方便管理. 新项目可改<br /> namespaceOverride: &quot;&quot; # 覆盖命名空间. 一般更建议 helm -n 指定<br /> <br /> initContainers: # 初始化容器. 在主容器启动前执行<br /> - name: init-plugin-dir # 初始化容器名称<br /> image: busybox:1.36 # 使用轻量 busybox 镜像<br /> imagePullPolicy: IfNotPresent # initContainer 拉取策略<br /> command:<br /> - sh<br /> - -c<br /> - mkdir -p /headlamp/plugins &amp;&amp; chmod -R 755 /headlamp/plugins # 创建插件目录并赋权<br /> securityContext:<br /> runAsNonRoot: false # 初始化目录时通常允许 root 更省事. 严格环境可改<br /> allowPrivilegeEscalation: false # 禁止提权<br /> volumeMounts:<br /> - name: plugins-volume # 挂载插件卷以便初始化目录<br /> mountPath: /headlamp/plugins # 容器内插件目录路径<br /> <br /> extraContainers: [] # 额外 sidecar 容器. 例如日志采集或代理<br /> <br /> terminationGracePeriodSeconds: 30 # 优雅退出宽限期. 过短可能导致连接被硬切断<br /> hostNetwork: false # 是否使用宿主机网络. 一般保持 false<br /> dnsPolicy: ClusterFirst # DNS 策略. hostNetwork=true 时常配 ClusterFirstWithHostNet<br /> dnsConfig: {} # 自定义 DNS 配置. 需模板支持<br /> hostAliases: [] # 额外 hosts 映射. 仅少数场景使用<br /> <br /> config:<br /> inCluster: true # 集群内访问模式. Pod 通过 ServiceAccount 访问 K8s API<br /> inClusterContextName: &quot;main&quot; # 集群内上下文名称<br /> baseURL: &quot;&quot; # 子路径访问时填写如 /headlamp. 根路径保持空<br /> sessionTTL: 86400 # 登录会话有效期. 单位秒. 86400 = 24 小时<br /> <br /> oidc:<br /> secret:<br /> create: false # 是否由 chart 自动创建 OIDC Secret<br /> name: oidc # OIDC Secret 名称<br /> clientID: &quot;&quot; # OIDC 客户端 ID<br /> clientSecret: &quot;&quot; # OIDC 客户端密钥<br /> issuerURL: &quot;&quot; # OIDC 发行者地址<br /> scopes: &quot;&quot; # OIDC scopes<br /> callbackURL: &quot;&quot; # OIDC 回调地址<br /> validatorClientID: &quot;&quot; # Token 校验客户端 ID<br /> validatorIssuerURL: &quot;&quot; # Token 校验发行者地址<br /> useAccessToken: false # 是否使用 Access Token<br /> usePKCE: false # 是否启用 PKCE<br /> useCookie: false # 是否通过 Cookie 保存认证信息<br /> externalSecret:<br /> enabled: false # 是否使用外部 Secret<br /> name: &quot;&quot; # 外部 Secret 名称<br /> <br /> meUserInfoURL: &quot;&quot; # 用户信息接口地址. 未接入外部认证时可留空<br /> pluginsDir: &quot;/headlamp/plugins&quot; # 插件目录<br /> enableHelm: false # 最新 chart 默认值为 false. 仅需展示 Helm 信息时开启<br /> watchPlugins: false # 是否实时监听插件目录变化<br /> extraArgs: [] # 额外启动参数. 例如 -plugins-dir=/headlamp/plugins<br /> <br /> env: # 环境变量<br /> - name: TZ # 时区环境变量名称<br /> value: &quot;Asia/Shanghai&quot; # 时区设置<br /> <br /> envFrom: [] # 从 ConfigMap 或 Secret 批量导入环境变量. 需模板支持<br /> <br /> containerPorts: # 容器端口示例. 需模板支持<br /> - name: http # 端口名称. 多端口 Service 时建议显式命名<br /> containerPort: 4466 # 容器监听端口. 请按实际应用修改<br /> protocol: TCP # 协议. 通常 TCP<br /> <br /> livenessProbe: {} # 存活探针. K8S 原生支持 exec/httpGet/tcpSocket/grpc. 需模板支持<br /> readinessProbe: {} # 就绪探针. 控制是否加入 Service 端点. 需模板支持<br /> startupProbe: {} # 启动探针. 慢启动应用推荐配置. 需模板支持<br /> lifecycle: {} # 生命周期钩子. preStop/postStart. 需模板支持<br /> <br /> automountServiceAccountToken: true # 自动挂载 ServiceAccount Token. 集群内访问通常保持 true<br /> <br /> serviceAccount:<br /> create: true # 是否自动创建 ServiceAccount<br /> annotations: {} # ServiceAccount 注解<br /> name: &quot;&quot; # 最新 chart 默认空字符串. 留空时一般按 fullname 生成<br /> <br /> clusterRoleBinding:<br /> create: true # 是否自动创建 ClusterRoleBinding<br /> clusterRoleName: &quot;cluster-admin&quot; # 示例使用 cluster-admin. 生产环境建议改成最小权限角色<br /> annotations: {} # ClusterRoleBinding 注解<br /> <br /> deploymentAnnotations: {} # Deployment 注解<br /> podAnnotations: # Pod 注解. 可用于 sidecar 注入 监控抓取等<br /> kubectl.kubernetes.io/default-container: &quot;headlamp&quot; # kubectl exec/logs 默认容器提示. 非必须但更顺手<br /> <br /> podLabels:<br /> app.kubernetes.io/name: &quot;headlamp&quot; # 推荐使用标准标签<br /> app.kubernetes.io/component: &quot;web&quot; # 组件标签. 便于筛选和治理<br /> <br /> hostUsers: true # Pod 是否共享宿主用户命名空间. 设 false 可启用 user namespaces<br /> <br /> podSecurityContext:<br /> fsGroup: 101 # 卷文件组 ID. 便于挂载目录权限控制<br /> fsGroupChangePolicy: OnRootMismatch # 新版常用项. 仅在需要时递归改卷权限<br /> seccompProfile:<br /> type: RuntimeDefault # 推荐使用运行时默认 seccomp 配置<br /> <br /> securityContext:<br /> runAsNonRoot: true # 强制非 root 运行<br /> privileged: false # 不使用特权模式<br /> runAsUser: 100 # 容器运行用户 UID<br /> runAsGroup: 101 # 容器运行用户组 GID<br /> allowPrivilegeEscalation: false # 禁止提权<br /> readOnlyRootFilesystem: false # 需要更强约束时可设 true 并配 writable 卷<br /> capabilities:<br /> drop:<br /> - ALL # 建议默认移除全部 Linux capabilities<br /> <br /> service:<br /> annotations: {} # Service 注解<br /> type: NodePort # 暴露方式. 可选 ClusterIP / NodePort / LoadBalancer<br /> port: 80 # Service 端口<br /> targetPort: http # 目标端口. 建议引用命名端口便于变更<br /> appProtocol: http # 应用层协议提示. v1.20 稳定<br /> clusterIP: &quot;&quot; # ClusterIP 一般不手动指定<br /> # loadBalancerIP: &quot;&quot; # 该字段自 v1.24 起已废弃. 新环境不建议再依赖<br /> loadBalancerSourceRanges: [] # 限制允许访问的来源网段<br /> nodePort: 30080 # NodePort 固定端口. 浏览器可通过 NodeIP:30080 访问<br /> externalTrafficPolicy: Cluster # 对外流量策略. Local 可保留客户端源 IP<br /> internalTrafficPolicy: Cluster # 集群内流量策略. v1.26 稳定. Local 可优先本地端点<br /> sessionAffinity: None # 会话亲和性. 可选 None / ClientIP<br /> sessionAffinityConfig: {} # 会话亲和性高级配置. 需按需填写<br /> ipFamilyPolicy: SingleStack # 可选 SingleStack / PreferDualStack / RequireDualStack<br /> ipFamilies: [] # 双栈时可写 [IPv4, IPv6] 或 [IPv6, IPv4]<br /> trafficDistribution: PreferSameZone # v1.33 稳定. v1.35 支持 PreferSameZone / PreferSameNode<br /> <br /> volumeMounts:<br /> - name: plugins-volume # 插件卷名称<br /> mountPath: /headlamp/plugins # 容器内挂载路径<br /> <br /> # - name: kubeconfig-volume # 可选 kubeconfig 卷名称<br /> # mountPath: /home/headlamp/.config/Headlamp/kubeconfigs/config # 容器内 kubeconfig 文件路径<br /> # subPath: config # 将卷中的 config 文件挂载为单文件<br /> <br /> volumes:<br /> - name: plugins-volume # 卷名称. 需与 volumeMounts 对应<br /> hostPath:<br /> path: /data/headlamp/plugins # 宿主机目录. 等价于 Docker 左侧路径<br /> type: DirectoryOrCreate # 不存在时自动创建目录<br /> <br /> # - name: kubeconfig-volume # 可选 kubeconfig 卷<br /> # hostPath:<br /> # path: /data/headlamp/kubeconfigs # 宿主机 kubeconfig 所在目录<br /> # type: DirectoryOrCreate # 不存在时自动创建<br /> <br /> persistentVolumeClaim:<br /> enabled: false # 是否改用 PVC 持久化. 使用 hostPath 时通常设 false<br /> annotations: {} # PVC 注解<br /> accessModes: [] # PVC 访问模式. 如 ReadWriteOnce<br /> size: &quot;&quot; # PVC 大小. 如 5Gi<br /> storageClassName: &quot;&quot; # 存储类名称<br /> selector: {} # PVC 选择器<br /> volumeMode: &quot;&quot; # 卷模式. 如 Filesystem / Block<br /> dataSource: {} # 高级项. 可从快照或现有卷克隆. 需模板支持<br /> <br /> ingress:<br /> enabled: false # 是否启用 Ingress<br /> annotations: {} # Ingress 注解<br /> labels: {} # Ingress 标签<br /> ingressClassName: &quot;&quot; # IngressClass 名称. 替代旧注解 kubernetes.io/ingress.class<br /> hosts: [] # 域名和路径配置<br /> tls: [] # TLS 配置<br /> <br /> httpRoute:<br /> enabled: false # 是否启用 Gateway API 的 HTTPRoute<br /> annotations: {} # HTTPRoute 注解<br /> labels: {} # HTTPRoute 标签<br /> parentRefs: [] # 关联 Gateway. 启用时通常必填<br /> hostnames: [] # 绑定域名<br /> rules: [] # 路由规则. 未配置时通常走默认前缀路由<br /> <br /> resources: # 资源请求与限制<br /> requests:<br /> cpu: &quot;100m&quot; # 最低 CPU 请求<br /> memory: &quot;128Mi&quot; # 最低内存请求<br /> limits:<br /> cpu: &quot;500m&quot; # CPU 上限<br /> memory: &quot;512Mi&quot; # 内存上限<br /> <br /> nodeSelector:<br /> kubernetes.io/os: linux # 仅调度到 Linux 节点<br /> <br /> tolerations: [] # 容忍污点. 无特殊需求可留空<br /> affinity: {} # 亲和性规则. 无特殊需求可留空<br /> topologySpreadConstraints: # 拓扑分布约束. 新版 K8S 常用高可用配置<br /> # - maxSkew: 1 # 单个拓扑域允许的最大偏斜<br /> # topologyKey: topology.kubernetes.io/zone # 按可用区分布. 也可用 kubernetes.io/hostname<br /> # whenUnsatisfiable: ScheduleAnyway # 可选 DoNotSchedule / ScheduleAnyway<br /> # labelSelector:<br /> # matchLabels:<br /> # app.kubernetes.io/name: headlamp # 选取同类 Pod<br /> # matchLabelKeys: # v1.27 起 Beta. 可按 Pod 标签键自动匹配<br /> # - pod-template-hash<br /> # nodeAffinityPolicy: Honor # v1.26 起 Beta. 可选 Honor / Ignore<br /> # nodeTaintsPolicy: Ignore # v1.26 起 Beta. 可选 Honor / Ignore<br /> []<br /> <br /> priorityClassName: &quot;&quot; # 优先级类名称<br /> runtimeClassName: &quot;&quot; # 运行时类. 如 gvisor kata 等. 需模板支持<br /> <br /> pluginsManager:<br /> enabled: false # 是否启用插件管理 sidecar<br /> configFile: &quot;plugin.yml&quot; # 插件配置文件名<br /> configContent: &quot;&quot; # 插件配置内容<br /> baseImage: node:lts-alpine # 插件管理器基础镜像<br /> version: latest # 插件管理器版本<br /> volumeMounts: [] # 插件管理器额外挂载<br /> securityContext: {} # 插件管理器安全上下文<br /> <br /> podDisruptionBudget:<br /> enabled: false # 是否启用 PDB<br /> minAvailable: 0 # 最少可用副本数<br /> maxUnavailable: null # 最大不可用副本数<br /> unhealthyPodEvictionPolicy: null # 不健康 Pod 驱逐策略. 新集群可按需设置<br /> <br /> extraManifests: [] # 附加资源清单. 可内嵌额外 K8s YAML<br /> <br /> &lt;/syntaxhighlight&gt;</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E6%90%AD%E5%BB%BA_Kubernetes_%E4%B8%80%E7%AB%99%E5%BC%8F%E5%B9%B3%E5%8F%B0&diff=1892 2026-04-12T20:03:08Z

<p>Koud Wind：​</p> <hr /> <div>----<br /> <br /> == '''1. 什么是 Kubernetes / k8s''' ==<br /> k8s 也就是 Kubernetes 是一个面向容器化应用的自动化管理平台, 核心职责是管理程序运行的环境, 包括 &lt;code&gt;部署应用/调度资源/维护副本/处理故障/对外暴露服务&lt;/code&gt;等等...<br /> <br /> 对于初学者来说可以把它理解成一个专门管理容器集群的平台, 当你只有一个容器时也许还感觉不到它的必要性<br /> <br /> 但当你需要同时运行多个服务, 需要让服务彼此通信, 需要保证应用异常后自动恢复, 甚至需要后续扩容到多台机器时 Kubernetes 的价值就会非常明显<br /> <br /> 而本文要做的事情, 就是在一台主机上先搭建一个最小可运行的 Kubernetes 环境, 借助这个过程去理解 Kubernetes 是怎样从零开始被组织起来的<br /> <br /> 为了易读性, 在这里会将 &lt;code&gt;Kubernetes&lt;/code&gt; 简称为 &lt;code&gt;k8s&lt;/code&gt;<br /> <br /> == 2. 环境说明 ==<br /> 运行 kubeadm 集群建议 control plane 节点至少具备 &lt;code&gt;2 Core CPU&lt;/code&gt; 和 &lt;code&gt;2 GiB&lt;/code&gt; 运存, 推荐购买搬瓦工的 [https://bandwagonhost.com/cart.php?a=add&amp;pid=166 ECOMMERCE SLA] 套餐<br /> <br /> * 操作系统以 Debian13 为例<br /> * 主机数量 1 台<br /> * 使用 root 用户<br /> * 主机承担 control plane 和 workload 调度<br /> * k8s pod网段为 &lt;code&gt;10.10.0.0/16&lt;/code&gt; , service网段为 &lt;code&gt;192.168.0.0/16&lt;/code&gt;<br /> * 使用 &lt;code&gt;Headlamp&lt;/code&gt; 管理k8s pods<br /> <br /> == '''3. 前置准备''' ==<br /> <br /> ==== 3.1 加载模块并启用转发 ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> cat &lt;&lt;'EOF' | tee /etc/modules-load.d/k8s.conf<br /> overlay<br /> br_netfilter<br /> EOF<br /> <br /> modprobe overlay<br /> modprobe br_netfilter<br /> <br /> cat &lt;&lt;'EOF' | tee /etc/sysctl.d/k8s.conf<br /> net.bridge.bridge-nf-call-iptables = 1<br /> net.bridge.bridge-nf-call-ip6tables = 1<br /> net.ipv4.ip_forward = 1<br /> net.ipv6.conf.all.forwarding = 1<br /> EOF<br /> sysctl --system<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.2 配置 hosts ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> tee -a /etc/hosts &gt; /dev/null &lt;&lt;'EOF'<br /> 127.0.0.1 k8s-master<br /> EOF<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.3 关闭 swap (可选) ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> swapoff -a<br /> sed -ri '/\sswap\s/s/^/#/' /etc/fstab<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == 4. 安装 containerd ==<br /> 更新软件源并安装 containerd 与 其他核心组件&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> apt update<br /> apt install -y containerd apt-transport-https ca-certificates curl gpg<br /> &lt;/syntaxhighlight&gt;生成默认配置文件并修改配置文件, 这里为了防止后续可能报错, 修改了 &lt;code&gt;bin_dir&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /etc/containerd<br /> containerd config default | tee /etc/containerd/config.toml &gt; /dev/null<br /> sed -i 's#bin_dir = &quot;/usr/lib/cni&quot;#bin_dir = &quot;/opt/cni/bin&quot;#' /etc/containerd/config.toml<br /> sed -i 's/SystemdCgroup = false/SystemdCgroup = true/' /etc/containerd/config.toml&lt;/syntaxhighlight&gt;重启并设置自启&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> systemctl daemon-reload<br /> systemctl restart containerd<br /> systemctl enable containerd<br /> systemctl status containerd<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == 5. 安装 kubeadm kubelet kubectl ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p -m 755 /etc/apt/keyrings<br /> curl -fsSL https://pkgs.k8s.io/core:/stable:/v1.35/deb/Release.key | gpg --dearmor -o /etc/apt/keyrings/kubernetes-apt-keyring.gpg<br /> echo 'deb [signed-by=/etc/apt/keyrings/kubernetes-apt-keyring.gpg] https://pkgs.k8s.io/core:/stable:/v1.35/deb/ /' | tee /etc/apt/sources.list.d/kubernetes.list<br /> apt-get update<br /> apt-get install -y kubelet kubeadm kubectl<br /> apt-mark hold kubelet kubeadm kubectl<br /> systemctl enable --now kubelet<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm version<br /> kubectl version --client<br /> kubelet --version<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''6. 初始化单节点 k8s 集群''' ==<br /> 新建一个初始化配置&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /main/k8s<br /> nano /main/k8s/kubeadm-config.yaml&lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: InitConfiguration<br /> nodeRegistration:<br /> name: master<br /> criSocket: &quot;unix:///run/containerd/containerd.sock&quot;<br /> localAPIEndpoint:<br /> advertiseAddress: &lt;你的公网主机IP&gt;<br /> bindPort: 6443<br /> <br /> ---<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: ClusterConfiguration<br /> kubernetesVersion: v1.35.0<br /> networking:<br /> podSubnet: 10.10.0.0/16<br /> serviceSubnet: 192.168.0.0/16<br /> dnsDomain: cluster.local<br /> <br /> # 若开启了Swap需要解除此注释!<br /> #---<br /> #apiVersion: kubelet.config.k8s.io/v1beta1<br /> #kind: KubeletConfiguration<br /> #cgroupDriver: systemd<br /> #failSwapOn: false<br /> #memorySwap:<br /> # swapBehavior: LimitedSwap<br /> <br /> <br /> &lt;/syntaxhighlight&gt;开始初始化&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm init --config /main/k8s/kubeadm-config.yaml<br /> &lt;/syntaxhighlight&gt;初始化完成后配置 kubectl&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p $HOME/.kube<br /> cp -i /etc/kubernetes/admin.conf $HOME/.kube/config<br /> chown &quot;$(id -u)&quot;:&quot;$(id -g)&quot; $HOME/.kube/config<br /> &lt;/syntaxhighlight&gt;因为我们是单节点, 需要移除 control plane 污点, 除非多台主机节点&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl taint nodes --all node-role.kubernetes.io/control-plane-<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl get nodes<br /> kubectl get pods -A&lt;/syntaxhighlight&gt;这时 master 大概率是 &lt;code&gt;NotReady&lt;/code&gt; 状态, 目前 CNI 还没有安装, CoreDNS 也通常不会处于 &lt;code&gt;Running&lt;/code&gt; 状态<br /> <br /> == 7. 安装 Helm并设置补全 ==<br /> 安装 Helm&lt;syntaxhighlight lang=&quot;bash&quot;&gt;curl -fsSL -o get_helm.sh https://raw.githubusercontent.com/helm/helm/main/scripts/get-helm-4<br /> chmod 700 get_helm.sh<br /> ./get_helm.sh<br /> helm version&lt;/syntaxhighlight&gt;<br /> <br /> ===== '''命令补全:''' =====<br /> <br /> * zsh&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion zsh)' &gt;&gt; ~/.zshrc<br /> echo 'source &lt;(helm completion zsh)' &gt;&gt; ~/.zshrc<br /> source ~/.zshrc<br /> &lt;/syntaxhighlight&gt;<br /> * bash&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion bash)' &gt;&gt; ~/.bashrc<br /> echo 'source &lt;(helm completion bash)' &gt;&gt; ~/.bashrc<br /> source ~/.bashrc<br /> &lt;/syntaxhighlight&gt;<br /> * fish&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl completion fish | sudo tee /etc/fish/completions/kubectl.fish &gt; /dev/null<br /> helm completion fish | sudo tee /etc/fish/completions/helm.fish &gt; /dev/null<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''8. 安装 CNI 插件''' ==<br /> 在资源紧凑的主机中我更推荐使用 &lt;code&gt;Flannel&lt;/code&gt; , 这里也会提供 &lt;code&gt;Calico&lt;/code&gt; 与 &lt;code&gt;Cilium&lt;/code&gt; 的安装, 根据应用场景自行选择其一<br /> <br /> 资源占用: &lt;code&gt;Flannel&lt;/code&gt; &lt; &lt;code&gt;Calico&lt;/code&gt; &lt; &lt;code&gt;Cilium&lt;/code&gt;<br /> <br /> ==== 8.1 Flannel ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl create namespace kube-flannel<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/enforce=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/audit=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/warn=privileged<br /> helm upgrade --install flannel -n kube-flannel --create-namespace --set podCidr=10.10.0.0/16 https://github.com/flannel-io/flannel/releases/download/v0.28.1/flannel.tgz&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.2 Calico ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;helm repo add projectcalico https://docs.tigera.io/calico/charts<br /> helm repo update<br /> kubectl create namespace tigera-operator<br /> helm upgrade --install calico projectcalico/tigera-operator --version v3.31.4 --namespace tigera-operator --set installation.calicoNetwork.ipPools[0].cidr=10.10.0.0/16 --set installation.calicoNetwork.ipPools[0].encapsulation=VXLAN&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.3 Cilium ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add cilium https://helm.cilium.io/<br /> helm repo update<br /> helm upgrade --install cilium cilium/cilium --version 1.19.1 --namespace kube-system<br /> &lt;/syntaxhighlight&gt;'''检查CNI'''&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;节点状态从 &lt;code&gt;NotReady&lt;/code&gt; 变为 &lt;code&gt;Ready&lt;/code&gt; , CoreDNS 进入 &lt;code&gt;Running&lt;/code&gt; 状态, '''至此, k8s 已经初步部署完成'''<br /> <br /> == 9. Headlamp (可选) ==<br /> <br /> ==== 9.1 什么是 '''&lt;code&gt;Headlamp&lt;/code&gt;''' ====<br /> Headlamp是一个面向 k8s 的图形化管理界面, 它的目标是用更直观的方式帮助用户查看和管理集群资源, 例如节点/Pod/Deployment/Service/ConfigMap/Secret 等常见对象, 都可以通过 Web 页面进行浏览和操作<br /> <br /> 它定义为一个易用且可扩展的 Kubernetes WebUI 并强调它既可以作为集群内 Web 应用运行, 也可以作为桌面应用使用, 和很多传统 Dashboard 相比<br /> <br /> Headlamp 的特点主要有三点:<br /> <br /> # 界面更现代 更偏向日常运维与开发使用<br /> # 它支持基于 Kubernetes RBAC 的权限控制 用户能看到和操作的资源会自动受当前权限约束<br /> # 它具备插件扩展能力 可以根据团队需求定制界面和功能<br /> <br /> 我个人认为可以帮助初学者摆脱只看命令行输出的方式, 更直观地观察集群中资源的创建/状态变化/日志/配置情况, 因此很适合作为 k8s 学习和演示环境中的可视化入口. <br /> <br /> ==== 9.2 开始安装 ====<br /> 先新建一个 &lt;code&gt;values.yml&lt;/code&gt; 文件&lt;syntaxhighlight&gt;<br /> mkdir -p /main/k8s/headlamp<br /> nano /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> replicaCount: 1<br /> <br /> image:<br /> registry: ghcr.io<br /> repository: headlamp-k8s/headlamp<br /> tag: &quot;&quot;<br /> pullPolicy: IfNotPresent<br /> <br /> nameOverride: &quot;&quot;<br /> fullnameOverride: &quot;headlamp&quot;<br /> namespaceOverride: &quot;&quot;<br /> <br /> <br /> service:<br /> type: NodePort<br /> port: 80<br /> # 宿主机开放端口<br /> nodePort: 30080<br /> <br /> <br /> env:<br /> - name: TZ<br /> value: &quot;Asia/Shanghai&quot;<br /> <br /> config:<br /> pluginsDir: /headlamp/plugins<br /> <br /> volumes:<br /> - name: plugins-volume<br /> hostPath:<br /> path: /main/k8s/headlamp/plugins<br /> type: DirectoryOrCreate<br /> <br /> volumeMounts:<br /> - name: plugins-volume<br /> mountPath: /headlamp/plugins<br /> <br /> <br /> resources:<br /> requests:<br /> cpu: 100m<br /> memory: 128Mi<br /> limits:<br /> cpu: 500m<br /> memory: 512Mi<br /> <br /> &lt;/syntaxhighlight&gt;用 Helm 安装&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add headlamp https://kubernetes-sigs.github.io/headlamp/<br /> helm repo update<br /> helm upgrade --install headlamp headlamp/headlamp -n headlamp --create-namespace -f /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;通过开放的端口访问到 Headlamp, 初次加载需要等待一会, 之后需要输入 &lt;code&gt;token&lt;/code&gt;, 使用命令生成&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl create token headlamp --namespace headlamp --duration 168h<br /> &lt;/syntaxhighlight&gt;若不通则进行检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 9.3 查看资源使用概览 ====<br /> Headlamp中各种资源显示, 需要依赖 &lt;code&gt;metrics-server&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add metrics-server https://kubernetes-sigs.github.io/metrics-server/<br /> helm repo update<br /> helm upgrade --install metrics-server metrics-server/metrics-server -n kube-system --set &quot;args[0]=--kubelet-insecure-tls&quot;<br /> &lt;/syntaxhighlight&gt;安装好后就可以正常显示资源占用情况<br /> <br /> == 10. 常见问题排查 ==<br /> <br /> ==== 10.1 Flannel 启动失败 ====<br /> 优先检查这几个点, Flannel 官方 README 明确指出 它依赖 &lt;code&gt;br_netfilter&lt;/code&gt; 另外它默认使用 &lt;code&gt;portmap&lt;/code&gt; 作为 CNI 网络插件的一部分 并要求相关 CNI 二进制位于 &lt;code&gt;/opt/cni/bin&lt;/code&gt; <br /> <br /> ==== 10.2 Headlamp 页面能打开但无法登录 ====<br /> 重点检查<br /> <br /> * token 是否复制完整<br /> * ServiceAccount 是否创建在 &lt;code&gt;kube-system&lt;/code&gt;<br /> * ClusterRoleBinding 是否绑定成功<br /> * Headlamp 是否真的暴露成 NodePort<br /> <br /> ==== 10.3 Pod 无法联网 ====<br /> 重点检查<br /> <br /> * &lt;code&gt;kubeadm init&lt;/code&gt; 的 &lt;code&gt;--pod-network-cidr&lt;/code&gt;<br /> * Flannel Chart 的 &lt;code&gt;podCidr&lt;/code&gt;<br /> * 主机自身网段是否与 Pod 网段冲突<br /> <br /> Kubernetes 官方明确提醒 Pod network 不应与宿主机网络重叠 否则容易出现网络异常<br /> <br /> == '''11. 常用命令''' ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot; line=&quot;1&quot;&gt;<br /> # -------------------------<br /> # 1 集群和命名空间<br /> # -------------------------<br /> kubectl config current-context # 查看当前 kubeconfig 上下文<br /> kubectl config get-contexts # 查看所有可用上下文<br /> kubectl config use-context my-cluster # 切换到指定集群上下文<br /> kubectl get ns # 查看所有命名空间<br /> kubectl get pods -n kube-system # 查看指定命名空间中的 Pod<br /> kubectl config set-context --current --namespace=default # 设置当前上下文默认命名空间<br /> <br /> # -------------------------<br /> # 2 Helm 安装和版本管理<br /> # -------------------------<br /> helm repo add bitnami https://charts.bitnami.com/bitnami # 添加 Helm 仓库<br /> helm repo update # 更新 Helm 仓库索引<br /> helm search repo nginx # 在 Helm 仓库中搜索 chart<br /> helm install my-nginx bitnami/nginx # 安装一个 Helm release<br /> helm install my-nginx bitnami/nginx -n web --create-namespace # 安装到指定命名空间 不存在则创建<br /> helm install headlamp headlamp/headlamp -n kube-system -f values.yaml # 使用 values 文件安装 release<br /> helm upgrade headlamp headlamp/headlamp -n kube-system -f values.yaml # 升级已有 release<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml # 不存在则安装 存在则升级<br /> helm list -A # 查看所有命名空间中的 Helm release<br /> helm status headlamp -n kube-system # 查看某个 release 当前状态<br /> helm history headlamp -n kube-system # 查看 release 历史版本<br /> helm rollback headlamp 2 -n kube-system # 回滚到指定 revision<br /> helm uninstall headlamp -n kube-system # 卸载 release<br /> helm show values headlamp/headlamp # 查看 chart 默认 values<br /> helm template headlamp headlamp/headlamp -n kube-system -f values.yaml # 本地渲染模板 不实际安装<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml --dry-run # 试运行安装或升级<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml --dry-run --debug # 试运行并输出详细调试信息<br /> <br /> # -------------------------<br /> # 3 常用资源查看<br /> # -------------------------<br /> kubectl get pods # 查看当前命名空间的 Pod<br /> kubectl get pods -o wide # 查看 Pod 并显示节点 IP 等更多信息<br /> kubectl get pods -w # 持续监听 Pod 状态变化<br /> kubectl get deploy # 查看 Deployment<br /> kubectl get svc # 查看 Service<br /> kubectl get ds # 查看 DaemonSet<br /> kubectl get sts # 查看 StatefulSet<br /> kubectl get ingress # 查看 Ingress<br /> kubectl get all -n kube-system # 查看命名空间下常见资源<br /> kubectl get pods -l app.kubernetes.io/name=headlamp -n kube-system # 根据标签筛选 Pod<br /> kubectl get deploy headlamp -n kube-system -o yaml # 查看 Deployment 的完整 YAML<br /> kubectl get svc headlamp -n kube-system -o wide # 查看 Service 详细信息<br /> <br /> # -------------------------<br /> # 4 排障常用<br /> # -------------------------<br /> kubectl describe pod headlamp-xxx-xxx -n kube-system # 查看 Pod 详细状态和事件<br /> kubectl describe deploy headlamp -n kube-system # 查看 Deployment 详细信息<br /> kubectl describe svc headlamp -n kube-system # 查看 Service 详细信息<br /> kubectl get events -n kube-system --sort-by=.metadata.creationTimestamp # 按时间排序查看命名空间事件<br /> kubectl get events -A --sort-by=.metadata.creationTimestamp # 查看全局事件并按时间排序<br /> kubectl logs headlamp-xxx-xxx -n kube-system # 查看 Pod 日志<br /> kubectl logs -f headlamp-xxx-xxx -n kube-system # 持续跟踪 Pod 日志<br /> kubectl logs headlamp-xxx-xxx -n kube-system -c headlamp # 查看指定容器日志<br /> kubectl logs headlamp-xxx-xxx -n kube-system --previous # 查看容器上一次崩溃前日志<br /> kubectl exec -it headlamp-xxx-xxx -n kube-system -- /bin/sh # 进入容器 shell<br /> kubectl exec -it headlamp-xxx-xxx -n kube-system -- /bin/bash # 进入容器 bash<br /> kubectl get pods -n kube-system # 先列出 Pod 再选择进入<br /> kubectl exec -it pod-name -n kube-system -- /bin/sh # 进入指定 Pod<br /> kubectl top pod -n kube-system # 查看 Pod CPU 和内存使用量<br /> kubectl top node # 查看节点资源使用量<br /> <br /> # -------------------------<br /> # 5 发布和重启相关<br /> # -------------------------<br /> kubectl rollout restart deploy headlamp -n kube-system # 滚动重启 Deployment<br /> kubectl rollout status deploy headlamp -n kube-system # 查看 Deployment 发布状态<br /> kubectl rollout history deploy headlamp -n kube-system # 查看 Deployment 发布历史<br /> kubectl rollout undo deploy headlamp -n kube-system # 回滚 Deployment 到上一版本<br /> kubectl scale deploy headlamp --replicas=3 -n kube-system # 调整副本数<br /> kubectl delete pod headlamp-xxx-xxx -n kube-system # 删除 Pod 让控制器自动重建<br /> <br /> # -------------------------<br /> # 6 网络和端口相关<br /> # -------------------------<br /> kubectl get svc -n kube-system # 查看命名空间下 Service<br /> kubectl port-forward pod/headlamp-xxx-xxx 8080:80 -n kube-system # 将本地 8080 转发到 Pod 的 80<br /> kubectl port-forward svc/headlamp 8080:80 -n kube-system # 将本地 8080 转发到 Service 的 80<br /> kubectl get endpoints headlamp -n kube-system # 查看 Service 后端 Endpoint<br /> kubectl run tmp-shell -it --rm --image=busybox -- /bin/sh # 临时启动调试 Pod<br /> nslookup kubernetes.default # 在调试容器中解析集群 DNS<br /> wget -qO- http://headlamp.kube-system.svc.cluster.local # 在调试容器中访问集群内部 Service<br /> <br /> # -------------------------<br /> # 7 配置和存储相关<br /> # -------------------------<br /> <br /> kubectl get configmap -n kube-system # 查看 ConfigMap<br /> kubectl get secret -n kube-system # 查看 Secret<br /> kubectl get pvc -A # 查看所有 PVC<br /> kubectl get pv # 查看所有 PV<br /> kubectl get nodes -o wide # 查看节点及详细信息<br /> kubectl describe node node-1 # 查看节点详细状态<br /> kubectl get deploy headlamp -n kube-system -o yaml # 查看实际生效的 Deployment YAML<br /> <br /> # -------------------------<br /> # 8 Helm 配合排障常用<br /> # -------------------------<br /> helm status headlamp -n kube-system # 查看 release 当前运行状态<br /> helm get values headlamp -n kube-system # 查看用户自定义 values<br /> helm get values headlamp -n kube-system -a # 查看合并后的全部 values<br /> helm get manifest headlamp -n kube-system # 查看 release 实际渲染出的 manifest<br /> helm get notes headlamp -n kube-system # 查看安装说明和访问提示<br /> kubectl get pod headlamp-xxx-xxx -n kube-system --show-labels # 查看 Pod 标签 判断所属 release<br /> kubectl get all -n kube-system -l app.kubernetes.io/instance=headlamp # 根据 Helm release 标签筛选整套资源<br /> <br /> # -------------------------<br /> # 9 最常用 20 个命令<br /> # -------------------------<br /> kubectl get pods -A # 查看所有命名空间 Pod<br /> kubectl get svc -A # 查看所有命名空间 Service<br /> kubectl get deploy -A # 查看所有命名空间 Deployment<br /> kubectl get all -n kube-system # 查看 kube-system 中常见资源<br /> kubectl get pods -o wide -n kube-system # 查看 Pod 详细信息<br /> kubectl describe pod pod-name -n kube-system # 查看 Pod 详情<br /> kubectl describe deploy deploy-name -n kube-system # 查看 Deployment 详情<br /> kubectl logs pod-name -n kube-system # 查看日志<br /> kubectl logs -f pod-name -n kube-system # 持续跟踪日志<br /> kubectl logs pod-name -n kube-system --previous # 查看上一次容器日志<br /> kubectl exec -it pod-name -n kube-system -- /bin/sh # 进入容器<br /> kubectl get events -n kube-system --sort-by=.metadata.creationTimestamp # 查看时间排序事件<br /> kubectl port-forward svc/service-name 8080:80 -n kube-system # 本地端口转发到 Service<br /> kubectl rollout restart deploy deploy-name -n kube-system # 重启 Deployment<br /> kubectl rollout status deploy deploy-name -n kube-system # 查看滚动发布状态<br /> kubectl scale deploy deploy-name --replicas=2 -n kube-system # 调整副本数<br /> helm list -A # 查看所有 Helm release<br /> helm status release-name -n kube-system # 查看 release 状态<br /> helm get values release-name -n kube-system -a # 查看 release 全部 values<br /> helm upgrade --install release-name repo/chart -n kube-system -f values.yaml # Helm 安装或升级<br /> <br /> # -------------------------<br /> # 10 实战排障流程<br /> # -------------------------<br /> helm status headlamp -n kube-system # 先检查 release 状态<br /> kubectl get all -n kube-system -l app.kubernetes.io/instance=headlamp # 查看 release 关联资源<br /> kubectl get pods -n kube-system -o wide # 查看 Pod 是否正常运行<br /> kubectl describe pod pod-name -n kube-system # 检查 Pod 事件和错误<br /> kubectl logs pod-name -n kube-system # 查看应用日志<br /> kubectl get svc -n kube-system # 查看 Service 是否创建成功<br /> kubectl describe svc headlamp -n kube-system # 查看 Service 配置详情<br /> kubectl get endpoints headlamp -n kube-system # 查看 Service 是否关联到后端 Pod<br /> kubectl port-forward svc/headlamp 8080:80 -n kube-system # 用本地转发验证服务本身是否正常<br /> <br /> # -------------------------<br /> # 11 常用别名<br /> # -------------------------<br /> alias k=kubectl # kubectl 简写<br /> alias kgp='kubectl get pods' # 快速查看 Pod<br /> alias kgs='kubectl get svc' # 快速查看 Service<br /> alias kgd='kubectl get deploy' # 快速查看 Deployment<br /> alias kdp='kubectl describe pod' # 快速查看 Pod 详情<br /> alias kdd='kubectl describe deploy' # 快速查看 Deployment 详情<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == 12. Helm Chart 配置文件模板 ==<br /> &lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> replicaCount: 1 # Pod 副本数. 单节点或测试环境常设为 1<br /> revisionHistoryLimit: 10 # Deployment 保留的历史版本数. 便于回滚<br /> minReadySeconds: 0 # Pod 就绪后保持多久才视为可用<br /> <br /> deploymentStrategy: # Deployment 更新策略<br /> type: RollingUpdate # 推荐 RollingUpdate. Recreate 会先删后建<br /> rollingUpdate:<br /> maxUnavailable: 25% # 滚动更新期间最大不可用比例<br /> maxSurge: 25% # 滚动更新期间可额外创建的副本比例<br /> <br /> image:<br /> registry: ghcr.io # 镜像仓库地址<br /> repository: headlamp-k8s/headlamp # 示例镜像名. 新容器可改为自己的镜像<br /> tag: &quot;&quot; # 镜像标签. 留空时通常使用 chart 默认 appVersion<br /> pullPolicy: IfNotPresent # 拉取策略. 常用 IfNotPresent 或 Always<br /> <br /> imagePullSecrets: [] # 私有仓库拉取密钥. 无需私仓时保持空数组<br /> <br /> nameOverride: &quot;&quot; # 覆盖 chart 名称的一部分. 一般不需要<br /> fullnameOverride: &quot;headlamp&quot; # 最终资源名. 示例中固定方便管理. 新项目可改<br /> namespaceOverride: &quot;&quot; # 覆盖命名空间. 一般更建议 helm -n 指定<br /> <br /> initContainers: # 初始化容器. 在主容器启动前执行<br /> - name: init-plugin-dir # 初始化容器名称<br /> image: busybox:1.36 # 使用轻量 busybox 镜像<br /> imagePullPolicy: IfNotPresent # initContainer 拉取策略<br /> command:<br /> - sh<br /> - -c<br /> - mkdir -p /headlamp/plugins &amp;&amp; chmod -R 755 /headlamp/plugins # 创建插件目录并赋权<br /> securityContext:<br /> runAsNonRoot: false # 初始化目录时通常允许 root 更省事. 严格环境可改<br /> allowPrivilegeEscalation: false # 禁止提权<br /> volumeMounts:<br /> - name: plugins-volume # 挂载插件卷以便初始化目录<br /> mountPath: /headlamp/plugins # 容器内插件目录路径<br /> <br /> extraContainers: [] # 额外 sidecar 容器. 例如日志采集或代理<br /> <br /> terminationGracePeriodSeconds: 30 # 优雅退出宽限期. 过短可能导致连接被硬切断<br /> hostNetwork: false # 是否使用宿主机网络. 一般保持 false<br /> dnsPolicy: ClusterFirst # DNS 策略. hostNetwork=true 时常配 ClusterFirstWithHostNet<br /> dnsConfig: {} # 自定义 DNS 配置. 需模板支持<br /> hostAliases: [] # 额外 hosts 映射. 仅少数场景使用<br /> <br /> config:<br /> inCluster: true # 集群内访问模式. Pod 通过 ServiceAccount 访问 K8s API<br /> inClusterContextName: &quot;main&quot; # 集群内上下文名称<br /> baseURL: &quot;&quot; # 子路径访问时填写如 /headlamp. 根路径保持空<br /> sessionTTL: 86400 # 登录会话有效期. 单位秒. 86400 = 24 小时<br /> <br /> oidc:<br /> secret:<br /> create: false # 是否由 chart 自动创建 OIDC Secret<br /> name: oidc # OIDC Secret 名称<br /> clientID: &quot;&quot; # OIDC 客户端 ID<br /> clientSecret: &quot;&quot; # OIDC 客户端密钥<br /> issuerURL: &quot;&quot; # OIDC 发行者地址<br /> scopes: &quot;&quot; # OIDC scopes<br /> callbackURL: &quot;&quot; # OIDC 回调地址<br /> validatorClientID: &quot;&quot; # Token 校验客户端 ID<br /> validatorIssuerURL: &quot;&quot; # Token 校验发行者地址<br /> useAccessToken: false # 是否使用 Access Token<br /> usePKCE: false # 是否启用 PKCE<br /> useCookie: false # 是否通过 Cookie 保存认证信息<br /> externalSecret:<br /> enabled: false # 是否使用外部 Secret<br /> name: &quot;&quot; # 外部 Secret 名称<br /> <br /> meUserInfoURL: &quot;&quot; # 用户信息接口地址. 未接入外部认证时可留空<br /> pluginsDir: &quot;/headlamp/plugins&quot; # 插件目录<br /> enableHelm: false # 最新 chart 默认值为 false. 仅需展示 Helm 信息时开启<br /> watchPlugins: false # 是否实时监听插件目录变化<br /> extraArgs: [] # 额外启动参数. 例如 -plugins-dir=/headlamp/plugins<br /> <br /> env: # 环境变量<br /> - name: TZ # 时区环境变量名称<br /> value: &quot;Asia/Shanghai&quot; # 时区设置<br /> <br /> envFrom: [] # 从 ConfigMap 或 Secret 批量导入环境变量. 需模板支持<br /> <br /> containerPorts: # 容器端口示例. 需模板支持<br /> - name: http # 端口名称. 多端口 Service 时建议显式命名<br /> containerPort: 4466 # 容器监听端口. 请按实际应用修改<br /> protocol: TCP # 协议. 通常 TCP<br /> <br /> livenessProbe: {} # 存活探针. K8S 原生支持 exec/httpGet/tcpSocket/grpc. 需模板支持<br /> readinessProbe: {} # 就绪探针. 控制是否加入 Service 端点. 需模板支持<br /> startupProbe: {} # 启动探针. 慢启动应用推荐配置. 需模板支持<br /> lifecycle: {} # 生命周期钩子. preStop/postStart. 需模板支持<br /> <br /> automountServiceAccountToken: true # 自动挂载 ServiceAccount Token. 集群内访问通常保持 true<br /> <br /> serviceAccount:<br /> create: true # 是否自动创建 ServiceAccount<br /> annotations: {} # ServiceAccount 注解<br /> name: &quot;&quot; # 最新 chart 默认空字符串. 留空时一般按 fullname 生成<br /> <br /> clusterRoleBinding:<br /> create: true # 是否自动创建 ClusterRoleBinding<br /> clusterRoleName: &quot;cluster-admin&quot; # 示例使用 cluster-admin. 生产环境建议改成最小权限角色<br /> annotations: {} # ClusterRoleBinding 注解<br /> <br /> deploymentAnnotations: {} # Deployment 注解<br /> podAnnotations: # Pod 注解. 可用于 sidecar 注入 监控抓取等<br /> kubectl.kubernetes.io/default-container: &quot;headlamp&quot; # kubectl exec/logs 默认容器提示. 非必须但更顺手<br /> <br /> podLabels:<br /> app.kubernetes.io/name: &quot;headlamp&quot; # 推荐使用标准标签<br /> app.kubernetes.io/component: &quot;web&quot; # 组件标签. 便于筛选和治理<br /> <br /> hostUsers: true # Pod 是否共享宿主用户命名空间. 设 false 可启用 user namespaces<br /> <br /> podSecurityContext:<br /> fsGroup: 101 # 卷文件组 ID. 便于挂载目录权限控制<br /> fsGroupChangePolicy: OnRootMismatch # 新版常用项. 仅在需要时递归改卷权限<br /> seccompProfile:<br /> type: RuntimeDefault # 推荐使用运行时默认 seccomp 配置<br /> <br /> securityContext:<br /> runAsNonRoot: true # 强制非 root 运行<br /> privileged: false # 不使用特权模式<br /> runAsUser: 100 # 容器运行用户 UID<br /> runAsGroup: 101 # 容器运行用户组 GID<br /> allowPrivilegeEscalation: false # 禁止提权<br /> readOnlyRootFilesystem: false # 需要更强约束时可设 true 并配 writable 卷<br /> capabilities:<br /> drop:<br /> - ALL # 建议默认移除全部 Linux capabilities<br /> <br /> service:<br /> annotations: {} # Service 注解<br /> type: NodePort # 暴露方式. 可选 ClusterIP / NodePort / LoadBalancer<br /> port: 80 # Service 端口<br /> targetPort: http # 目标端口. 建议引用命名端口便于变更<br /> appProtocol: http # 应用层协议提示. v1.20 稳定<br /> clusterIP: &quot;&quot; # ClusterIP 一般不手动指定<br /> # loadBalancerIP: &quot;&quot; # 该字段自 v1.24 起已废弃. 新环境不建议再依赖<br /> loadBalancerSourceRanges: [] # 限制允许访问的来源网段<br /> nodePort: 30080 # NodePort 固定端口. 浏览器可通过 NodeIP:30080 访问<br /> externalTrafficPolicy: Cluster # 对外流量策略. Local 可保留客户端源 IP<br /> internalTrafficPolicy: Cluster # 集群内流量策略. v1.26 稳定. Local 可优先本地端点<br /> sessionAffinity: None # 会话亲和性. 可选 None / ClientIP<br /> sessionAffinityConfig: {} # 会话亲和性高级配置. 需按需填写<br /> ipFamilyPolicy: SingleStack # 可选 SingleStack / PreferDualStack / RequireDualStack<br /> ipFamilies: [] # 双栈时可写 [IPv4, IPv6] 或 [IPv6, IPv4]<br /> trafficDistribution: PreferSameZone # v1.33 稳定. v1.35 支持 PreferSameZone / PreferSameNode<br /> <br /> volumeMounts:<br /> - name: plugins-volume # 插件卷名称<br /> mountPath: /headlamp/plugins # 容器内挂载路径<br /> <br /> # - name: kubeconfig-volume # 可选 kubeconfig 卷名称<br /> # mountPath: /home/headlamp/.config/Headlamp/kubeconfigs/config # 容器内 kubeconfig 文件路径<br /> # subPath: config # 将卷中的 config 文件挂载为单文件<br /> <br /> volumes:<br /> - name: plugins-volume # 卷名称. 需与 volumeMounts 对应<br /> hostPath:<br /> path: /data/headlamp/plugins # 宿主机目录. 等价于 Docker 左侧路径<br /> type: DirectoryOrCreate # 不存在时自动创建目录<br /> <br /> # - name: kubeconfig-volume # 可选 kubeconfig 卷<br /> # hostPath:<br /> # path: /data/headlamp/kubeconfigs # 宿主机 kubeconfig 所在目录<br /> # type: DirectoryOrCreate # 不存在时自动创建<br /> <br /> persistentVolumeClaim:<br /> enabled: false # 是否改用 PVC 持久化. 使用 hostPath 时通常设 false<br /> annotations: {} # PVC 注解<br /> accessModes: [] # PVC 访问模式. 如 ReadWriteOnce<br /> size: &quot;&quot; # PVC 大小. 如 5Gi<br /> storageClassName: &quot;&quot; # 存储类名称<br /> selector: {} # PVC 选择器<br /> volumeMode: &quot;&quot; # 卷模式. 如 Filesystem / Block<br /> dataSource: {} # 高级项. 可从快照或现有卷克隆. 需模板支持<br /> <br /> ingress:<br /> enabled: false # 是否启用 Ingress<br /> annotations: {} # Ingress 注解<br /> labels: {} # Ingress 标签<br /> ingressClassName: &quot;&quot; # IngressClass 名称. 替代旧注解 kubernetes.io/ingress.class<br /> hosts: [] # 域名和路径配置<br /> tls: [] # TLS 配置<br /> <br /> httpRoute:<br /> enabled: false # 是否启用 Gateway API 的 HTTPRoute<br /> annotations: {} # HTTPRoute 注解<br /> labels: {} # HTTPRoute 标签<br /> parentRefs: [] # 关联 Gateway. 启用时通常必填<br /> hostnames: [] # 绑定域名<br /> rules: [] # 路由规则. 未配置时通常走默认前缀路由<br /> <br /> resources: # 资源请求与限制<br /> requests:<br /> cpu: &quot;100m&quot; # 最低 CPU 请求<br /> memory: &quot;128Mi&quot; # 最低内存请求<br /> limits:<br /> cpu: &quot;500m&quot; # CPU 上限<br /> memory: &quot;512Mi&quot; # 内存上限<br /> <br /> nodeSelector:<br /> kubernetes.io/os: linux # 仅调度到 Linux 节点<br /> <br /> tolerations: [] # 容忍污点. 无特殊需求可留空<br /> affinity: {} # 亲和性规则. 无特殊需求可留空<br /> topologySpreadConstraints: # 拓扑分布约束. 新版 K8S 常用高可用配置<br /> # - maxSkew: 1 # 单个拓扑域允许的最大偏斜<br /> # topologyKey: topology.kubernetes.io/zone # 按可用区分布. 也可用 kubernetes.io/hostname<br /> # whenUnsatisfiable: ScheduleAnyway # 可选 DoNotSchedule / ScheduleAnyway<br /> # labelSelector:<br /> # matchLabels:<br /> # app.kubernetes.io/name: headlamp # 选取同类 Pod<br /> # matchLabelKeys: # v1.27 起 Beta. 可按 Pod 标签键自动匹配<br /> # - pod-template-hash<br /> # nodeAffinityPolicy: Honor # v1.26 起 Beta. 可选 Honor / Ignore<br /> # nodeTaintsPolicy: Ignore # v1.26 起 Beta. 可选 Honor / Ignore<br /> []<br /> <br /> priorityClassName: &quot;&quot; # 优先级类名称<br /> runtimeClassName: &quot;&quot; # 运行时类. 如 gvisor kata 等. 需模板支持<br /> <br /> pluginsManager:<br /> enabled: false # 是否启用插件管理 sidecar<br /> configFile: &quot;plugin.yml&quot; # 插件配置文件名<br /> configContent: &quot;&quot; # 插件配置内容<br /> baseImage: node:lts-alpine # 插件管理器基础镜像<br /> version: latest # 插件管理器版本<br /> volumeMounts: [] # 插件管理器额外挂载<br /> securityContext: {} # 插件管理器安全上下文<br /> <br /> podDisruptionBudget:<br /> enabled: false # 是否启用 PDB<br /> minAvailable: 0 # 最少可用副本数<br /> maxUnavailable: null # 最大不可用副本数<br /> unhealthyPodEvictionPolicy: null # 不健康 Pod 驱逐策略. 新集群可按需设置<br /> <br /> extraManifests: [] # 附加资源清单. 可内嵌额外 K8s YAML<br /> <br /> &lt;/syntaxhighlight&gt;</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E6%90%AD%E5%BB%BA_Kubernetes_%E4%B8%80%E7%AB%99%E5%BC%8F%E5%B9%B3%E5%8F%B0&diff=1891 2026-04-12T19:58:34Z

<p>Koud Wind：​</p> <hr /> <div>----<br /> <br /> == '''1. 什么是 Kubernetes / k8s''' ==<br /> k8s 也就是 Kubernetes 是一个面向容器化应用的自动化管理平台, 核心职责是管理程序运行的环境, 包括 &lt;code&gt;部署应用/调度资源/维护副本/处理故障/对外暴露服务&lt;/code&gt;等等...<br /> <br /> 对于初学者来说可以把它理解成一个专门管理容器集群的平台, 当你只有一个容器时也许还感觉不到它的必要性<br /> <br /> 但当你需要同时运行多个服务, 需要让服务彼此通信, 需要保证应用异常后自动恢复, 甚至需要后续扩容到多台机器时 Kubernetes 的价值就会非常明显<br /> <br /> 而本文要做的事情, 就是在一台主机上先搭建一个最小可运行的 Kubernetes 环境, 借助这个过程去理解 Kubernetes 是怎样从零开始被组织起来的<br /> <br /> 为了易读性, 在这里会将 &lt;code&gt;Kubernetes&lt;/code&gt; 简称为 &lt;code&gt;k8s&lt;/code&gt;<br /> <br /> == '''2. 环境说明''' ==<br /> 运行 kubeadm 集群建议 control plane 节点至少具备 &lt;code&gt;2 Core CPU&lt;/code&gt; 和 &lt;code&gt;2 GiB&lt;/code&gt; 运存, 推荐购买搬瓦工的 [https://bandwagonhost.com/cart.php?a=add&amp;pid=166 ECOMMERCE SLA] 套餐<br /> <br /> * 操作系统以 Debian13 为例<br /> * 主机数量 1 台<br /> * 使用 root 用户<br /> * 主机承担 control plane 和 workload 调度<br /> * k8s pod网段为 &lt;code&gt;10.10.0.0/16&lt;/code&gt; , service网段为 &lt;code&gt;192.168.0.0/16&lt;/code&gt;<br /> * 使用 &lt;code&gt;Headlamp&lt;/code&gt; 管理k8s pods<br /> <br /> == '''3. 前置准备''' ==<br /> <br /> ==== 3.1 加载模块并启用转发 ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> cat &lt;&lt;'EOF' | tee /etc/modules-load.d/k8s.conf<br /> overlay<br /> br_netfilter<br /> EOF<br /> <br /> modprobe overlay<br /> modprobe br_netfilter<br /> <br /> cat &lt;&lt;'EOF' | tee /etc/sysctl.d/k8s.conf<br /> net.bridge.bridge-nf-call-iptables = 1<br /> net.bridge.bridge-nf-call-ip6tables = 1<br /> net.ipv4.ip_forward = 1<br /> net.ipv6.conf.all.forwarding = 1<br /> EOF<br /> sysctl --system<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.2 配置 hosts ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> tee -a /etc/hosts &gt; /dev/null &lt;&lt;'EOF'<br /> 127.0.0.1 k8s-master<br /> EOF<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.3 关闭 swap (可选) ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> swapoff -a<br /> sed -ri '/\sswap\s/s/^/#/' /etc/fstab<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''4. 安装 containerd''' ==<br /> 更新软件源并安装 containerd 与 其他核心组件&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> apt update<br /> apt install -y containerd apt-transport-https ca-certificates curl gpg<br /> &lt;/syntaxhighlight&gt;生成默认配置文件并修改配置文件, 这里为了防止后续可能报错, 修改了 &lt;code&gt;bin_dir&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /etc/containerd<br /> containerd config default | tee /etc/containerd/config.toml &gt; /dev/null<br /> sed -i 's#bin_dir = &quot;/usr/lib/cni&quot;#bin_dir = &quot;/opt/cni/bin&quot;#' /etc/containerd/config.toml<br /> sed -i 's/SystemdCgroup = false/SystemdCgroup = true/' /etc/containerd/config.toml&lt;/syntaxhighlight&gt;重启并设置自启&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> systemctl daemon-reload<br /> systemctl restart containerd<br /> systemctl enable containerd<br /> systemctl status containerd<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == 5. 安装 kubeadm kubelet kubectl ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p -m 755 /etc/apt/keyrings<br /> curl -fsSL https://pkgs.k8s.io/core:/stable:/v1.35/deb/Release.key | gpg --dearmor -o /etc/apt/keyrings/kubernetes-apt-keyring.gpg<br /> echo 'deb [signed-by=/etc/apt/keyrings/kubernetes-apt-keyring.gpg] https://pkgs.k8s.io/core:/stable:/v1.35/deb/ /' | tee /etc/apt/sources.list.d/kubernetes.list<br /> apt-get update<br /> apt-get install -y kubelet kubeadm kubectl<br /> apt-mark hold kubelet kubeadm kubectl<br /> systemctl enable --now kubelet<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm version<br /> kubectl version --client<br /> kubelet --version<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''6. 初始化单节点 k8s 集群''' ==<br /> 新建一个初始化配置&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /main/k8s<br /> nano /main/k8s/kubeadm-config.yaml&lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: InitConfiguration<br /> nodeRegistration:<br /> name: master<br /> criSocket: &quot;unix:///run/containerd/containerd.sock&quot;<br /> localAPIEndpoint:<br /> advertiseAddress: &lt;你的公网主机IP&gt;<br /> bindPort: 6443<br /> <br /> ---<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: ClusterConfiguration<br /> kubernetesVersion: v1.35.0<br /> networking:<br /> podSubnet: 10.10.0.0/16<br /> serviceSubnet: 192.168.0.0/16<br /> dnsDomain: cluster.local<br /> <br /> # 若开启了Swap需要解除此注释!<br /> #---<br /> #apiVersion: kubelet.config.k8s.io/v1beta1<br /> #kind: KubeletConfiguration<br /> #cgroupDriver: systemd<br /> #failSwapOn: false<br /> #memorySwap:<br /> # swapBehavior: LimitedSwap<br /> <br /> <br /> &lt;/syntaxhighlight&gt;开始初始化&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm init --config /main/k8s/kubeadm-config.yaml<br /> &lt;/syntaxhighlight&gt;初始化完成后配置 kubectl&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p $HOME/.kube<br /> cp -i /etc/kubernetes/admin.conf $HOME/.kube/config<br /> chown &quot;$(id -u)&quot;:&quot;$(id -g)&quot; $HOME/.kube/config<br /> &lt;/syntaxhighlight&gt;因为我们是单节点, 需要移除 control plane 污点, 除非多台主机节点&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl taint nodes --all node-role.kubernetes.io/control-plane-<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl get nodes<br /> kubectl get pods -A&lt;/syntaxhighlight&gt;这时 master 大概率是 &lt;code&gt;NotReady&lt;/code&gt; 状态, 目前 CNI 还没有安装, CoreDNS 也通常不会处于 &lt;code&gt;Running&lt;/code&gt; 状态<br /> <br /> == '''7. 安装 Helm并设置补全''' ==<br /> 安装 Helm&lt;syntaxhighlight lang=&quot;bash&quot;&gt;curl -fsSL -o get_helm.sh https://raw.githubusercontent.com/helm/helm/main/scripts/get-helm-4<br /> chmod 700 get_helm.sh<br /> ./get_helm.sh<br /> helm version&lt;/syntaxhighlight&gt;<br /> <br /> ===== '''命令补全:''' =====<br /> <br /> * zsh&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion zsh)' &gt;&gt; ~/.zshrc<br /> echo 'source &lt;(helm completion zsh)' &gt;&gt; ~/.zshrc<br /> source ~/.zshrc<br /> &lt;/syntaxhighlight&gt;<br /> * bash&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion bash)' &gt;&gt; ~/.bashrc<br /> echo 'source &lt;(helm completion bash)' &gt;&gt; ~/.bashrc<br /> source ~/.bashrc<br /> &lt;/syntaxhighlight&gt;<br /> * fish&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl completion fish | sudo tee /etc/fish/completions/kubectl.fish &gt; /dev/null<br /> helm completion fish | sudo tee /etc/fish/completions/helm.fish &gt; /dev/null<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == 8. 安装 CNI 插件 ==<br /> 在资源紧凑的主机中我更推荐使用 &lt;code&gt;Flannel&lt;/code&gt; , 这里也会提供 &lt;code&gt;Calico&lt;/code&gt; 与 &lt;code&gt;Cilium&lt;/code&gt; 的安装, 根据应用场景自行选择其一<br /> <br /> 资源占用: &lt;code&gt;Flannel&lt;/code&gt; &lt; &lt;code&gt;Calico&lt;/code&gt; &lt; &lt;code&gt;Cilium&lt;/code&gt;<br /> <br /> ==== 8.1 Flannel ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl create namespace kube-flannel<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/enforce=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/audit=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/warn=privileged<br /> helm upgrade --install flannel -n kube-flannel --create-namespace --set podCidr=10.10.0.0/16 https://github.com/flannel-io/flannel/releases/download/v0.28.1/flannel.tgz&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.2 Calico ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;helm repo add projectcalico https://docs.tigera.io/calico/charts<br /> helm repo update<br /> kubectl create namespace tigera-operator<br /> helm upgrade --install calico projectcalico/tigera-operator --version v3.31.4 --namespace tigera-operator --set installation.calicoNetwork.ipPools[0].cidr=10.10.0.0/16 --set installation.calicoNetwork.ipPools[0].encapsulation=VXLAN&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.3 Cilium ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add cilium https://helm.cilium.io/<br /> helm repo update<br /> helm upgrade --install cilium cilium/cilium --version 1.19.1 --namespace kube-system<br /> &lt;/syntaxhighlight&gt;'''检查CNI'''&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;节点状态从 &lt;code&gt;NotReady&lt;/code&gt; 变为 &lt;code&gt;Ready&lt;/code&gt; , CoreDNS 进入 &lt;code&gt;Running&lt;/code&gt; 状态, '''至此, k8s 已经初步部署完成'''<br /> <br /> == '''9. Headlamp (可选)''' ==<br /> <br /> ==== 9.1 什么是 '''&lt;code&gt;Headlamp&lt;/code&gt;''' ====<br /> Headlamp是一个面向 k8s 的图形化管理界面, 它的目标是用更直观的方式帮助用户查看和管理集群资源, 例如节点/Pod/Deployment/Service/ConfigMap/Secret 等常见对象, 都可以通过 Web 页面进行浏览和操作<br /> <br /> 它定义为一个易用且可扩展的 Kubernetes WebUI 并强调它既可以作为集群内 Web 应用运行, 也可以作为桌面应用使用, 和很多传统 Dashboard 相比<br /> <br /> Headlamp 的特点主要有三点:<br /> <br /> # 界面更现代 更偏向日常运维与开发使用<br /> # 它支持基于 Kubernetes RBAC 的权限控制 用户能看到和操作的资源会自动受当前权限约束<br /> # 它具备插件扩展能力 可以根据团队需求定制界面和功能<br /> <br /> 我个人认为可以帮助初学者摆脱只看命令行输出的方式, 更直观地观察集群中资源的创建/状态变化/日志/配置情况, 因此很适合作为 k8s 学习和演示环境中的可视化入口. <br /> <br /> ==== 9.2 开始安装 ====<br /> 先新建一个 &lt;code&gt;values.yml&lt;/code&gt; 文件&lt;syntaxhighlight&gt;<br /> mkdir -p /main/k8s/headlamp<br /> nano /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> replicaCount: 1<br /> <br /> image:<br /> registry: ghcr.io<br /> repository: headlamp-k8s/headlamp<br /> tag: &quot;&quot;<br /> pullPolicy: IfNotPresent<br /> <br /> nameOverride: &quot;&quot;<br /> fullnameOverride: &quot;headlamp&quot;<br /> namespaceOverride: &quot;&quot;<br /> <br /> <br /> service:<br /> type: NodePort<br /> port: 80<br /> # 宿主机开放端口<br /> nodePort: 30080<br /> <br /> <br /> env:<br /> - name: TZ<br /> value: &quot;Asia/Shanghai&quot;<br /> <br /> config:<br /> pluginsDir: /headlamp/plugins<br /> <br /> volumes:<br /> - name: plugins-volume<br /> hostPath:<br /> path: /main/k8s/headlamp/plugins<br /> type: DirectoryOrCreate<br /> <br /> volumeMounts:<br /> - name: plugins-volume<br /> mountPath: /headlamp/plugins<br /> <br /> <br /> resources:<br /> requests:<br /> cpu: 100m<br /> memory: 128Mi<br /> limits:<br /> cpu: 500m<br /> memory: 512Mi<br /> <br /> &lt;/syntaxhighlight&gt;用 Helm 安装&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add headlamp https://kubernetes-sigs.github.io/headlamp/<br /> helm repo update<br /> helm upgrade --install headlamp headlamp/headlamp -n headlamp --create-namespace -f /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;通过开放的端口访问到 Headlamp, 初次加载需要等待一会, 之后需要输入 &lt;code&gt;token&lt;/code&gt;, 使用命令生成&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl create token headlamp --namespace headlamp --duration 168h<br /> &lt;/syntaxhighlight&gt;若不通则进行检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 9.3 查看资源使用概览 ====<br /> Headlamp中各种资源显示, 需要依赖 &lt;code&gt;metrics-server&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add metrics-server https://kubernetes-sigs.github.io/metrics-server/<br /> helm repo update<br /> helm upgrade --install metrics-server metrics-server/metrics-server -n kube-system --set &quot;args[0]=--kubelet-insecure-tls&quot;<br /> &lt;/syntaxhighlight&gt;安装好后就可以正常显示资源占用情况<br /> <br /> == '''10. 常见问题排查''' ==<br /> <br /> ==== 10.1 Flannel 启动失败 ====<br /> 优先检查这几个点, Flannel 官方 README 明确指出 它依赖 &lt;code&gt;br_netfilter&lt;/code&gt; 另外它默认使用 &lt;code&gt;portmap&lt;/code&gt; 作为 CNI 网络插件的一部分 并要求相关 CNI 二进制位于 &lt;code&gt;/opt/cni/bin&lt;/code&gt; <br /> <br /> ==== 10.2 Headlamp 页面能打开但无法登录 ====<br /> 重点检查<br /> <br /> * token 是否复制完整<br /> * ServiceAccount 是否创建在 &lt;code&gt;kube-system&lt;/code&gt;<br /> * ClusterRoleBinding 是否绑定成功<br /> * Headlamp 是否真的暴露成 NodePort<br /> <br /> ==== 10.3 Pod 无法联网 ====<br /> 重点检查<br /> <br /> * &lt;code&gt;kubeadm init&lt;/code&gt; 的 &lt;code&gt;--pod-network-cidr&lt;/code&gt;<br /> * Flannel Chart 的 &lt;code&gt;podCidr&lt;/code&gt;<br /> * 主机自身网段是否与 Pod 网段冲突<br /> <br /> Kubernetes 官方明确提醒 Pod network 不应与宿主机网络重叠 否则容易出现网络异常<br /> <br /> == 11. 常用命令 ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> # -------------------------<br /> # 1 集群和命名空间<br /> # -------------------------<br /> kubectl config current-context # 查看当前 kubeconfig 上下文<br /> kubectl config get-contexts # 查看所有可用上下文<br /> kubectl config use-context my-cluster # 切换到指定集群上下文<br /> kubectl get ns # 查看所有命名空间<br /> kubectl get pods -n kube-system # 查看指定命名空间中的 Pod<br /> kubectl config set-context --current --namespace=default # 设置当前上下文默认命名空间<br /> <br /> # -------------------------<br /> # 2 Helm 安装和版本管理<br /> # -------------------------<br /> helm repo add bitnami https://charts.bitnami.com/bitnami # 添加 Helm 仓库<br /> helm repo update # 更新 Helm 仓库索引<br /> helm search repo nginx # 在 Helm 仓库中搜索 chart<br /> helm install my-nginx bitnami/nginx # 安装一个 Helm release<br /> helm install my-nginx bitnami/nginx -n web --create-namespace # 安装到指定命名空间 不存在则创建<br /> helm install headlamp headlamp/headlamp -n kube-system -f values.yaml # 使用 values 文件安装 release<br /> helm upgrade headlamp headlamp/headlamp -n kube-system -f values.yaml # 升级已有 release<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml # 不存在则安装 存在则升级<br /> helm list -A # 查看所有命名空间中的 Helm release<br /> helm status headlamp -n kube-system # 查看某个 release 当前状态<br /> helm history headlamp -n kube-system # 查看 release 历史版本<br /> helm rollback headlamp 2 -n kube-system # 回滚到指定 revision<br /> helm uninstall headlamp -n kube-system # 卸载 release<br /> helm show values headlamp/headlamp # 查看 chart 默认 values<br /> helm template headlamp headlamp/headlamp -n kube-system -f values.yaml # 本地渲染模板 不实际安装<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml --dry-run # 试运行安装或升级<br /> helm upgrade --install headlamp headlamp/headlamp -n kube-system -f values.yaml --dry-run --debug # 试运行并输出详细调试信息<br /> <br /> # -------------------------<br /> # 3 常用资源查看<br /> # -------------------------<br /> kubectl get pods # 查看当前命名空间的 Pod<br /> kubectl get pods -o wide # 查看 Pod 并显示节点 IP 等更多信息<br /> kubectl get pods -w # 持续监听 Pod 状态变化<br /> kubectl get deploy # 查看 Deployment<br /> kubectl get svc # 查看 Service<br /> kubectl get ds # 查看 DaemonSet<br /> kubectl get sts # 查看 StatefulSet<br /> kubectl get ingress # 查看 Ingress<br /> kubectl get all -n kube-system # 查看命名空间下常见资源<br /> kubectl get pods -l app.kubernetes.io/name=headlamp -n kube-system # 根据标签筛选 Pod<br /> kubectl get deploy headlamp -n kube-system -o yaml # 查看 Deployment 的完整 YAML<br /> kubectl get svc headlamp -n kube-system -o wide # 查看 Service 详细信息<br /> <br /> # -------------------------<br /> # 4 排障常用<br /> # -------------------------<br /> kubectl describe pod headlamp-xxx-xxx -n kube-system # 查看 Pod 详细状态和事件<br /> kubectl describe deploy headlamp -n kube-system # 查看 Deployment 详细信息<br /> kubectl describe svc headlamp -n kube-system # 查看 Service 详细信息<br /> kubectl get events -n kube-system --sort-by=.metadata.creationTimestamp # 按时间排序查看命名空间事件<br /> kubectl get events -A --sort-by=.metadata.creationTimestamp # 查看全局事件并按时间排序<br /> kubectl logs headlamp-xxx-xxx -n kube-system # 查看 Pod 日志<br /> kubectl logs -f headlamp-xxx-xxx -n kube-system # 持续跟踪 Pod 日志<br /> kubectl logs headlamp-xxx-xxx -n kube-system -c headlamp # 查看指定容器日志<br /> kubectl logs headlamp-xxx-xxx -n kube-system --previous # 查看容器上一次崩溃前日志<br /> kubectl exec -it headlamp-xxx-xxx -n kube-system -- /bin/sh # 进入容器 shell<br /> kubectl exec -it headlamp-xxx-xxx -n kube-system -- /bin/bash # 进入容器 bash<br /> kubectl get pods -n kube-system # 先列出 Pod 再选择进入<br /> kubectl exec -it pod-name -n kube-system -- /bin/sh # 进入指定 Pod<br /> kubectl top pod -n kube-system # 查看 Pod CPU 和内存使用量<br /> kubectl top node # 查看节点资源使用量<br /> <br /> # -------------------------<br /> # 5 发布和重启相关<br /> # -------------------------<br /> kubectl rollout restart deploy headlamp -n kube-system # 滚动重启 Deployment<br /> kubectl rollout status deploy headlamp -n kube-system # 查看 Deployment 发布状态<br /> kubectl rollout history deploy headlamp -n kube-system # 查看 Deployment 发布历史<br /> kubectl rollout undo deploy headlamp -n kube-system # 回滚 Deployment 到上一版本<br /> kubectl scale deploy headlamp --replicas=3 -n kube-system # 调整副本数<br /> kubectl delete pod headlamp-xxx-xxx -n kube-system # 删除 Pod 让控制器自动重建<br /> <br /> # -------------------------<br /> # 6 网络和端口相关<br /> # -------------------------<br /> kubectl get svc -n kube-system # 查看命名空间下 Service<br /> kubectl port-forward pod/headlamp-xxx-xxx 8080:80 -n kube-system # 将本地 8080 转发到 Pod 的 80<br /> kubectl port-forward svc/headlamp 8080:80 -n kube-system # 将本地 8080 转发到 Service 的 80<br /> kubectl get endpoints headlamp -n kube-system # 查看 Service 后端 Endpoint<br /> kubectl run tmp-shell -it --rm --image=busybox -- /bin/sh # 临时启动调试 Pod<br /> nslookup kubernetes.default # 在调试容器中解析集群 DNS<br /> wget -qO- http://headlamp.kube-system.svc.cluster.local # 在调试容器中访问集群内部 Service<br /> <br /> # -------------------------<br /> # 7 配置和存储相关<br /> # -------------------------<br /> <br /> kubectl get configmap -n kube-system # 查看 ConfigMap<br /> kubectl get secret -n kube-system # 查看 Secret<br /> kubectl get pvc -A # 查看所有 PVC<br /> kubectl get pv # 查看所有 PV<br /> kubectl get nodes -o wide # 查看节点及详细信息<br /> kubectl describe node node-1 # 查看节点详细状态<br /> kubectl get deploy headlamp -n kube-system -o yaml # 查看实际生效的 Deployment YAML<br /> <br /> # -------------------------<br /> # 8 Helm 配合排障常用<br /> # -------------------------<br /> helm status headlamp -n kube-system # 查看 release 当前运行状态<br /> helm get values headlamp -n kube-system # 查看用户自定义 values<br /> helm get values headlamp -n kube-system -a # 查看合并后的全部 values<br /> helm get manifest headlamp -n kube-system # 查看 release 实际渲染出的 manifest<br /> helm get notes headlamp -n kube-system # 查看安装说明和访问提示<br /> kubectl get pod headlamp-xxx-xxx -n kube-system --show-labels # 查看 Pod 标签 判断所属 release<br /> kubectl get all -n kube-system -l app.kubernetes.io/instance=headlamp # 根据 Helm release 标签筛选整套资源<br /> <br /> # -------------------------<br /> # 9 最常用 20 个命令<br /> # -------------------------<br /> kubectl get pods -A # 查看所有命名空间 Pod<br /> kubectl get svc -A # 查看所有命名空间 Service<br /> kubectl get deploy -A # 查看所有命名空间 Deployment<br /> kubectl get all -n kube-system # 查看 kube-system 中常见资源<br /> kubectl get pods -o wide -n kube-system # 查看 Pod 详细信息<br /> kubectl describe pod pod-name -n kube-system # 查看 Pod 详情<br /> kubectl describe deploy deploy-name -n kube-system # 查看 Deployment 详情<br /> kubectl logs pod-name -n kube-system # 查看日志<br /> kubectl logs -f pod-name -n kube-system # 持续跟踪日志<br /> kubectl logs pod-name -n kube-system --previous # 查看上一次容器日志<br /> kubectl exec -it pod-name -n kube-system -- /bin/sh # 进入容器<br /> kubectl get events -n kube-system --sort-by=.metadata.creationTimestamp # 查看时间排序事件<br /> kubectl port-forward svc/service-name 8080:80 -n kube-system # 本地端口转发到 Service<br /> kubectl rollout restart deploy deploy-name -n kube-system # 重启 Deployment<br /> kubectl rollout status deploy deploy-name -n kube-system # 查看滚动发布状态<br /> kubectl scale deploy deploy-name --replicas=2 -n kube-system # 调整副本数<br /> helm list -A # 查看所有 Helm release<br /> helm status release-name -n kube-system # 查看 release 状态<br /> helm get values release-name -n kube-system -a # 查看 release 全部 values<br /> helm upgrade --install release-name repo/chart -n kube-system -f values.yaml # Helm 安装或升级<br /> <br /> # -------------------------<br /> # 10 实战排障流程<br /> # -------------------------<br /> helm status headlamp -n kube-system # 先检查 release 状态<br /> kubectl get all -n kube-system -l app.kubernetes.io/instance=headlamp # 查看 release 关联资源<br /> kubectl get pods -n kube-system -o wide # 查看 Pod 是否正常运行<br /> kubectl describe pod pod-name -n kube-system # 检查 Pod 事件和错误<br /> kubectl logs pod-name -n kube-system # 查看应用日志<br /> kubectl get svc -n kube-system # 查看 Service 是否创建成功<br /> kubectl describe svc headlamp -n kube-system # 查看 Service 配置详情<br /> kubectl get endpoints headlamp -n kube-system # 查看 Service 是否关联到后端 Pod<br /> kubectl port-forward svc/headlamp 8080:80 -n kube-system # 用本地转发验证服务本身是否正常<br /> <br /> # -------------------------<br /> # 11 常用别名<br /> # -------------------------<br /> alias k=kubectl # kubectl 简写<br /> alias kgp='kubectl get pods' # 快速查看 Pod<br /> alias kgs='kubectl get svc' # 快速查看 Service<br /> alias kgd='kubectl get deploy' # 快速查看 Deployment<br /> alias kdp='kubectl describe pod' # 快速查看 Pod 详情<br /> alias kdd='kubectl describe deploy' # 快速查看 Deployment 详情<br /> &lt;/syntaxhighlight&gt;</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E6%90%AD%E5%BB%BA_Kubernetes_%E4%B8%80%E7%AB%99%E5%BC%8F%E5%B9%B3%E5%8F%B0&diff=1890 2026-04-12T19:40:22Z

<p>Koud Wind：​</p> <hr /> <div>----<br /> <br /> == '''1. 什么是 Kubernetes / k8s''' ==<br /> k8s 也就是 Kubernetes 是一个面向容器化应用的自动化管理平台, 核心职责是管理程序运行的环境, 包括 &lt;code&gt;部署应用/调度资源/维护副本/处理故障/对外暴露服务&lt;/code&gt;等等...<br /> <br /> 对于初学者来说可以把它理解成一个专门管理容器集群的平台, 当你只有一个容器时也许还感觉不到它的必要性<br /> <br /> 但当你需要同时运行多个服务, 需要让服务彼此通信, 需要保证应用异常后自动恢复, 甚至需要后续扩容到多台机器时 Kubernetes 的价值就会非常明显<br /> <br /> 而本文要做的事情, 就是在一台主机上先搭建一个最小可运行的 Kubernetes 环境, 借助这个过程去理解 Kubernetes 是怎样从零开始被组织起来的<br /> <br /> 为了易读性, 在这里会将 &lt;code&gt;Kubernetes&lt;/code&gt; 简称为 &lt;code&gt;k8s&lt;/code&gt;<br /> <br /> == '''2. 环境说明''' ==<br /> 运行 kubeadm 集群建议 control plane 节点至少具备 &lt;code&gt;2 Core CPU&lt;/code&gt; 和 &lt;code&gt;2 GiB&lt;/code&gt; 运存, 推荐购买搬瓦工的 [https://bandwagonhost.com/cart.php?a=add&amp;pid=166 ECOMMERCE SLA] 套餐<br /> <br /> * 操作系统以 Debian13 为例<br /> * 主机数量 1 台<br /> * 使用 root 用户<br /> * 主机承担 control plane 和 workload 调度<br /> * k8s pod网段为 &lt;code&gt;10.10.0.0/16&lt;/code&gt; , service网段为 &lt;code&gt;192.168.0.0/16&lt;/code&gt;<br /> * 使用 &lt;code&gt;Headlamp&lt;/code&gt; 管理k8s pods<br /> <br /> == '''3. 前置准备''' ==<br /> <br /> ==== 3.1 加载模块并启用转发 ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> cat &lt;&lt;'EOF' | tee /etc/modules-load.d/k8s.conf<br /> overlay<br /> br_netfilter<br /> EOF<br /> <br /> modprobe overlay<br /> modprobe br_netfilter<br /> <br /> cat &lt;&lt;'EOF' | tee /etc/sysctl.d/k8s.conf<br /> net.bridge.bridge-nf-call-iptables = 1<br /> net.bridge.bridge-nf-call-ip6tables = 1<br /> net.ipv4.ip_forward = 1<br /> net.ipv6.conf.all.forwarding = 1<br /> EOF<br /> sysctl --system<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.2 配置 hosts ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> tee -a /etc/hosts &gt; /dev/null &lt;&lt;'EOF'<br /> 127.0.0.1 k8s-master<br /> EOF<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.3 关闭 swap (可选) ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> swapoff -a<br /> sed -ri '/\sswap\s/s/^/#/' /etc/fstab<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''4. 安装 containerd''' ==<br /> 更新软件源并安装 containerd 与 其他核心组件&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> apt update<br /> apt install -y containerd apt-transport-https ca-certificates curl gpg<br /> &lt;/syntaxhighlight&gt;生成默认配置文件并修改配置文件, 这里为了防止后续可能报错, 修改了 &lt;code&gt;bin_dir&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /etc/containerd<br /> containerd config default | tee /etc/containerd/config.toml &gt; /dev/null<br /> sed -i 's#bin_dir = &quot;/usr/lib/cni&quot;#bin_dir = &quot;/opt/cni/bin&quot;#' /etc/containerd/config.toml<br /> sed -i 's/SystemdCgroup = false/SystemdCgroup = true/' /etc/containerd/config.toml&lt;/syntaxhighlight&gt;重启并设置自启&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> systemctl daemon-reload<br /> systemctl restart containerd<br /> systemctl enable containerd<br /> systemctl status containerd<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == 5. 安装 kubeadm kubelet kubectl ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p -m 755 /etc/apt/keyrings<br /> curl -fsSL https://pkgs.k8s.io/core:/stable:/v1.35/deb/Release.key | gpg --dearmor -o /etc/apt/keyrings/kubernetes-apt-keyring.gpg<br /> echo 'deb [signed-by=/etc/apt/keyrings/kubernetes-apt-keyring.gpg] https://pkgs.k8s.io/core:/stable:/v1.35/deb/ /' | tee /etc/apt/sources.list.d/kubernetes.list<br /> apt-get update<br /> apt-get install -y kubelet kubeadm kubectl<br /> apt-mark hold kubelet kubeadm kubectl<br /> systemctl enable --now kubelet<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm version<br /> kubectl version --client<br /> kubelet --version<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''6. 初始化单节点 k8s 集群''' ==<br /> 新建一个初始化配置&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /main/k8s<br /> nano /main/k8s/kubeadm-config.yaml&lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: InitConfiguration<br /> nodeRegistration:<br /> name: master<br /> criSocket: &quot;unix:///run/containerd/containerd.sock&quot;<br /> localAPIEndpoint:<br /> advertiseAddress: &lt;你的公网主机IP&gt;<br /> bindPort: 6443<br /> <br /> ---<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: ClusterConfiguration<br /> kubernetesVersion: v1.35.0<br /> networking:<br /> podSubnet: 10.10.0.0/16<br /> serviceSubnet: 192.168.0.0/16<br /> dnsDomain: cluster.local<br /> <br /> # 若开启了Swap需要解除此注释!<br /> #---<br /> #apiVersion: kubelet.config.k8s.io/v1beta1<br /> #kind: KubeletConfiguration<br /> #cgroupDriver: systemd<br /> #failSwapOn: false<br /> #memorySwap:<br /> # swapBehavior: LimitedSwap<br /> <br /> <br /> &lt;/syntaxhighlight&gt;开始初始化&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm init --config /main/k8s/kubeadm-config.yaml<br /> &lt;/syntaxhighlight&gt;初始化完成后配置 kubectl&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p $HOME/.kube<br /> cp -i /etc/kubernetes/admin.conf $HOME/.kube/config<br /> chown &quot;$(id -u)&quot;:&quot;$(id -g)&quot; $HOME/.kube/config<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl get nodes<br /> kubectl get pods -A&lt;/syntaxhighlight&gt;这时 master 大概率是 &lt;code&gt;NotReady&lt;/code&gt; 状态, 目前 CNI 还没有安装, CoreDNS 也通常不会处于 &lt;code&gt;Running&lt;/code&gt; 状态<br /> <br /> == '''7. 安装 Helm并设置补全''' ==<br /> 安装 Helm&lt;syntaxhighlight lang=&quot;bash&quot;&gt;curl -fsSL -o get_helm.sh https://raw.githubusercontent.com/helm/helm/main/scripts/get-helm-4<br /> chmod 700 get_helm.sh<br /> ./get_helm.sh<br /> helm version&lt;/syntaxhighlight&gt;<br /> <br /> ===== '''命令补全:''' =====<br /> <br /> * zsh&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion zsh)' &gt;&gt; ~/.zshrc<br /> echo 'source &lt;(helm completion zsh)' &gt;&gt; ~/.zshrc<br /> source ~/.zshrc<br /> &lt;/syntaxhighlight&gt;<br /> * bash&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> echo 'source &lt;(kubectl completion bash)' &gt;&gt; ~/.bashrc<br /> echo 'source &lt;(helm completion bash)' &gt;&gt; ~/.bashrc<br /> source ~/.bashrc<br /> &lt;/syntaxhighlight&gt;<br /> * fish&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl completion fish | sudo tee /etc/fish/completions/kubectl.fish &gt; /dev/null<br /> helm completion fish | sudo tee /etc/fish/completions/helm.fish &gt; /dev/null<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == 8. 安装 CNI 插件 ==<br /> 在资源紧凑的主机中我更推荐使用 &lt;code&gt;Flannel&lt;/code&gt; , 这里也会提供 &lt;code&gt;Calico&lt;/code&gt; 与 &lt;code&gt;Cilium&lt;/code&gt; 的安装, 根据应用场景自行选择其一<br /> <br /> 资源占用: &lt;code&gt;Flannel&lt;/code&gt; &lt; &lt;code&gt;Calico&lt;/code&gt; &lt; &lt;code&gt;Cilium&lt;/code&gt;<br /> <br /> ==== 8.1 Flannel ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl create namespace kube-flannel<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/enforce=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/audit=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/warn=privileged<br /> helm upgrade --install flannel -n kube-flannel --create-namespace --set podCidr=10.10.0.0/16 https://github.com/flannel-io/flannel/releases/download/v0.28.1/flannel.tgz&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.2 Calico ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;helm repo add projectcalico https://docs.tigera.io/calico/charts<br /> helm repo update<br /> kubectl create namespace tigera-operator<br /> helm upgrade --install calico projectcalico/tigera-operator --version v3.31.4 --namespace tigera-operator --set installation.calicoNetwork.ipPools[0].cidr=10.10.0.0/16 --set installation.calicoNetwork.ipPools[0].encapsulation=VXLAN&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.3 Cilium ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add cilium https://helm.cilium.io/<br /> helm repo update<br /> helm upgrade --install cilium cilium/cilium --version 1.19.1 --namespace kube-system<br /> &lt;/syntaxhighlight&gt;'''检查CNI'''&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;节点状态从 &lt;code&gt;NotReady&lt;/code&gt; 变为 &lt;code&gt;Ready&lt;/code&gt; , CoreDNS 进入 &lt;code&gt;Running&lt;/code&gt; 状态, '''至此, k8s 已经初步部署完成'''<br /> <br /> == '''9. Headlamp (可选)''' ==<br /> <br /> ==== 9.1 什么是 '''&lt;code&gt;Headlamp&lt;/code&gt;''' ====<br /> Headlamp是一个面向 k8s 的图形化管理界面, 它的目标是用更直观的方式帮助用户查看和管理集群资源, 例如节点/Pod/Deployment/Service/ConfigMap/Secret 等常见对象, 都可以通过 Web 页面进行浏览和操作<br /> <br /> 它定义为一个易用且可扩展的 Kubernetes WebUI 并强调它既可以作为集群内 Web 应用运行, 也可以作为桌面应用使用, 和很多传统 Dashboard 相比<br /> <br /> Headlamp 的特点主要有三点:<br /> <br /> # 界面更现代 更偏向日常运维与开发使用<br /> # 它支持基于 Kubernetes RBAC 的权限控制 用户能看到和操作的资源会自动受当前权限约束<br /> # 它具备插件扩展能力 可以根据团队需求定制界面和功能<br /> <br /> 我个人认为可以帮助初学者摆脱只看命令行输出的方式, 更直观地观察集群中资源的创建/状态变化/日志/配置情况, 因此很适合作为 k8s 学习和演示环境中的可视化入口. <br /> <br /> ==== 9.2 开始安装 ====<br /> 先新建一个 &lt;code&gt;values.yml&lt;/code&gt; 文件&lt;syntaxhighlight&gt;<br /> mkdir -p /main/k8s/headlamp<br /> nano /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> replicaCount: 1<br /> <br /> image:<br /> registry: ghcr.io<br /> repository: headlamp-k8s/headlamp<br /> tag: &quot;&quot;<br /> pullPolicy: IfNotPresent<br /> <br /> nameOverride: &quot;&quot;<br /> fullnameOverride: &quot;headlamp&quot;<br /> namespaceOverride: &quot;&quot;<br /> <br /> <br /> service:<br /> type: NodePort<br /> port: 80<br /> # 宿主机开放端口<br /> nodePort: 30080<br /> <br /> <br /> env:<br /> - name: TZ<br /> value: &quot;Asia/Shanghai&quot;<br /> <br /> config:<br /> pluginsDir: /headlamp/plugins<br /> <br /> volumes:<br /> - name: plugins-volume<br /> hostPath:<br /> path: /main/k8s/headlamp/plugins<br /> type: DirectoryOrCreate<br /> <br /> volumeMounts:<br /> - name: plugins-volume<br /> mountPath: /headlamp/plugins<br /> <br /> <br /> resources:<br /> requests:<br /> cpu: 100m<br /> memory: 128Mi<br /> limits:<br /> cpu: 500m<br /> memory: 512Mi<br /> <br /> &lt;/syntaxhighlight&gt;用 Helm 安装&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add headlamp https://kubernetes-sigs.github.io/headlamp/<br /> helm repo update<br /> helm upgrade --install headlamp headlamp/headlamp -n headlamp --create-namespace -f /main/k8s/headlamp/values.yml<br /> &lt;/syntaxhighlight&gt;通过开放的端口访问到 Headlamp, 初次加载需要等待一会, 之后需要输入 &lt;code&gt;token&lt;/code&gt;, 使用命令生成&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl create token headlamp --namespace headlamp --duration 168h<br /> &lt;/syntaxhighlight&gt;若不通则进行检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 9.3 查看资源使用概览 ====<br /> Headlamp中各种资源显示, 需要依赖 &lt;code&gt;metrics-server&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add metrics-server https://kubernetes-sigs.github.io/metrics-server/<br /> helm repo update<br /> helm upgrade --install metrics-server metrics-server/metrics-server -n kube-system --set &quot;args[0]=--kubelet-insecure-tls&quot;<br /> &lt;/syntaxhighlight&gt;安装好后就可以正常显示资源占用情况</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E6%90%AD%E5%BB%BA_Kubernetes_%E4%B8%80%E7%AB%99%E5%BC%8F%E5%B9%B3%E5%8F%B0&diff=1889 2026-04-12T19:04:56Z

<p>Koud Wind：​尚未完成</p> <hr /> <div>----<br /> <br /> == '''1. 什么是 Kubernetes / k8s''' ==<br /> k8s 也就是 Kubernetes 是一个面向容器化应用的自动化管理平台, 核心职责是管理程序运行的环境, 包括 &lt;code&gt;部署应用/调度资源/维护副本/处理故障/对外暴露服务&lt;/code&gt;等等...<br /> <br /> 对于初学者来说可以把它理解成一个专门管理容器集群的平台, 当你只有一个容器时也许还感觉不到它的必要性<br /> <br /> 但当你需要同时运行多个服务, 需要让服务彼此通信, 需要保证应用异常后自动恢复, 甚至需要后续扩容到多台机器时 Kubernetes 的价值就会非常明显<br /> <br /> 而本文要做的事情, 就是在一台主机上先搭建一个最小可运行的 Kubernetes 环境, 借助这个过程去理解 Kubernetes 是怎样从零开始被组织起来的<br /> <br /> 为了易读性, 在这里会将 &lt;code&gt;Kubernetes&lt;/code&gt; 简称为 &lt;code&gt;k8s&lt;/code&gt;<br /> <br /> == '''2. 环境说明''' ==<br /> 运行 kubeadm 集群建议 control plane 节点至少具备 &lt;code&gt;2 Core CPU&lt;/code&gt; 和 &lt;code&gt;2 GiB&lt;/code&gt; 运存, 推荐购买搬瓦工的 [https://bandwagonhost.com/cart.php?a=add&amp;pid=166 ECOMMERCE SLA] 套餐<br /> <br /> * 操作系统以 Debian13 为例<br /> * 主机数量 1 台<br /> * 使用 root 用户<br /> * 主机承担 control plane 和 workload 调度<br /> * k8s pod网段为 &lt;code&gt;10.10.0.0/16&lt;/code&gt; , service网段为 &lt;code&gt;192.168.0.0/16&lt;/code&gt;<br /> * 使用 &lt;code&gt;Headlamp&lt;/code&gt; 管理k8s pods<br /> <br /> == '''3. 前置准备''' ==<br /> <br /> ==== 3.1 加载模块并启用转发 ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> cat &lt;&lt;'EOF' | tee /etc/modules-load.d/k8s.conf<br /> overlay<br /> br_netfilter<br /> EOF<br /> <br /> modprobe overlay<br /> modprobe br_netfilter<br /> <br /> cat &lt;&lt;'EOF' | tee /etc/sysctl.d/k8s.conf<br /> net.bridge.bridge-nf-call-iptables = 1<br /> net.bridge.bridge-nf-call-ip6tables = 1<br /> net.ipv4.ip_forward = 1<br /> net.ipv6.conf.all.forwarding = 1<br /> EOF<br /> sysctl --system<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.2 配置 hosts ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> tee -a /etc/hosts &gt; /dev/null &lt;&lt;'EOF'<br /> 127.0.0.1 k8s-master<br /> EOF<br /> &lt;/syntaxhighlight&gt;<br /> <br /> ==== 3.3 关闭 swap (可选) ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> swapoff -a<br /> sed -ri '/\sswap\s/s/^/#/' /etc/fstab<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''4. 安装 containerd''' ==<br /> 更新软件源并安装 containerd 与 其他核心组件&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> apt update<br /> apt install -y containerd apt-transport-https ca-certificates curl gpg<br /> &lt;/syntaxhighlight&gt;生成默认配置文件并修改配置文件, 这里为了防止后续可能报错, 修改了 &lt;code&gt;bin_dir&lt;/code&gt;&lt;syntaxhighlight lang=&quot;bash&quot;&gt;mkdir -p /etc/containerd<br /> containerd config default | tee /etc/containerd/config.toml &gt; /dev/null<br /> sed -i 's#bin_dir = &quot;/usr/lib/cni&quot;#bin_dir = &quot;/opt/cni/bin&quot;#' /etc/containerd/config.toml<br /> sed -i 's/SystemdCgroup = false/SystemdCgroup = true/' /etc/containerd/config.toml&lt;/syntaxhighlight&gt;重启并设置自启&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> systemctl daemon-reload<br /> systemctl restart containerd<br /> systemctl enable containerd<br /> systemctl status containerd<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == 5. 安装 kubeadm kubelet kubectl ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p -m 755 /etc/apt/keyrings<br /> curl -fsSL https://pkgs.k8s.io/core:/stable:/v1.35/deb/Release.key | gpg --dearmor -o /etc/apt/keyrings/kubernetes-apt-keyring.gpg<br /> echo 'deb [signed-by=/etc/apt/keyrings/kubernetes-apt-keyring.gpg] https://pkgs.k8s.io/core:/stable:/v1.35/deb/ /' | tee /etc/apt/sources.list.d/kubernetes.list<br /> apt-get update<br /> apt-get install -y kubelet kubeadm kubectl<br /> apt-mark hold kubelet kubeadm kubectl<br /> systemctl enable --now kubelet<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm version<br /> kubectl version --client<br /> kubelet --version<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == '''6. 初始化单节点 k8s 集群''' ==<br /> 新建一个初始化配置&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p /main/k8s<br /> nano /main/k8s/kubeadm-config.yaml<br /> &lt;/syntaxhighlight&gt;粘贴并自行修改配置后进行保存&lt;syntaxhighlight lang=&quot;yaml&quot; line=&quot;1&quot;&gt;<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: InitConfiguration<br /> nodeRegistration:<br /> name: master<br /> criSocket: &quot;unix:///run/containerd/containerd.sock&quot;<br /> localAPIEndpoint:<br /> advertiseAddress: &lt;你的公网主机IP&gt;<br /> bindPort: 6443<br /> <br /> ---<br /> apiVersion: kubeadm.k8s.io/v1beta4<br /> kind: ClusterConfiguration<br /> kubernetesVersion: v1.35.0<br /> networking:<br /> podSubnet: 10.10.0.0/16<br /> serviceSubnet: 192.168.0.0/16<br /> dnsDomain: cluster.local<br /> <br /> # 若开启了Swap需要解除此注释!<br /> #---<br /> #apiVersion: kubelet.config.k8s.io/v1beta1<br /> #kind: KubeletConfiguration<br /> #cgroupDriver: systemd<br /> #failSwapOn: false<br /> #memorySwap:<br /> # swapBehavior: LimitedSwap<br /> <br /> <br /> &lt;/syntaxhighlight&gt;开始初始化&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubeadm init --config /main/k8s/kubeadm-config.yaml<br /> &lt;/syntaxhighlight&gt;初始化完成后配置 kubectl&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> mkdir -p $HOME/.kube<br /> cp -i /etc/kubernetes/admin.conf $HOME/.kube/config<br /> chown &quot;$(id -u)&quot;:&quot;$(id -g)&quot; $HOME/.kube/config<br /> &lt;/syntaxhighlight&gt;检查&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;这时 master 大概率是 &lt;code&gt;NotReady&lt;/code&gt; 状态, 目前 CNI 还没有安装, CoreDNS 也通常不会处于 &lt;code&gt;Running&lt;/code&gt; 状态<br /> <br /> == '''7. 安装 Helm''' ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;curl -fsSL -o get_helm.sh https://raw.githubusercontent.com/helm/helm/main/scripts/get-helm-4<br /> chmod 700 get_helm.sh<br /> ./get_helm.sh<br /> helm version&lt;/syntaxhighlight&gt;<br /> <br /> == 8. 安装 CNI 插件 ==<br /> 在资源紧凑的主机中我更推荐使用 &lt;code&gt;Flannel&lt;/code&gt; , 这里也会提供 &lt;code&gt;Calico&lt;/code&gt; 与 &lt;code&gt;Cilium&lt;/code&gt; 的安装, 根据应用场景自行选择其一<br /> <br /> 资源占用: &lt;code&gt;Flannel&lt;/code&gt; &lt; &lt;code&gt;Calico&lt;/code&gt; &lt; &lt;code&gt;Cilium&lt;/code&gt;<br /> <br /> ==== 8.1 Flannel ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;kubectl create namespace kube-flannel<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/enforce=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/audit=privileged<br /> kubectl label namespace kube-flannel --overwrite pod-security.kubernetes.io/warn=privileged<br /> helm upgrade --install flannel -n kube-flannel --create-namespace --set podCidr=10.10.0.0/16 https://github.com/flannel-io/flannel/releases/download/v0.28.1/flannel.tgz&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.2 Calico ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;helm repo add projectcalico https://docs.tigera.io/calico/charts<br /> helm repo update<br /> kubectl create namespace tigera-operator<br /> helm upgrade --install calico projectcalico/tigera-operator --version v3.31.4 --namespace tigera-operator --set installation.calicoNetwork.ipPools[0].cidr=10.10.0.0/16 --set installation.calicoNetwork.ipPools[0].encapsulation=VXLAN&lt;/syntaxhighlight&gt;<br /> <br /> ==== 8.3 Cilium ====<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> helm repo add cilium https://helm.cilium.io/<br /> helm repo update<br /> helm upgrade --install cilium cilium/cilium --version 1.19.1 --namespace kube-system<br /> &lt;/syntaxhighlight&gt;'''检查CNI'''&lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> kubectl get nodes<br /> kubectl get pods -A<br /> &lt;/syntaxhighlight&gt;节点状态从 &lt;code&gt;NotReady&lt;/code&gt; 变为 &lt;code&gt;Ready&lt;/code&gt; , CoreDNS 进入 &lt;code&gt;Running&lt;/code&gt; 状态</div>

Koud Wind https://md5.pw/index.php?title=%E4%BD%BF%E7%94%A8nftables%E4%B8%BA%E6%8C%87%E5%AE%9ALinux%E7%94%A8%E6%88%B7%E5%BC%BA%E5%88%B6%E4%BD%BF%E7%94%A8%E4%BB%A3%E7%90%86&diff=1466 2026-02-19T15:21:21Z

<p>Koud Wind：​</p> <hr /> <div>----<br /> <br /> === 1. 准备 ===<br /> 确保 nftables 已经安装, 且本地有透明代理端口 (比如Xray的&lt;code&gt;dokodemo-door&lt;/code&gt;), 这里就不注重如何开设透明代理&lt;syntaxhighlight&gt;<br /> nft --version<br /> &lt;/syntaxhighlight&gt;若没有安装, 以Debian13为例&lt;syntaxhighlight&gt;apt update<br /> apt install nftables<br /> systemctl enable nftables&lt;/syntaxhighlight&gt;拷贝原有的nftables配置, 到一个好找的目录里, 以 &lt;code&gt;/main/nftables&lt;/code&gt; 为例, 再对原路径进行链接&lt;syntaxhighlight&gt;cp /etc/nftables.conf /main/nftables/<br /> ln -f /main/nftables/nftables.conf /etc/nftables.conf&lt;/syntaxhighlight&gt;并准备好编辑 &lt;code&gt;/main/nftables/nftables.conf&lt;/code&gt;<br /> <br /> === 2. 配置nftables ===<br /> 查看用户id&lt;syntaxhighlight&gt;<br /> cat /etc/passwd<br /> &lt;/syntaxhighlight&gt;这里假设我在&lt;code&gt;10809&lt;/code&gt;端口开设了Xray的&lt;code&gt;dokodemo-door&lt;/code&gt;, 需要将&lt;code&gt;1000&lt;/code&gt;与&lt;code&gt;1001&lt;/code&gt;的用户id所建立的tcp连接使用代理<br /> <br /> <br /> 请在合适位置添加或与其它的table进行合并&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> table inet proxy {<br /> <br /> chain output {<br /> type nat hook output priority 10;<br /> policy accept;<br /> <br /> meta skuid { 1000, 1001 } ip protocol tcp dnat to 127.0.0.1:10809;<br /> }<br /> <br /> }<br /> &lt;/syntaxhighlight&gt;保存后并重启&lt;syntaxhighlight&gt;<br /> systemctl restart nftables.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 3. 配置sysctl ===<br /> &lt;code&gt;sysctl&lt;/code&gt; 中需要配置IP转发, 新建一个&lt;code&gt;forward.conf&lt;/code&gt;并进行编辑&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> net.ipv4.ip_forward = 1<br /> net.ipv6.conf.all.forwarding = 1<br /> &lt;/syntaxhighlight&gt;保存好后链接过去, 并让其生效&lt;syntaxhighlight&gt;<br /> ln -f /main/nftables/forward.conf /etc/sysctl.d/<br /> sysctl --system<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 4. 测试 ===<br /> &lt;syntaxhighlight&gt;<br /> su 1000或1001用户名<br /> curl https://ipinfo.io/ip<br /> &lt;/syntaxhighlight&gt;</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E6%90%AD%E5%BB%BAIKEV2_VPN&diff=1464 2026-02-19T15:03:11Z

<p>Koud Wind：​</p> <hr /> <div>'''注意''': IKEV2协议可能会被GFW污染IKEV2数据包一个月, 临时使用为优, 请勿长时间使用, 如果主机在国内可以忽略<br /> <br /> 适合不能配置HTTP代理且不能安装其他代理客户端的设备<br /> ----<br /> <br /> === 1. 准备 ===<br /> 以 Debian13 为例&lt;syntaxhighlight&gt;apt update<br /> apt install nftables strongswan libstrongswan-extra-plugins libcharon-extra-plugins libcharon-extauth-plugins<br /> systemctl enable strongswan-starter<br /> mkdir -p /main/ikev2/cert<br /> cd /main/ikev2&lt;/syntaxhighlight&gt;&lt;code&gt;sysctl&lt;/code&gt; 中需要配置IP转发, 新建一个&lt;code&gt;forward.conf&lt;/code&gt;并进行编辑&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> net.ipv4.ip_forward = 1<br /> net.ipv6.conf.all.forwarding = 1<br /> &lt;/syntaxhighlight&gt;保存好后链接过去, 并让其生效&lt;syntaxhighlight&gt;<br /> ln -f /main/ikev2/forward.conf /etc/sysctl.d/<br /> sysctl --system<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 2. 配置证书 ===<br /> 这里我们使用自签证书, 先切换目录&lt;syntaxhighlight&gt;<br /> cd /main/ikev2/cert<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;server.cert.conf&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [req]<br /> default_bits = 4096<br /> default_md = sha256<br /> distinguished_name = req_distinguished_name<br /> req_extensions = req_ext<br /> x509_extensions = v3_ca<br /> prompt = no<br /> <br /> [req_distinguished_name]<br /> O = ikev2<br /> CN = ikev2 cert<br /> <br /> [req_ext]<br /> subjectAltName = @alt_names<br /> <br /> [v3_ca]<br /> subjectAltName = @alt_names<br /> basicConstraints = CA:FALSE<br /> keyUsage = digitalSignature, keyEncipherment<br /> extendedKeyUsage = serverAuth, clientAuth<br /> <br /> [alt_names]<br /> DNS.1 = 你的域名<br /> DNS.2 = 你的第二个域名<br /> &lt;/syntaxhighlight&gt;需要设置好域名并进行保存<br /> <br /> <br /> 执行以下命令&lt;syntaxhighlight&gt;openssl genrsa -out ca.key.pem 4096<br /> openssl req -new -x509 -nodes -days 5475 -sha256 -key ca.key.pem -out ca.cert.pem -subj &quot;/O=ikev2/CN=ikev2 ca&quot;<br /> <br /> openssl genrsa -out server.key.pem 4096<br /> openssl req -new -key server.key.pem -out server.csr.pem -config server.cert.conf<br /> openssl x509 -req -CA ca.cert.pem -CAkey ca.key.pem -CAcreateserial -in server.csr.pem -out server.cert.pem -days 5475 -sha256 -extfile server.cert.conf -extensions v3_ca&lt;/syntaxhighlight&gt;查看证书信息&lt;syntaxhighlight&gt;openssl x509 -in ca.cert.pem -text -noout&lt;/syntaxhighlight&gt;将证书链接到配置目录中&lt;syntaxhighlight&gt;<br /> mkdir -p /etc/ipsec.d/{private,certs}<br /> ln -f /main/ikev2/cert/server.key.pem /etc/ipsec.d/private/<br /> ln -f /main/ikev2/cert/server.cert.pem /etc/ipsec.d/certs/<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 3. 配置nftables ===<br /> 主要是为了根据 IKEV2 服务端分配给客户端的IP, 将数据包转发到指定网卡<br /> <br /> 如果你之前配置过nftables, 不是编辑配置文件, 那就从之前的配置中取, 并进行链接, 准备编辑&lt;syntaxhighlight&gt;<br /> mkdir /main/nftables<br /> cp /etc/nftables.conf /main/nftables/<br /> ln -f /main/nftables/nftables.conf /etc/<br /> &lt;/syntaxhighlight&gt;如果你没有配置过, 那就在&lt;code&gt;/main/nftables/&lt;/code&gt;中创建一个&lt;code&gt;nftables.conf&lt;/code&gt;配置文件并链接过去, 准备编辑&lt;syntaxhighlight&gt;ln -f /main/nftables/nftables.conf /etc/&lt;/syntaxhighlight&gt;如果你之前配置过nftables, 且编辑了配置文件, 就直接修改那个配置文件, 准备编辑<br /> <br /> 现在开始编辑&lt;code&gt;nftables.conf&lt;/code&gt;, 加入以下配置&lt;syntaxhighlight&gt;<br /> table inet ikev2_nat {<br /> chain postrouting {<br /> type nat hook postrouting priority 10;<br /> policy accept;<br /> <br /> # 自行修改网卡或IP<br /> ip saddr 10.10.0.0/16 oif &quot;eth0&quot; masquerade;<br /> ip6 saddr fd00:ce20::/16 oif &quot;eth0&quot; masquerade;<br /> }<br /> }<br /> &lt;/syntaxhighlight&gt;保存好后并生效&lt;syntaxhighlight&gt;<br /> systemctl enable nftables.service<br /> systemctl restart nftables.service<br /> &lt;/syntaxhighlight&gt;如果你有其他防火墙规则, 记得放行 UDP&lt;code&gt;500&lt;/code&gt;与&lt;code&gt;4500&lt;/code&gt;<br /> <br /> === 4. 配置IKEV2 ===<br /> 在&lt;code&gt;/main/ikev2&lt;/code&gt;中分别创建文件: &lt;code&gt;ipsec.conf&lt;/code&gt;, &lt;code&gt;ipsec.secrets&lt;/code&gt;<br /> <br /> conf是核心配置, secrets是用户配置, 需要自行修改<br /> <br /> &lt;code&gt;ipsec.conf&lt;/code&gt;的配置: &lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> config setup<br /> charondebug=&quot;ike 2, knl 2, net 2, esp 2, dmn 2, mgr 2&quot;<br /> uniqueids=no<br /> <br /> conn ikev2-eap-mschapv2<br /> keyexchange=ikev2<br /> ike=aes256-sha1-sha256-sha384-modp2048,aes128gcm16-aes256gcm16-sha1-sha256-sha384-modp1024!<br /> esp=aes256-3des-sha1<br /> <br /> auto=add<br /> compress=no<br /> dpdaction=clear<br /> fragmentation=yes<br /> forceencaps=yes<br /> <br /> dpddelay=30s<br /> ikelifetime=10h<br /> lifetime=30m<br /> <br /> left=%defaultroute<br /> leftauth=pubkey<br /> leftid=你的域名<br /> leftcert=server.cert.pem<br /> leftsendcert=always<br /> leftsubnet=0.0.0.0/0,::/0<br /> leftfirewall=yes<br /> <br /> right=%any<br /> rightid=%any<br /> rightauth=eap-mschapv2<br /> rightsourceip=10.10.0.0/16,fd00:ce20::/16<br /> rightdns=1.1.1.1,8.8.8.8<br /> rightsendcert=never<br /> eap_identity=%identity<br /> &lt;/syntaxhighlight&gt;&lt;code&gt;ipsec.secrets&lt;/code&gt;的配置: &lt;syntaxhighlight&gt;<br /> : RSA &quot;server.key.pem&quot;<br /> User1 : EAP &quot;123456789&quot;<br /> User2 : EAP &quot;这是用户密码, 换行前面要注意不能有空格&quot;<br /> &lt;/syntaxhighlight&gt;自行修改好后, 重启服务并生效&lt;syntaxhighlight&gt;<br /> systemctl restart strongswan-starter.service<br /> systemctl status strongswan-starter.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 5. 安装证书 ===<br /> 任何系统想用就必须装上'''CA证书''', 也就是上面配置证书的&lt;code&gt;ca.cert.pem&lt;/code&gt;<br /> <br /> '''Windows安装证书:'''<br /> <br /> &lt;code&gt;ca.cert.pem&lt;/code&gt;改为&lt;code&gt;.der&lt;/code&gt;后缀, 双击安装, 到本地计算机, 将证书放入下列存储 (受信任的根证书颁发机构)<br /> <br /> '''安卓安装证书:'''<br /> <br /> 以'''iqoo'''为例, 进入手机设置 -&gt; 安全 -&gt; 更多安全设置 -&gt; 从手机存储安装 -&gt; CA证书, 文件选择&lt;code&gt;ca.cert.pem&lt;/code&gt;<br /> <br /> 其他手机可以搜索 &lt;code&gt;CA/证书/凭证&lt;/code&gt;<br /> <br /> '''IOS安装证书:'''<br /> <br /> 下载证书后, 进入设置直接安装<br /> <br /> === 6. 设备使用 ===<br /> 添加 IKEV2 基本都是在任何系统里的设置中, 进入设置后找到VPN选项, 并添加<br /> <br /> 类型选择IKEV2, 名称随便起, 地址则是你的域名, 有些可能需要设置&lt;code&gt;IPSec标识符&lt;/code&gt;或者&lt;code&gt;远程ID&lt;/code&gt;, 这些也填写成你的域名, 再输入设置好的用户名与密码, 就可以连接了<br /> <br /> Windows可能无法保存密码信息, 要求密码信息时不能取消, 否则资源管理器会卡死<br /> <br /> '''Windows设置:'''<br /> <br /> [[File:如何搭建IKEV2 VPN-1.png|frameless|631x631px]]<br /> <br /> '''安卓设置:'''<br /> <br /> [[File:如何搭建IKEV2 VPN-2.jpg|frameless|498x498px]]</div>

Koud Wind https://md5.pw/index.php?title=%E4%BD%BF%E7%94%A8nftables%E4%B8%BA%E6%8C%87%E5%AE%9ALinux%E7%94%A8%E6%88%B7%E5%BC%BA%E5%88%B6%E4%BD%BF%E7%94%A8%E4%BB%A3%E7%90%86&diff=1463 2026-02-19T15:02:14Z

<p>Koud Wind：​</p> <hr /> <div>----<br /> <br /> === 1. 准备 ===<br /> 确保 nftables 已经安装, 且本地有透明代理端口 (比如Xray的&lt;code&gt;dokodemo-door&lt;/code&gt;), 这里就不注重如何开设透明代理&lt;syntaxhighlight&gt;<br /> nft --version<br /> &lt;/syntaxhighlight&gt;若没有安装, 以Debian13为例&lt;syntaxhighlight&gt;apt update<br /> apt install nftables<br /> systemctl enable nftables&lt;/syntaxhighlight&gt;拷贝原有的nftables配置, 到一个好找的目录里, 以 &lt;code&gt;/main/nftables&lt;/code&gt; 为例, 再对原路径进行链接&lt;syntaxhighlight&gt;cp /etc/nftables.conf /main/nftables/<br /> ln -f /main/nftables/nftables.conf /etc/nftables.conf&lt;/syntaxhighlight&gt;并准备好编辑 &lt;code&gt;/main/nftables/nftables.conf&lt;/code&gt;<br /> <br /> === 2. 配置nftables ===<br /> 查看用户id&lt;syntaxhighlight&gt;<br /> cat /etc/passwd<br /> &lt;/syntaxhighlight&gt;这里假设我在&lt;code&gt;10809&lt;/code&gt;端口开设了透明代理, 我需要&lt;code&gt;1000&lt;/code&gt;与&lt;code&gt;1001&lt;/code&gt;的用户id所建立的tcp连接使用代理<br /> <br /> <br /> 请在合适位置添加或与其它的table进行合并&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> table inet proxy {<br /> <br /> chain output {<br /> type nat hook output priority 10;<br /> policy accept;<br /> <br /> meta skuid { 1000, 1001 } ip protocol tcp dnat to 127.0.0.1:10809;<br /> }<br /> <br /> }<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 4. 完成配置 ===<br /> 保存后并重启&lt;syntaxhighlight&gt;<br /> systemctl restart nftables.service<br /> &lt;/syntaxhighlight&gt;</div>

Koud Wind https://md5.pw/index.php?title=%E4%BD%BF%E7%94%A8nftables%E5%B1%8F%E8%94%BD%E5%9B%BD%E5%A4%96%E6%B5%81%E9%87%8F&diff=1462 2026-02-19T15:01:45Z

<p>Koud Wind：​/* 2. 获取国内IP段 */</p> <hr /> <div>----<br /> <br /> === 1. 准备 ===<br /> 确保 nftables 与 python3 已经安装&lt;syntaxhighlight&gt;<br /> nft --version<br /> python3 --version<br /> &lt;/syntaxhighlight&gt;若没有安装, 以Debian13为例&lt;syntaxhighlight&gt;apt update<br /> apt install nftables python3 unzip<br /> systemctl enable nftables&lt;/syntaxhighlight&gt;拷贝原有的nftables配置, 到一个好找的目录里, 以 &lt;code&gt;/main/nftables&lt;/code&gt; 为例, 再对原路径进行链接&lt;syntaxhighlight&gt;cp /etc/nftables.conf /main/nftables/<br /> ln -f /main/nftables/nftables.conf /etc/nftables.conf&lt;/syntaxhighlight&gt;并准备好编辑 &lt;code&gt;/main/nftables/nftables.conf&lt;/code&gt;<br /> <br /> === 2. 获取国内IP段 ===<br /> 先获取并解压项目文件&lt;syntaxhighlight&gt;<br /> mkdir /main/nftables/geoip<br /> cd /main/nftables/geoip<br /> wget https://github.com/pvxe/nftables-geoip/archive/refs/heads/master.zip<br /> unzip master.zip<br /> rm master.zip<br /> &lt;/syntaxhighlight&gt;执行脚本&lt;syntaxhighlight&gt;mv nftables-geoip-master/* ./<br /> chmod u+x nft_geoip.py<br /> ./nft_geoip.py --file-location location.csv --download<br /> ./nft_geoip.py --download -c cn&lt;/syntaxhighlight&gt;<br /> <br /> === 3. 配置nftables ===<br /> 在合适位置添加或与其它的table进行合并, 这里比如只有访问tcp 46端口的国内IP, 才能放行&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> table inet geoip_filter {<br /> <br /> include &quot;/main/nftables/geoip/geoip-def-all.nft&quot;;<br /> include &quot;/main/nftables/geoip/geoip-ipv4-interesting.nft&quot;;<br /> include &quot;/main/nftables/geoip/geoip-ipv6-interesting.nft&quot;;<br /> <br /> chain geoip_mark_input {<br /> type filter hook prerouting priority -10;<br /> policy accept;<br /> <br /> <br /> meta mark set ip saddr map @geoip4;<br /> meta mark set ip6 saddr map @geoip6;<br /> }<br /> <br /> chain input {<br /> type filter hook input priority 0;<br /> policy drop;<br /> <br /> # 放行本地/已建立/相关的连接<br /> iif lo accept;<br /> ct state established,related accept;<br /> <br /> tcp dport { 46 } meta mark $CN ct state new accept;<br /> }<br /> }<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 4. 完成配置 ===<br /> 保存后并重启&lt;syntaxhighlight&gt;<br /> systemctl restart nftables.service<br /> &lt;/syntaxhighlight&gt;</div>

Koud Wind https://md5.pw/index.php?title=%E4%BD%BF%E7%94%A8nftables%E4%B8%BA%E6%8C%87%E5%AE%9ALinux%E7%94%A8%E6%88%B7%E5%BC%BA%E5%88%B6%E4%BD%BF%E7%94%A8%E4%BB%A3%E7%90%86&diff=1461 2026-02-19T15:01:27Z

<p>Koud Wind：​创建页面，内容为“---- === 1. 准备 === 确保 nftables 已经安装, 且本地有透明代理端口 (比如Xray的&lt;code&gt;dokodemo-door&lt;/code&gt;), 这里就不注重如何开设透明代理&lt;syntaxhighlight&gt; nft --version &lt;/syntaxhighlight&gt;若没有安装, 以Debian13为例&lt;syntaxhighlight&gt;apt update apt install nftables systemctl enable nftables&lt;/syntaxhighlight&gt;拷贝原有的nftables配置, 到一个好找的目录里, 以 &lt;code&gt;/main/nftables&lt;/code&gt; 为例, 再对原路径进…”</p> <hr /> <div>----<br /> <br /> === 1. 准备 ===<br /> 确保 nftables 已经安装, 且本地有透明代理端口 (比如Xray的&lt;code&gt;dokodemo-door&lt;/code&gt;), 这里就不注重如何开设透明代理&lt;syntaxhighlight&gt;<br /> nft --version<br /> &lt;/syntaxhighlight&gt;若没有安装, 以Debian13为例&lt;syntaxhighlight&gt;apt update<br /> apt install nftables<br /> systemctl enable nftables&lt;/syntaxhighlight&gt;拷贝原有的nftables配置, 到一个好找的目录里, 以 &lt;code&gt;/main/nftables&lt;/code&gt; 为例, 再对原路径进行链接&lt;syntaxhighlight&gt;cp /etc/nftables.conf /main/nftables/<br /> ln -f /main/nftables/nftables.conf /etc/nftables.conf&lt;/syntaxhighlight&gt;并准备好编辑 &lt;code&gt;/main/nftables/nftables.conf&lt;/code&gt;<br /> <br /> === 2. 配置nftables ===<br /> 查看用户id&lt;syntaxhighlight&gt;<br /> cat /etc/passwd<br /> &lt;/syntaxhighlight&gt;这里假设我在&lt;code&gt;10809&lt;/code&gt;端口开设了透明代理, 我需要&lt;code&gt;1000&lt;/code&gt;与&lt;code&gt;1001&lt;/code&gt;的用户id所建立的tcp连接使用代理<br /> <br /> 请在合适位置添加或与其它的table进行合并&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> table inet proxy {<br /> <br /> chain output {<br /> type nat hook output priority 10;<br /> policy accept;<br /> <br /> meta skuid { 1000, 1001 } ip protocol tcp dnat to 127.0.0.1:10809;<br /> }<br /> <br /> }<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 4. 完成配置 ===<br /> 保存后并重启&lt;syntaxhighlight&gt;<br /> systemctl restart nftables.service<br /> &lt;/syntaxhighlight&gt;</div>

Koud Wind https://md5.pw/index.php?title=%E4%BD%BF%E7%94%A8nftables%E5%B1%8F%E8%94%BD%E5%9B%BD%E5%A4%96%E6%B5%81%E9%87%8F&diff=1460 2026-02-19T14:47:26Z

<p>Koud Wind：​/* 2. 获取国内IP段 */</p> <hr /> <div>----<br /> <br /> === 1. 准备 ===<br /> 确保 nftables 与 python3 已经安装&lt;syntaxhighlight&gt;<br /> nft --version<br /> python3 --version<br /> &lt;/syntaxhighlight&gt;若没有安装, 以Debian13为例&lt;syntaxhighlight&gt;apt update<br /> apt install nftables python3 unzip<br /> systemctl enable nftables&lt;/syntaxhighlight&gt;拷贝原有的nftables配置, 到一个好找的目录里, 以 &lt;code&gt;/main/nftables&lt;/code&gt; 为例, 再对原路径进行链接&lt;syntaxhighlight&gt;cp /etc/nftables.conf /main/nftables/<br /> ln -f /main/nftables/nftables.conf /etc/nftables.conf&lt;/syntaxhighlight&gt;并准备好编辑 &lt;code&gt;/main/nftables/nftables.conf&lt;/code&gt;<br /> <br /> === 2. 获取国内IP段 ===<br /> 先获取并解压项目文件&lt;syntaxhighlight&gt;<br /> mkdir /main/nftables/geoip<br /> cd /main/nftables/geoip<br /> wget https://github.com/pvxe/nftables-geoip/archive/refs/heads/master.zip<br /> unzip master.zip<br /> rm master.zip<br /> &lt;/syntaxhighlight&gt;执行脚本&lt;syntaxhighlight&gt;mv nftables-geoip-master/* ./<br /> chmod u+x nft_geoip.py<br /> ./nft_geoip.py --file-location location.csv --download<br /> ./nft_geoip.py --download -c cn&lt;/syntaxhighlight&gt;<br /> <br /> === 3. 配置nftables ===<br /> 在合适位置的添加或与其它的table进行合并, 这里比如只有访问tcp 46端口的国内IP, 才能放行&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> table inet geoip_filter {<br /> <br /> include &quot;/main/nftables/geoip/geoip-def-all.nft&quot;;<br /> include &quot;/main/nftables/geoip/geoip-ipv4-interesting.nft&quot;;<br /> include &quot;/main/nftables/geoip/geoip-ipv6-interesting.nft&quot;;<br /> <br /> chain geoip_mark_input {<br /> type filter hook prerouting priority -10;<br /> policy accept;<br /> <br /> <br /> meta mark set ip saddr map @geoip4;<br /> meta mark set ip6 saddr map @geoip6;<br /> }<br /> <br /> chain input {<br /> type filter hook input priority 0;<br /> policy drop;<br /> <br /> # 放行本地/已建立/相关的连接<br /> iif lo accept;<br /> ct state established,related accept;<br /> <br /> tcp dport { 46 } meta mark $CN ct state new accept;<br /> }<br /> }<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 4. 完成配置 ===<br /> 保存后并重启&lt;syntaxhighlight&gt;<br /> systemctl restart nftables.service<br /> &lt;/syntaxhighlight&gt;</div>

Koud Wind https://md5.pw/index.php?title=%E4%BD%BF%E7%94%A8nftables%E5%B1%8F%E8%94%BD%E5%9B%BD%E5%A4%96%E6%B5%81%E9%87%8F&diff=1459 2026-02-19T14:42:24Z

<p>Koud Wind：​创建页面，内容为“---- === 1. 准备 === 确保 nftables 与 python3 已经安装&lt;syntaxhighlight&gt; nft --version python3 --version &lt;/syntaxhighlight&gt;若没有安装, 以Debian13为例&lt;syntaxhighlight&gt;apt update apt install nftables python3 unzip systemctl enable nftables&lt;/syntaxhighlight&gt;拷贝原有的nftables配置, 到一个好找的目录里, 以 &lt;code&gt;/main/nftables&lt;/code&gt; 为例, 再对原路径进行链接&lt;syntaxhighlight&gt;cp /etc/nftables.conf /main/nftables/ ln -f /main…”</p> <hr /> <div>----<br /> <br /> === 1. 准备 ===<br /> 确保 nftables 与 python3 已经安装&lt;syntaxhighlight&gt;<br /> nft --version<br /> python3 --version<br /> &lt;/syntaxhighlight&gt;若没有安装, 以Debian13为例&lt;syntaxhighlight&gt;apt update<br /> apt install nftables python3 unzip<br /> systemctl enable nftables&lt;/syntaxhighlight&gt;拷贝原有的nftables配置, 到一个好找的目录里, 以 &lt;code&gt;/main/nftables&lt;/code&gt; 为例, 再对原路径进行链接&lt;syntaxhighlight&gt;cp /etc/nftables.conf /main/nftables/<br /> ln -f /main/nftables/nftables.conf /etc/nftables.conf&lt;/syntaxhighlight&gt;并准备好编辑 &lt;code&gt;/main/nftables/nftables.conf&lt;/code&gt;<br /> <br /> === 2. 获取国内IP段 ===<br /> 先获取并解压项目文件&lt;syntaxhighlight&gt;<br /> mkdir /main/nftables/geoip<br /> cd /main/nftables/geoip<br /> wget https://github.com/pvxe/nftables-geoip/archive/refs/heads/master.zip<br /> unzip master.zip<br /> rm master.zip<br /> &lt;/syntaxhighlight&gt;执行脚本&lt;syntaxhighlight&gt;<br /> chmod u+x nft_geoip.py<br /> ./nft_geoip.py --file-location location.csv --download<br /> ./nft_geoip.py --download -c cn<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 3. 配置nftables ===<br /> 在合适位置的添加或与其它的table进行合并, 这里比如只有访问tcp 46端口的国内IP, 才能放行&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> table inet geoip_filter {<br /> <br /> include &quot;/main/nftables/geoip/geoip-def-all.nft&quot;;<br /> include &quot;/main/nftables/geoip/geoip-ipv4-interesting.nft&quot;;<br /> include &quot;/main/nftables/geoip/geoip-ipv6-interesting.nft&quot;;<br /> <br /> chain geoip_mark_input {<br /> type filter hook prerouting priority -10;<br /> policy accept;<br /> <br /> <br /> meta mark set ip saddr map @geoip4;<br /> meta mark set ip6 saddr map @geoip6;<br /> }<br /> <br /> chain input {<br /> type filter hook input priority 0;<br /> policy drop;<br /> <br /> # 放行本地/已建立/相关的连接<br /> iif lo accept;<br /> ct state established,related accept;<br /> <br /> tcp dport { 46 } meta mark $CN ct state new accept;<br /> }<br /> }<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 4. 完成配置 ===<br /> 保存后并重启&lt;syntaxhighlight&gt;<br /> systemctl restart nftables.service<br /> &lt;/syntaxhighlight&gt;</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E6%90%AD%E5%BB%BAIKEV2_VPN&diff=1458 2026-02-19T11:01:09Z

<p>Koud Wind：​</p> <hr /> <div>'''注意''': IKEV2协议可能会被GFW污染IKEV2数据包一个月, 临时使用为优, 请勿长时间使用, 如果主机在国内可以忽略<br /> <br /> 适合不能配置HTTP代理且不能安装其他代理客户端的设备<br /> ----<br /> <br /> === 1. 准备 ===<br /> 以 Debian13 为例&lt;syntaxhighlight&gt;apt update<br /> apt install nftables strongswan libstrongswan-extra-plugins libcharon-extra-plugins libcharon-extauth-plugins<br /> systemctl enable strongswan-starter<br /> mkdir -p /main/ikev2/cert<br /> cd /main/ikev2&lt;/syntaxhighlight&gt;&lt;code&gt;sysctl&lt;/code&gt; 中需要配置IP转发, 新建一个&lt;code&gt;forward.conf&lt;/code&gt;并进行编辑&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> net.ipv4.ip_forward = 1<br /> net.ipv6.conf.all.forwarding = 1<br /> &lt;/syntaxhighlight&gt;保存好后链接过去, 并让其生效&lt;syntaxhighlight&gt;<br /> ln -f /main/ikev2/forward.conf /etc/sysctl.d/<br /> sysctl --system<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 2. 配置证书 ===<br /> 这里我们使用自签证书, 先切换目录&lt;syntaxhighlight&gt;<br /> cd /main/ikev2/cert<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;server.cert.conf&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [req]<br /> default_bits = 4096<br /> default_md = sha256<br /> distinguished_name = req_distinguished_name<br /> req_extensions = req_ext<br /> x509_extensions = v3_ca<br /> prompt = no<br /> <br /> [req_distinguished_name]<br /> O = ikev2<br /> CN = ikev2 cert<br /> <br /> [req_ext]<br /> subjectAltName = @alt_names<br /> <br /> [v3_ca]<br /> subjectAltName = @alt_names<br /> basicConstraints = CA:FALSE<br /> keyUsage = digitalSignature, keyEncipherment<br /> extendedKeyUsage = serverAuth, clientAuth<br /> <br /> [alt_names]<br /> DNS.1 = 你的域名<br /> DNS.2 = 你的第二个域名<br /> &lt;/syntaxhighlight&gt;需要设置好域名并进行保存 执行以下命令&lt;syntaxhighlight&gt;openssl genrsa -out ca.key.pem 4096<br /> openssl req -new -x509 -nodes -days 5475 -sha256 -key ca.key.pem -out ca.cert.pem -subj &quot;/O=ikev2/CN=ikev2 ca&quot;<br /> <br /> openssl genrsa -out server.key.pem 4096<br /> openssl req -new -key server.key.pem -out server.csr.pem -config server.cert.conf<br /> openssl x509 -req -CA ca.cert.pem -CAkey ca.key.pem -CAcreateserial -in server.csr.pem -out server.cert.pem -days 5475 -sha256 -extfile server.cert.conf -extensions v3_ca&lt;/syntaxhighlight&gt;查看证书信息&lt;syntaxhighlight&gt;openssl x509 -in ca.cert.pem -text -noout&lt;/syntaxhighlight&gt;将证书链接到配置目录中&lt;syntaxhighlight&gt;<br /> mkdir -p /etc/ipsec.d/{private,certs}<br /> ln -f /main/ikev2/cert/server.key.pem /etc/ipsec.d/private/<br /> ln -f /main/ikev2/cert/server.cert.pem /etc/ipsec.d/certs/<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 3. 配置nftables ===<br /> 主要是为了根据 IKEV2 服务端分配给客户端的IP, 将数据包转发到指定网卡<br /> <br /> 如果你之前配置过nftables, 不是编辑配置文件, 那就从之前的配置中取, 并进行链接, 准备编辑&lt;syntaxhighlight&gt;<br /> mkdir /main/nftables<br /> cp /etc/nftables.conf /main/nftables/<br /> ln -f /main/nftables/nftables.conf /etc/<br /> &lt;/syntaxhighlight&gt;如果你没有配置过, 那就在&lt;code&gt;/main/nftables/&lt;/code&gt;中创建一个&lt;code&gt;nftables.conf&lt;/code&gt;配置文件并链接过去, 准备编辑&lt;syntaxhighlight&gt;ln -f /main/nftables/nftables.conf /etc/&lt;/syntaxhighlight&gt;如果你之前配置过nftables, 且编辑了配置文件, 就直接修改那个配置文件, 准备编辑<br /> <br /> 现在开始编辑&lt;code&gt;nftables.conf&lt;/code&gt;, 加入以下配置&lt;syntaxhighlight&gt;<br /> table inet ikev2_nat {<br /> chain postrouting {<br /> type nat hook postrouting priority 10;<br /> policy accept;<br /> <br /> # 自行修改网卡或IP<br /> ip saddr 10.10.0.0/16 oif &quot;eth0&quot; masquerade;<br /> ip6 saddr fd00:ce20::/16 oif &quot;eth0&quot; masquerade;<br /> }<br /> }<br /> &lt;/syntaxhighlight&gt;保存好后并生效&lt;syntaxhighlight&gt;<br /> systemctl enable nftables.service<br /> systemctl restart nftables.service<br /> &lt;/syntaxhighlight&gt;如果你有其他防火墙规则, 记得放行 UDP&lt;code&gt;500&lt;/code&gt;与&lt;code&gt;4500&lt;/code&gt;<br /> <br /> === 4. 配置IKEV2 ===<br /> 在&lt;code&gt;/main/ikev2&lt;/code&gt;中分别创建文件: &lt;code&gt;ipsec.conf&lt;/code&gt;, &lt;code&gt;ipsec.secrets&lt;/code&gt;<br /> <br /> conf是核心配置, secrets是用户配置, 需要自行修改<br /> <br /> &lt;code&gt;ipsec.conf&lt;/code&gt;的配置: &lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> config setup<br /> charondebug=&quot;ike 2, knl 2, net 2, esp 2, dmn 2, mgr 2&quot;<br /> uniqueids=no<br /> <br /> conn ikev2-eap-mschapv2<br /> keyexchange=ikev2<br /> ike=aes256-sha1-sha256-sha384-modp2048,aes128gcm16-aes256gcm16-sha1-sha256-sha384-modp1024!<br /> esp=aes256-3des-sha1<br /> <br /> auto=add<br /> compress=no<br /> dpdaction=clear<br /> fragmentation=yes<br /> forceencaps=yes<br /> <br /> dpddelay=30s<br /> ikelifetime=10h<br /> lifetime=30m<br /> <br /> left=%defaultroute<br /> leftauth=pubkey<br /> leftid=你的域名<br /> leftcert=server.cert.pem<br /> leftsendcert=always<br /> leftsubnet=0.0.0.0/0,::/0<br /> leftfirewall=yes<br /> <br /> right=%any<br /> rightid=%any<br /> rightauth=eap-mschapv2<br /> rightsourceip=10.10.0.0/16,fd00:ce20::/16<br /> rightdns=1.1.1.1,8.8.8.8<br /> rightsendcert=never<br /> eap_identity=%identity<br /> &lt;/syntaxhighlight&gt;&lt;code&gt;ipsec.secrets&lt;/code&gt;的配置: &lt;syntaxhighlight&gt;<br /> : RSA &quot;server.key.pem&quot;<br /> User1 : EAP &quot;123456789&quot;<br /> User2 : EAP &quot;这是用户密码, 换行前面要注意不能有空格&quot;<br /> &lt;/syntaxhighlight&gt;自行修改好后, 重启服务并生效&lt;syntaxhighlight&gt;<br /> systemctl restart strongswan-starter.service<br /> systemctl status strongswan-starter.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 5. 安装证书 ===<br /> 任何系统想用就必须装上'''CA证书''', 也就是上面配置证书的&lt;code&gt;ca.cert.pem&lt;/code&gt;<br /> <br /> '''Windows安装证书:'''<br /> <br /> &lt;code&gt;ca.cert.pem&lt;/code&gt;改为&lt;code&gt;.der&lt;/code&gt;后缀, 双击安装, 到本地计算机, 将证书放入下列存储 (受信任的根证书颁发机构)<br /> <br /> '''安卓安装证书:'''<br /> <br /> 以'''iqoo'''为例, 进入手机设置 -&gt; 安全 -&gt; 更多安全设置 -&gt; 从手机存储安装 -&gt; CA证书, 文件选择&lt;code&gt;ca.cert.pem&lt;/code&gt;<br /> <br /> 其他手机可以搜索 &lt;code&gt;CA/证书/凭证&lt;/code&gt;<br /> <br /> '''IOS安装证书:'''<br /> <br /> 下载证书后, 进入设置直接安装<br /> <br /> === 6. 设备使用 ===<br /> 添加 IKEV2 基本都是在任何系统里的设置中, 进入设置后找到VPN选项, 并添加<br /> <br /> 类型选择IKEV2, 名称随便起, 地址则是你的域名, 有些可能需要设置&lt;code&gt;IPSec标识符&lt;/code&gt;或者&lt;code&gt;远程ID&lt;/code&gt;, 这些也填写成你的域名, 再输入设置好的用户名与密码, 就可以连接了<br /> <br /> Windows可能无法保存密码信息, 要求密码信息时不能取消, 否则资源管理器会卡死<br /> <br /> '''Windows设置:'''<br /> <br /> [[File:如何搭建IKEV2 VPN-1.png|frameless|631x631px]]<br /> <br /> '''安卓设置:'''<br /> <br /> [[File:如何搭建IKEV2 VPN-2.jpg|frameless|498x498px]]</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E6%90%AD%E5%BB%BAIKEV2_VPN&diff=1457 2026-02-19T11:00:30Z

<p>Koud Wind：​</p> <hr /> <div>'''注意''': IKEV2协议可能会被GFW污染IKEV2数据包一个月, 临时使用为优, 请勿长时间使用<br /> <br /> 适合不能配置HTTP代理且不能安装其他代理客户端的设备<br /> ----<br /> <br /> === 1. 准备 ===<br /> 以 Debian13 为例&lt;syntaxhighlight&gt;apt update<br /> apt install nftables strongswan libstrongswan-extra-plugins libcharon-extra-plugins libcharon-extauth-plugins<br /> systemctl enable strongswan-starter<br /> mkdir -p /main/ikev2/cert<br /> cd /main/ikev2&lt;/syntaxhighlight&gt;&lt;code&gt;sysctl&lt;/code&gt; 中需要配置IP转发, 新建一个&lt;code&gt;forward.conf&lt;/code&gt;并进行编辑&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> net.ipv4.ip_forward = 1<br /> net.ipv6.conf.all.forwarding = 1<br /> &lt;/syntaxhighlight&gt;保存好后链接过去, 并让其生效&lt;syntaxhighlight&gt;<br /> ln -f /main/ikev2/forward.conf /etc/sysctl.d/<br /> sysctl --system<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 2. 配置证书 ===<br /> 这里我们使用自签证书, 先切换目录&lt;syntaxhighlight&gt;<br /> cd /main/ikev2/cert<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;server.cert.conf&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [req]<br /> default_bits = 4096<br /> default_md = sha256<br /> distinguished_name = req_distinguished_name<br /> req_extensions = req_ext<br /> x509_extensions = v3_ca<br /> prompt = no<br /> <br /> [req_distinguished_name]<br /> O = ikev2<br /> CN = ikev2 cert<br /> <br /> [req_ext]<br /> subjectAltName = @alt_names<br /> <br /> [v3_ca]<br /> subjectAltName = @alt_names<br /> basicConstraints = CA:FALSE<br /> keyUsage = digitalSignature, keyEncipherment<br /> extendedKeyUsage = serverAuth, clientAuth<br /> <br /> [alt_names]<br /> DNS.1 = 你的域名<br /> DNS.2 = 你的第二个域名<br /> &lt;/syntaxhighlight&gt;需要设置好域名并进行保存 执行以下命令&lt;syntaxhighlight&gt;openssl genrsa -out ca.key.pem 4096<br /> openssl req -new -x509 -nodes -days 5475 -sha256 -key ca.key.pem -out ca.cert.pem -subj &quot;/O=ikev2/CN=ikev2 ca&quot;<br /> <br /> openssl genrsa -out server.key.pem 4096<br /> openssl req -new -key server.key.pem -out server.csr.pem -config server.cert.conf<br /> openssl x509 -req -CA ca.cert.pem -CAkey ca.key.pem -CAcreateserial -in server.csr.pem -out server.cert.pem -days 5475 -sha256 -extfile server.cert.conf -extensions v3_ca&lt;/syntaxhighlight&gt;查看证书信息&lt;syntaxhighlight&gt;openssl x509 -in ca.cert.pem -text -noout&lt;/syntaxhighlight&gt;将证书链接到配置目录中&lt;syntaxhighlight&gt;<br /> mkdir -p /etc/ipsec.d/{private,certs}<br /> ln -f /main/ikev2/cert/server.key.pem /etc/ipsec.d/private/<br /> ln -f /main/ikev2/cert/server.cert.pem /etc/ipsec.d/certs/<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 3. 配置nftables ===<br /> 主要是为了根据 IKEV2 服务端分配给客户端的IP, 将数据包转发到指定网卡<br /> <br /> 如果你之前配置过nftables, 不是编辑配置文件, 那就从之前的配置中取, 并进行链接, 准备编辑&lt;syntaxhighlight&gt;<br /> mkdir /main/nftables<br /> cp /etc/nftables.conf /main/nftables/<br /> ln -f /main/nftables/nftables.conf /etc/<br /> &lt;/syntaxhighlight&gt;如果你没有配置过, 那就在&lt;code&gt;/main/nftables/&lt;/code&gt;中创建一个&lt;code&gt;nftables.conf&lt;/code&gt;配置文件并链接过去, 准备编辑&lt;syntaxhighlight&gt;ln -f /main/nftables/nftables.conf /etc/&lt;/syntaxhighlight&gt;如果你之前配置过nftables, 且编辑了配置文件, 就直接修改那个配置文件, 准备编辑<br /> <br /> 现在开始编辑&lt;code&gt;nftables.conf&lt;/code&gt;, 加入以下配置&lt;syntaxhighlight&gt;<br /> table inet ikev2_nat {<br /> chain postrouting {<br /> type nat hook postrouting priority 10;<br /> policy accept;<br /> <br /> # 自行修改网卡或IP<br /> ip saddr 10.10.0.0/16 oif &quot;eth0&quot; masquerade;<br /> ip6 saddr fd00:ce20::/16 oif &quot;eth0&quot; masquerade;<br /> }<br /> }<br /> &lt;/syntaxhighlight&gt;保存好后并生效&lt;syntaxhighlight&gt;<br /> systemctl enable nftables.service<br /> systemctl restart nftables.service<br /> &lt;/syntaxhighlight&gt;如果你有其他防火墙规则, 记得放行 UDP&lt;code&gt;500&lt;/code&gt;与&lt;code&gt;4500&lt;/code&gt;<br /> <br /> === 4. 配置IKEV2 ===<br /> 在&lt;code&gt;/main/ikev2&lt;/code&gt;中分别创建文件: &lt;code&gt;ipsec.conf&lt;/code&gt;, &lt;code&gt;ipsec.secrets&lt;/code&gt;<br /> <br /> conf是核心配置, secrets是用户配置, 需要自行修改<br /> <br /> &lt;code&gt;ipsec.conf&lt;/code&gt;的配置: &lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> config setup<br /> charondebug=&quot;ike 2, knl 2, net 2, esp 2, dmn 2, mgr 2&quot;<br /> uniqueids=no<br /> <br /> conn ikev2-eap-mschapv2<br /> keyexchange=ikev2<br /> ike=aes256-sha1-sha256-sha384-modp2048,aes128gcm16-aes256gcm16-sha1-sha256-sha384-modp1024!<br /> esp=aes256-3des-sha1<br /> <br /> auto=add<br /> compress=no<br /> dpdaction=clear<br /> fragmentation=yes<br /> forceencaps=yes<br /> <br /> dpddelay=30s<br /> ikelifetime=10h<br /> lifetime=30m<br /> <br /> left=%defaultroute<br /> leftauth=pubkey<br /> leftid=你的域名<br /> leftcert=server.cert.pem<br /> leftsendcert=always<br /> leftsubnet=0.0.0.0/0,::/0<br /> leftfirewall=yes<br /> <br /> right=%any<br /> rightid=%any<br /> rightauth=eap-mschapv2<br /> rightsourceip=10.10.0.0/16,fd00:ce20::/16<br /> rightdns=1.1.1.1,8.8.8.8<br /> rightsendcert=never<br /> eap_identity=%identity<br /> &lt;/syntaxhighlight&gt;&lt;code&gt;ipsec.secrets&lt;/code&gt;的配置: &lt;syntaxhighlight&gt;<br /> : RSA &quot;server.key.pem&quot;<br /> User1 : EAP &quot;123456789&quot;<br /> User2 : EAP &quot;这是用户密码, 换行前面要注意不能有空格&quot;<br /> &lt;/syntaxhighlight&gt;自行修改好后, 重启服务并生效&lt;syntaxhighlight&gt;<br /> systemctl restart strongswan-starter.service<br /> systemctl status strongswan-starter.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 5. 安装证书 ===<br /> 任何系统想用就必须装上'''CA证书''', 也就是上面配置证书的&lt;code&gt;ca.cert.pem&lt;/code&gt;<br /> <br /> '''Windows安装证书:'''<br /> <br /> &lt;code&gt;ca.cert.pem&lt;/code&gt;改为&lt;code&gt;.der&lt;/code&gt;后缀, 双击安装, 到本地计算机, 将证书放入下列存储 (受信任的根证书颁发机构)<br /> <br /> '''安卓安装证书:'''<br /> <br /> 以'''iqoo'''为例, 进入手机设置 -&gt; 安全 -&gt; 更多安全设置 -&gt; 从手机存储安装 -&gt; CA证书, 文件选择&lt;code&gt;ca.cert.pem&lt;/code&gt;<br /> <br /> 其他手机可以搜索 &lt;code&gt;CA/证书/凭证&lt;/code&gt;<br /> <br /> '''IOS安装证书:'''<br /> <br /> 下载证书后, 进入设置直接安装<br /> <br /> === 6. 设备使用 ===<br /> 添加 IKEV2 基本都是在任何系统里的设置中, 进入设置后找到VPN选项, 并添加<br /> <br /> 类型选择IKEV2, 名称随便起, 地址则是你的域名, 有些可能需要设置&lt;code&gt;IPSec标识符&lt;/code&gt;或者&lt;code&gt;远程ID&lt;/code&gt;, 这些也填写成你的域名, 再输入设置好的用户名与密码, 就可以连接了<br /> <br /> Windows可能无法保存密码信息, 要求密码信息时不能取消, 否则资源管理器会卡死<br /> <br /> '''Windows设置:'''<br /> <br /> [[File:如何搭建IKEV2 VPN-1.png|frameless|631x631px]]<br /> <br /> '''安卓设置:'''<br /> <br /> [[File:如何搭建IKEV2 VPN-2.jpg|frameless|498x498px]]</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E6%90%AD%E5%BB%BAIKEV2_VPN&diff=1456 2026-02-19T10:59:42Z

<p>Koud Wind：​</p> <hr /> <div>'''注意''': IKEV2协议可能会被GFW污染数据包一个月, 临时使用为优, 请勿长时间使用<br /> <br /> 适合不能配置HTTP代理且不能安装其他代理客户端的设备<br /> ----<br /> <br /> === 1. 准备 ===<br /> 以 Debian13 为例&lt;syntaxhighlight&gt;apt update<br /> apt install nftables strongswan libstrongswan-extra-plugins libcharon-extra-plugins libcharon-extauth-plugins<br /> systemctl enable strongswan-starter<br /> mkdir -p /main/ikev2/cert<br /> cd /main/ikev2&lt;/syntaxhighlight&gt;&lt;code&gt;sysctl&lt;/code&gt; 中需要配置IP转发, 新建一个&lt;code&gt;forward.conf&lt;/code&gt;并进行编辑&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> net.ipv4.ip_forward = 1<br /> net.ipv6.conf.all.forwarding = 1<br /> &lt;/syntaxhighlight&gt;保存好后链接过去, 并让其生效&lt;syntaxhighlight&gt;<br /> ln -f /main/ikev2/forward.conf /etc/sysctl.d/<br /> sysctl --system<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 2. 配置证书 ===<br /> 这里我们使用自签证书, 先切换目录&lt;syntaxhighlight&gt;<br /> cd /main/ikev2/cert<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;server.cert.conf&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [req]<br /> default_bits = 4096<br /> default_md = sha256<br /> distinguished_name = req_distinguished_name<br /> req_extensions = req_ext<br /> x509_extensions = v3_ca<br /> prompt = no<br /> <br /> [req_distinguished_name]<br /> O = ikev2<br /> CN = ikev2 cert<br /> <br /> [req_ext]<br /> subjectAltName = @alt_names<br /> <br /> [v3_ca]<br /> subjectAltName = @alt_names<br /> basicConstraints = CA:FALSE<br /> keyUsage = digitalSignature, keyEncipherment<br /> extendedKeyUsage = serverAuth, clientAuth<br /> <br /> [alt_names]<br /> DNS.1 = 你的域名<br /> DNS.2 = 你的第二个域名<br /> &lt;/syntaxhighlight&gt;需要设置好域名并进行保存 执行以下命令&lt;syntaxhighlight&gt;openssl genrsa -out ca.key.pem 4096<br /> openssl req -new -x509 -nodes -days 5475 -sha256 -key ca.key.pem -out ca.cert.pem -subj &quot;/O=ikev2/CN=ikev2 ca&quot;<br /> <br /> openssl genrsa -out server.key.pem 4096<br /> openssl req -new -key server.key.pem -out server.csr.pem -config server.cert.conf<br /> openssl x509 -req -CA ca.cert.pem -CAkey ca.key.pem -CAcreateserial -in server.csr.pem -out server.cert.pem -days 5475 -sha256 -extfile server.cert.conf -extensions v3_ca&lt;/syntaxhighlight&gt;查看证书信息&lt;syntaxhighlight&gt;openssl x509 -in ca.cert.pem -text -noout&lt;/syntaxhighlight&gt;将证书链接到配置目录中&lt;syntaxhighlight&gt;<br /> mkdir -p /etc/ipsec.d/{private,certs}<br /> ln -f /main/ikev2/cert/server.key.pem /etc/ipsec.d/private/<br /> ln -f /main/ikev2/cert/server.cert.pem /etc/ipsec.d/certs/<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 3. 配置nftables ===<br /> 主要是为了根据 IKEV2 服务端分配给客户端的IP, 将数据包转发到指定网卡<br /> <br /> 如果你之前配置过nftables, 不是编辑配置文件, 那就从之前的配置中取, 并进行链接, 准备编辑&lt;syntaxhighlight&gt;<br /> mkdir /main/nftables<br /> cp /etc/nftables.conf /main/nftables/<br /> ln -f /main/nftables/nftables.conf /etc/<br /> &lt;/syntaxhighlight&gt;如果你没有配置过, 那就在&lt;code&gt;/main/nftables/&lt;/code&gt;中创建一个&lt;code&gt;nftables.conf&lt;/code&gt;配置文件并链接过去, 准备编辑&lt;syntaxhighlight&gt;ln -f /main/nftables/nftables.conf /etc/&lt;/syntaxhighlight&gt;如果你之前配置过nftables, 且编辑了配置文件, 就直接修改那个配置文件, 准备编辑<br /> <br /> 现在开始编辑&lt;code&gt;nftables.conf&lt;/code&gt;, 加入以下配置&lt;syntaxhighlight&gt;<br /> table inet ikev2_nat {<br /> chain postrouting {<br /> type nat hook postrouting priority 10;<br /> policy accept;<br /> <br /> # 自行修改网卡或IP<br /> ip saddr 10.10.0.0/16 oif &quot;eth0&quot; masquerade;<br /> ip6 saddr fd00:ce20::/16 oif &quot;eth0&quot; masquerade;<br /> }<br /> }<br /> &lt;/syntaxhighlight&gt;保存好后并生效&lt;syntaxhighlight&gt;<br /> systemctl enable nftables.service<br /> systemctl restart nftables.service<br /> &lt;/syntaxhighlight&gt;如果你有其他防火墙规则, 记得放行 UDP&lt;code&gt;500&lt;/code&gt;与&lt;code&gt;4500&lt;/code&gt;<br /> <br /> === 4. 配置IKEV2 ===<br /> 在&lt;code&gt;/main/ikev2&lt;/code&gt;中分别创建文件: &lt;code&gt;ipsec.conf&lt;/code&gt;, &lt;code&gt;ipsec.secrets&lt;/code&gt;<br /> <br /> conf是核心配置, secrets是用户配置, 需要自行修改<br /> <br /> &lt;code&gt;ipsec.conf&lt;/code&gt;的配置: &lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> config setup<br /> charondebug=&quot;ike 2, knl 2, net 2, esp 2, dmn 2, mgr 2&quot;<br /> uniqueids=no<br /> <br /> conn ikev2-eap-mschapv2<br /> keyexchange=ikev2<br /> ike=aes256-sha1-sha256-sha384-modp2048,aes128gcm16-aes256gcm16-sha1-sha256-sha384-modp1024!<br /> esp=aes256-3des-sha1<br /> <br /> auto=add<br /> compress=no<br /> dpdaction=clear<br /> fragmentation=yes<br /> forceencaps=yes<br /> <br /> dpddelay=30s<br /> ikelifetime=10h<br /> lifetime=30m<br /> <br /> left=%defaultroute<br /> leftauth=pubkey<br /> leftid=你的域名<br /> leftcert=server.cert.pem<br /> leftsendcert=always<br /> leftsubnet=0.0.0.0/0,::/0<br /> leftfirewall=yes<br /> <br /> right=%any<br /> rightid=%any<br /> rightauth=eap-mschapv2<br /> rightsourceip=10.10.0.0/16,fd00:ce20::/16<br /> rightdns=1.1.1.1,8.8.8.8<br /> rightsendcert=never<br /> eap_identity=%identity<br /> &lt;/syntaxhighlight&gt;&lt;code&gt;ipsec.secrets&lt;/code&gt;的配置: &lt;syntaxhighlight&gt;<br /> : RSA &quot;server.key.pem&quot;<br /> User1 : EAP &quot;123456789&quot;<br /> User2 : EAP &quot;这是用户密码, 换行前面要注意不能有空格&quot;<br /> &lt;/syntaxhighlight&gt;自行修改好后, 重启服务并生效&lt;syntaxhighlight&gt;<br /> systemctl restart strongswan-starter.service<br /> systemctl status strongswan-starter.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 5. 安装证书 ===<br /> 任何系统想用就必须装上'''CA证书''', 也就是上面配置证书的&lt;code&gt;ca.cert.pem&lt;/code&gt;<br /> <br /> '''Windows安装证书:'''<br /> <br /> &lt;code&gt;ca.cert.pem&lt;/code&gt;改为&lt;code&gt;.der&lt;/code&gt;后缀, 双击安装, 到本地计算机, 将证书放入下列存储 (受信任的根证书颁发机构)<br /> <br /> '''安卓安装证书:'''<br /> <br /> 以'''iqoo'''为例, 进入手机设置 -&gt; 安全 -&gt; 更多安全设置 -&gt; 从手机存储安装 -&gt; CA证书, 文件选择&lt;code&gt;ca.cert.pem&lt;/code&gt;<br /> <br /> 其他手机可以搜索 &lt;code&gt;CA/证书/凭证&lt;/code&gt;<br /> <br /> '''IOS安装证书:'''<br /> <br /> 下载证书后, 进入设置直接安装<br /> <br /> === 6. 设备使用 ===<br /> 添加 IKEV2 基本都是在任何系统里的设置中, 进入设置后找到VPN选项, 并添加<br /> <br /> 类型选择IKEV2, 名称随便起, 地址则是你的域名, 有些可能需要设置&lt;code&gt;IPSec标识符&lt;/code&gt;或者&lt;code&gt;远程ID&lt;/code&gt;, 这些也填写成你的域名, 再输入设置好的用户名与密码, 就可以连接了<br /> <br /> Windows可能无法保存密码信息, 要求密码信息时不能取消, 否则资源管理器会卡死<br /> <br /> '''Windows设置:'''<br /> <br /> [[File:如何搭建IKEV2 VPN-1.png|frameless|631x631px]]<br /> <br /> '''安卓设置:'''<br /> <br /> [[File:如何搭建IKEV2 VPN-2.jpg|frameless|498x498px]]</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E6%90%AD%E5%BB%BAIKEV2_VPN&diff=1455 2026-02-19T10:57:49Z

<p>Koud Wind：​</p> <hr /> <div>'''注意''': IKEV2协议可能会被GFW污染数据包一个月, 临时使用为优, 请勿长时间使用<br /> <br /> 适合不能配置HTTP代理且不能安装其他代理客户端的设备<br /> ----<br /> <br /> === 1. 准备 ===<br /> 以 Debian13 为例&lt;syntaxhighlight&gt;apt update<br /> apt install nftables strongswan libstrongswan-extra-plugins libcharon-extra-plugins libcharon-extauth-plugins<br /> systemctl enable strongswan-starter<br /> mkdir -p /main/ikev2/cert<br /> cd /main/ikev2&lt;/syntaxhighlight&gt;&lt;code&gt;sysctl&lt;/code&gt; 中需要配置IP转发, 新建一个&lt;code&gt;forward.conf&lt;/code&gt;并进行编辑&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> net.ipv4.ip_forward = 1<br /> net.ipv6.conf.all.forwarding = 1<br /> &lt;/syntaxhighlight&gt;保存好后链接过去, 并让其生效&lt;syntaxhighlight&gt;<br /> ln -f /main/ikev2/forward.conf /etc/sysctl.d/<br /> sysctl --system<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 2. 配置证书 ===<br /> 这里我们使用自签证书, 先切换目录&lt;syntaxhighlight&gt;<br /> cd /main/ikev2/cert<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;server.cert.conf&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [req]<br /> default_bits = 4096<br /> default_md = sha256<br /> distinguished_name = req_distinguished_name<br /> req_extensions = req_ext<br /> x509_extensions = v3_ca<br /> prompt = no<br /> <br /> [req_distinguished_name]<br /> O = ikev2<br /> CN = ikev2 cert<br /> <br /> [req_ext]<br /> subjectAltName = @alt_names<br /> <br /> [v3_ca]<br /> subjectAltName = @alt_names<br /> basicConstraints = CA:FALSE<br /> keyUsage = digitalSignature, keyEncipherment<br /> extendedKeyUsage = serverAuth, clientAuth<br /> <br /> [alt_names]<br /> DNS.1 = 你的域名<br /> DNS.2 = 你的第二个域名<br /> &lt;/syntaxhighlight&gt;需要设置好域名并进行保存 执行以下命令&lt;syntaxhighlight&gt;openssl genrsa -out ca.key.pem 4096<br /> openssl req -new -x509 -nodes -days 5475 -sha256 -key ca.key.pem -out ca.cert.pem -subj &quot;/O=ikev2/CN=ikev2 ca&quot;<br /> <br /> openssl genrsa -out server.key.pem 4096<br /> openssl req -new -key server.key.pem -out server.csr.pem -config server.cert.conf<br /> openssl x509 -req -CA ca.cert.pem -CAkey ca.key.pem -CAcreateserial -in server.csr.pem -out server.cert.pem -days 5475 -sha256 -extfile server.cert.conf -extensions v3_ca&lt;/syntaxhighlight&gt;查看证书信息&lt;syntaxhighlight&gt;openssl x509 -in ca.cert.pem -text -noout&lt;/syntaxhighlight&gt;将证书链接到配置目录中&lt;syntaxhighlight&gt;<br /> mkdir -p /etc/ipsec.d/{private,certs}<br /> ln -f /main/ikev2/cert/server.key.pem /etc/ipsec.d/private/<br /> ln -f /main/ikev2/cert/server.cert.pem /etc/ipsec.d/certs/<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 3. 配置nftables ===<br /> 主要是为了根据 IKEV2 服务端分配给客户端的IP, 将数据包转发到指定网卡<br /> <br /> 如果你之前配置过nftables, 不是编辑配置文件, 那就从之前的配置中取, 并进行链接, 准备编辑&lt;syntaxhighlight&gt;<br /> mkdir /main/nftables<br /> cp /etc/nftables.conf /main/nftables/<br /> ln -f /main/nftables/nftables.conf /etc/<br /> &lt;/syntaxhighlight&gt;如果你没有配置过, 那就在&lt;code&gt;/main/nftables/&lt;/code&gt;中创建一个&lt;code&gt;nftables.conf&lt;/code&gt;配置文件并链接过去, 准备编辑&lt;syntaxhighlight&gt;ln -f /main/nftables/nftables.conf /etc/&lt;/syntaxhighlight&gt;如果你之前配置过nftables, 且编辑了配置文件, 就直接修改那个配置文件, 准备编辑<br /> <br /> 现在开始编辑&lt;code&gt;nftables.conf&lt;/code&gt;, 加入以下配置&lt;syntaxhighlight&gt;<br /> table inet ikev2_nat {<br /> chain postrouting {<br /> type nat hook postrouting priority 10;<br /> policy accept;<br /> <br /> # 自行修改网卡或IP<br /> ip saddr 10.10.0.0/16 oif &quot;eth0&quot; masquerade;<br /> ip6 saddr fd00:ce20::/16 oif &quot;eth0&quot; masquerade;<br /> }<br /> }<br /> &lt;/syntaxhighlight&gt;保存好后并生效&lt;syntaxhighlight&gt;<br /> systemctl enable nftables.service<br /> systemctl restart nftables.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 4. 配置IKEV2 ===<br /> 在&lt;code&gt;/main/ikev2&lt;/code&gt;中分别创建文件: &lt;code&gt;ipsec.conf&lt;/code&gt;, &lt;code&gt;ipsec.secrets&lt;/code&gt;<br /> <br /> conf是核心配置, secrets是用户配置, 需要自行修改<br /> <br /> &lt;code&gt;ipsec.conf&lt;/code&gt;的配置: &lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> config setup<br /> charondebug=&quot;ike 2, knl 2, net 2, esp 2, dmn 2, mgr 2&quot;<br /> uniqueids=no<br /> <br /> conn ikev2-eap-mschapv2<br /> keyexchange=ikev2<br /> ike=aes256-sha1-sha256-sha384-modp2048,aes128gcm16-aes256gcm16-sha1-sha256-sha384-modp1024!<br /> esp=aes256-3des-sha1<br /> <br /> auto=add<br /> compress=no<br /> dpdaction=clear<br /> fragmentation=yes<br /> forceencaps=yes<br /> <br /> dpddelay=30s<br /> ikelifetime=10h<br /> lifetime=30m<br /> <br /> left=%defaultroute<br /> leftauth=pubkey<br /> leftid=你的域名<br /> leftcert=server.cert.pem<br /> leftsendcert=always<br /> leftsubnet=0.0.0.0/0,::/0<br /> leftfirewall=yes<br /> <br /> right=%any<br /> rightid=%any<br /> rightauth=eap-mschapv2<br /> rightsourceip=10.10.0.0/16,fd00:ce20::/16<br /> rightdns=1.1.1.1,8.8.8.8<br /> rightsendcert=never<br /> eap_identity=%identity<br /> &lt;/syntaxhighlight&gt;&lt;code&gt;ipsec.secrets&lt;/code&gt;的配置: &lt;syntaxhighlight&gt;<br /> : RSA &quot;server.key.pem&quot;<br /> User1 : EAP &quot;123456789&quot;<br /> User2 : EAP &quot;这是用户密码, 换行前面要注意不能有空格&quot;<br /> &lt;/syntaxhighlight&gt;自行修改好后, 重启服务并生效&lt;syntaxhighlight&gt;<br /> systemctl restart strongswan-starter.service<br /> systemctl status strongswan-starter.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 5. 安装证书 ===<br /> 任何系统想用就必须装上'''CA证书''', 也就是上面配置证书的&lt;code&gt;ca.cert.pem&lt;/code&gt;<br /> <br /> '''Windows安装证书:'''<br /> <br /> &lt;code&gt;ca.cert.pem&lt;/code&gt;改为&lt;code&gt;.der&lt;/code&gt;后缀, 双击安装, 到本地计算机, 将证书放入下列存储 (受信任的根证书颁发机构)<br /> <br /> '''安卓安装证书:'''<br /> <br /> 以'''iqoo'''为例, 进入手机设置 -&gt; 安全 -&gt; 更多安全设置 -&gt; 从手机存储安装 -&gt; CA证书, 文件选择&lt;code&gt;ca.cert.pem&lt;/code&gt;<br /> <br /> 其他手机可以搜索 &lt;code&gt;CA/证书/凭证&lt;/code&gt;<br /> <br /> '''IOS安装证书:'''<br /> <br /> 下载证书后, 进入设置直接安装<br /> <br /> === 6. 设备使用 ===<br /> 添加 IKEV2 基本都是在任何系统里的设置中, 进入设置后找到VPN选项, 并添加<br /> <br /> 类型选择IKEV2, 名称随便起, 地址则是你的域名, 有些可能需要设置&lt;code&gt;IPSec标识符&lt;/code&gt;或者&lt;code&gt;远程ID&lt;/code&gt;, 这些也填写成你的域名, 再输入设置好的用户名与密码, 就可以连接了<br /> <br /> Windows可能无法保存密码信息, 要求密码信息时不能取消, 否则资源管理器会卡死<br /> <br /> '''Windows设置:'''<br /> <br /> [[File:如何搭建IKEV2 VPN-1.png|frameless|631x631px]]<br /> <br /> '''安卓设置:'''<br /> <br /> [[File:如何搭建IKEV2 VPN-2.jpg|frameless|498x498px]]</div>

Koud Wind https://md5.pw/index.php?title=File:%E5%A6%82%E4%BD%95%E6%90%AD%E5%BB%BAIKEV2_VPN-2.jpg&diff=1454 2026-02-19T10:57:19Z

<p>Koud Wind：​</p> <hr /> <div>1</div>

Koud Wind https://md5.pw/index.php?title=File:%E5%A6%82%E4%BD%95%E6%90%AD%E5%BB%BAIKEV2_VPN-1.png&diff=1453 2026-02-19T10:55:13Z

<p>Koud Wind：​</p> <hr /> <div>1</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E6%90%AD%E5%BB%BAIKEV2_VPN&diff=1452 2026-02-19T10:50:23Z

<p>Koud Wind：​创建页面，内容为“&#039;&#039;&#039;注意&#039;&#039;&#039;: IKEV2协议可能会被GFW污染数据包一个月, 临时使用为优, 请勿长时间使用 适合不能配置HTTP代理且不能安装其他代理客户端的设备 ---- === 1. 准备 === 以 Debian13 为例&lt;syntaxhighlight&gt;apt update apt install nftables strongswan libstrongswan-extra-plugins libcharon-extra-plugins libcharon-extauth-plugins systemctl enable strongswan-starter mkdir -p /main/ikev2/cert cd /main/ikev2&lt;/syntaxhighlight&gt;&lt;code&gt;s…”</p> <hr /> <div>'''注意''': IKEV2协议可能会被GFW污染数据包一个月, 临时使用为优, 请勿长时间使用<br /> <br /> 适合不能配置HTTP代理且不能安装其他代理客户端的设备<br /> ----<br /> <br /> === 1. 准备 ===<br /> 以 Debian13 为例&lt;syntaxhighlight&gt;apt update<br /> apt install nftables strongswan libstrongswan-extra-plugins libcharon-extra-plugins libcharon-extauth-plugins<br /> systemctl enable strongswan-starter<br /> mkdir -p /main/ikev2/cert<br /> cd /main/ikev2&lt;/syntaxhighlight&gt;&lt;code&gt;sysctl&lt;/code&gt; 中需要配置IP转发, 新建一个&lt;code&gt;forward.conf&lt;/code&gt;并进行编辑&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> net.ipv4.ip_forward = 1<br /> net.ipv6.conf.all.forwarding = 1<br /> &lt;/syntaxhighlight&gt;保存好后链接过去, 并让其生效&lt;syntaxhighlight&gt;<br /> ln -f /main/ikev2/forward.conf /etc/sysctl.d/<br /> sysctl --system<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 2. 配置证书 ===<br /> 这里我们使用自签证书, 先切换目录&lt;syntaxhighlight&gt;<br /> cd /main/ikev2/cert<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;server.cert.conf&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [req]<br /> default_bits = 4096<br /> default_md = sha256<br /> distinguished_name = req_distinguished_name<br /> req_extensions = req_ext<br /> x509_extensions = v3_ca<br /> prompt = no<br /> <br /> [req_distinguished_name]<br /> O = ikev2<br /> CN = ikev2 cert<br /> <br /> [req_ext]<br /> subjectAltName = @alt_names<br /> <br /> [v3_ca]<br /> subjectAltName = @alt_names<br /> basicConstraints = CA:FALSE<br /> keyUsage = digitalSignature, keyEncipherment<br /> extendedKeyUsage = serverAuth, clientAuth<br /> <br /> [alt_names]<br /> DNS.1 = 你的域名<br /> DNS.2 = 你的第二个域名<br /> &lt;/syntaxhighlight&gt;需要设置好域名并进行保存 执行以下命令&lt;syntaxhighlight&gt;openssl genrsa -out ca.key.pem 4096<br /> openssl req -new -x509 -nodes -days 5475 -sha256 -key ca.key.pem -out ca.cert.pem -subj &quot;/O=ikev2/CN=ikev2 ca&quot;<br /> <br /> openssl genrsa -out server.key.pem 4096<br /> openssl req -new -key server.key.pem -out server.csr.pem -config server.cert.conf<br /> openssl x509 -req -CA ca.cert.pem -CAkey ca.key.pem -CAcreateserial -in server.csr.pem -out server.cert.pem -days 5475 -sha256 -extfile server.cert.conf -extensions v3_ca&lt;/syntaxhighlight&gt;查看证书信息&lt;syntaxhighlight&gt;openssl x509 -in ca.cert.pem -text -noout&lt;/syntaxhighlight&gt;将证书链接到配置目录中&lt;syntaxhighlight&gt;<br /> mkdir -p /etc/ipsec.d/{private,certs}<br /> ln -f /main/ikev2/cert/server.key.pem /etc/ipsec.d/private/<br /> ln -f /main/ikev2/cert/server.cert.pem /etc/ipsec.d/certs/<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 3. 配置nftables ===<br /> 主要是为了根据 IKEV2 服务端分配给客户端的IP, 将数据包转发到指定网卡<br /> <br /> 如果你之前配置过nftables, 不是编辑配置文件, 那就从之前的配置中取, 并进行链接, 准备编辑&lt;syntaxhighlight&gt;<br /> mkdir /main/nftables<br /> cp /etc/nftables.conf /main/nftables/<br /> ln -f /main/nftables/nftables.conf /etc/<br /> &lt;/syntaxhighlight&gt;如果你没有配置过, 那就在&lt;code&gt;/main/nftables/&lt;/code&gt;中创建一个&lt;code&gt;nftables.conf&lt;/code&gt;配置文件并链接过去, 准备编辑&lt;syntaxhighlight&gt;ln -f /main/nftables/nftables.conf /etc/&lt;/syntaxhighlight&gt;如果你之前配置过nftables, 且编辑了配置文件, 就直接修改那个配置文件, 准备编辑<br /> <br /> 现在开始编辑&lt;code&gt;nftables.conf&lt;/code&gt;, 加入以下配置&lt;syntaxhighlight&gt;<br /> table inet ikev2_nat {<br /> chain postrouting {<br /> type nat hook postrouting priority 10;<br /> policy accept;<br /> <br /> # 自行修改网卡或IP<br /> ip saddr 10.10.0.0/16 oif &quot;eth0&quot; masquerade;<br /> ip6 saddr fd00:ce20::/16 oif &quot;eth0&quot; masquerade;<br /> }<br /> }<br /> &lt;/syntaxhighlight&gt;保存好后并生效&lt;syntaxhighlight&gt;<br /> systemctl enable nftables.service<br /> systemctl restart nftables.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 4. 配置IKEV2 ===<br /> 在&lt;code&gt;/main/ikev2&lt;/code&gt;中分别创建文件: &lt;code&gt;ipsec.conf&lt;/code&gt;, &lt;code&gt;ipsec.secrets&lt;/code&gt;<br /> <br /> conf是核心配置, secrets是用户配置, 需要自行修改<br /> <br /> &lt;code&gt;ipsec.conf&lt;/code&gt;的配置: &lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> config setup<br /> charondebug=&quot;ike 2, knl 2, net 2, esp 2, dmn 2, mgr 2&quot;<br /> uniqueids=no<br /> <br /> conn ikev2-eap-mschapv2<br /> keyexchange=ikev2<br /> ike=aes256-sha1-sha256-sha384-modp2048,aes128gcm16-aes256gcm16-sha1-sha256-sha384-modp1024!<br /> esp=aes256-3des-sha1<br /> <br /> auto=add<br /> compress=no<br /> dpdaction=clear<br /> fragmentation=yes<br /> forceencaps=yes<br /> <br /> dpddelay=30s<br /> ikelifetime=10h<br /> lifetime=30m<br /> <br /> left=%defaultroute<br /> leftauth=pubkey<br /> leftid=你的域名<br /> leftcert=server.cert.pem<br /> leftsendcert=always<br /> leftsubnet=0.0.0.0/0,::/0<br /> leftfirewall=yes<br /> <br /> right=%any<br /> rightid=%any<br /> rightauth=eap-mschapv2<br /> rightsourceip=10.10.0.0/16,fd00:ce20::/16<br /> rightdns=1.1.1.1,8.8.8.8<br /> rightsendcert=never<br /> eap_identity=%identity<br /> &lt;/syntaxhighlight&gt;&lt;code&gt;ipsec.secrets&lt;/code&gt;的配置: &lt;syntaxhighlight&gt;<br /> : RSA &quot;server.key.pem&quot;<br /> User1 : EAP &quot;123456789&quot;<br /> User2 : EAP &quot;这是用户密码, 换行前面要注意不能有空格&quot;<br /> &lt;/syntaxhighlight&gt;自行修改好后, 重启服务并生效&lt;syntaxhighlight&gt;<br /> systemctl restart strongswan-starter.service<br /> systemctl status strongswan-starter.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 5. 安装证书 ===<br /> 任何系统想用就必须装上'''CA证书''', 也就是上面配置证书的&lt;code&gt;ca.cert.pem&lt;/code&gt;<br /> <br /> '''Windows安装证书:'''<br /> <br /> &lt;code&gt;ca.cert.pem&lt;/code&gt;改为&lt;code&gt;.der&lt;/code&gt;后缀, 双击安装, 到本地计算机, 将证书放入下列存储 (受信任的根证书颁发机构)<br /> <br /> '''安卓安装证书:'''<br /> <br /> 以'''iqoo'''为例, 进入手机设置 -&gt; 安全 -&gt; 更多安全设置 -&gt; 从手机存储安装 -&gt; CA证书, 文件选择&lt;code&gt;ca.cert.pem&lt;/code&gt;<br /> <br /> 其他手机可以搜索 &lt;code&gt;CA/证书/凭证&lt;/code&gt;<br /> <br /> '''IOS安装证书:'''<br /> <br /> 下载证书后, 进入设置直接安装<br /> <br /> === 6. 设备使用 ===<br /> 添加 IKEV2 基本都是在任何系统里的设置中, 进入设置后找到VPN选项, 并添加<br /> <br /> 名称随便起, 地址则是你的域名, 有些可能需要设置&lt;code&gt;IPSec标识符&lt;/code&gt;或者&lt;code&gt;远程ID&lt;/code&gt;, 这些也填写成你的域名, 再输入设置好的用户名与密码, 就可以连接了</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E4%BD%BF%E7%94%A8gost%E6%90%AD%E5%BB%BAHTTPS%E4%BB%A3%E7%90%86&diff=1448 2026-02-19T05:55:48Z

<p>Koud Wind：​/* 5. 客户端使用 */</p> <hr /> <div>有时候, 我们访问受限, 无法下载到代理工具 (比如:Xray); 或不想过多的配置或下载代理客户端, 只是临时用一下代理而已, 传统的HTTP代理又不安全, 容易被识别出来, 有没有一个服务端能够支持客户端使用HTTPS代理?<br /> <br /> 有, 那就是&lt;code&gt;gost&lt;/code&gt;, 而且它的速度不比Xray的&lt;code&gt;vless+reality+xtls-rprx-vision&lt;/code&gt;的差<br /> ----<br /> <br /> === 1. 准备 ===<br /> 主要使用3.0版本&lt;syntaxhighlight&gt;<br /> wget https://github.com/go-gost/gost/releases/download/v3.2.6/gost_3.2.6_linux_amd64.tar.gz<br /> tar -xzf gost_3.2.6_linux_amd64.tar.gz<br /> mv gost /usr/local/bin/<br /> chmod u+x /usr/local/bin/gost<br /> rm gost_3.2.6_linux_amd64.tar.gz<br /> &lt;/syntaxhighlight&gt;可以自行更换版本, 也可以使用[https://github.com/go-gost/gost Github]上的安装脚本<br /> <br /> === 2. 配置service ===<br /> 新建一个&lt;code&gt;gost.service&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [Unit]<br /> Description=gost<br /> After=network.target network-online.target<br /> <br /> [Service]<br /> Type=simple<br /> StandardError=journal<br /> ExecStart=&quot;/usr/local/bin/gost&quot;<br /> ExecReload=/bin/kill -HUP $MAINPID<br /> Restart=on-failure<br /> RestartSec=1s<br /> <br /> [Install]<br /> WantedBy=multi-user.target<br /> <br /> &lt;/syntaxhighlight&gt;我们保存在&lt;code&gt;/main/gost/&lt;/code&gt;为例, 建立一个软链接以方便备份与配置&lt;syntaxhighlight&gt;<br /> ln -f /main/gost/gost.service /etc/systemd/system/<br /> &lt;/syntaxhighlight&gt;添加到开机启动中&lt;syntaxhighlight&gt;<br /> systemctl daemon-reload<br /> systemctl enable gost.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 3. 配置证书 ===<br /> 你可以选择使用自签证书或正式证书, 若'''使用正式证书且不配置代理账号密码'''会导致主机变为肉鸡, 若使用自签证书会有更好的安全性, 前提是你的自签证书没有被泄露, 这里仅展示自签证书的配置方法&lt;syntaxhighlight&gt;<br /> mkdir /main/gost/cert<br /> cd /main/gost/cert<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;server.cert.conf&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [req]<br /> default_bits = 4096<br /> default_md = sha256<br /> distinguished_name = req_distinguished_name<br /> req_extensions = req_ext<br /> x509_extensions = v3_ca<br /> prompt = no<br /> <br /> [req_distinguished_name]<br /> O = gost<br /> CN = gost cert<br /> <br /> [req_ext]<br /> subjectAltName = @alt_names<br /> <br /> [v3_ca]<br /> subjectAltName = @alt_names<br /> basicConstraints = CA:FALSE<br /> keyUsage = digitalSignature, keyEncipherment<br /> extendedKeyUsage = serverAuth, clientAuth<br /> <br /> [alt_names]<br /> DNS.1 = 你的域名<br /> DNS.2 = 你的第二个域名<br /> &lt;/syntaxhighlight&gt;需要设置好域名并进行保存<br /> <br /> 执行以下命令&lt;syntaxhighlight&gt;openssl genrsa -out ca.key.pem 4096<br /> openssl req -new -x509 -nodes -days 5475 -sha256 -key ca.key.pem -out ca.cert.pem -subj &quot;/O=gost/CN=gost ca&quot;<br /> <br /> openssl genrsa -out server.key.pem 4096<br /> openssl req -new -key server.key.pem -out server.csr.pem -config server.cert.conf<br /> openssl x509 -req -CA ca.cert.pem -CAkey ca.key.pem -CAcreateserial -in server.csr.pem -out server.cert.pem -days 5475 -sha256 -extfile server.cert.conf -extensions v3_ca&lt;/syntaxhighlight&gt;查看证书信息&lt;syntaxhighlight&gt;openssl x509 -in ca.cert.pem -text -noout&lt;/syntaxhighlight&gt;<br /> === 4. 配置gost ===<br /> &lt;syntaxhighlight&gt;<br /> cd /main/gost<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;gost.json&lt;/code&gt;并进行配置, 可以参考[https://gost.run/ 官网]的教程&lt;syntaxhighlight lang=&quot;json&quot; line=&quot;1&quot;&gt;<br /> {<br /> &quot;services&quot;: [<br /> {<br /> &quot;name&quot;: &quot;https-proxy&quot;,<br /> &quot;addr&quot;: &quot;:56000&quot;,<br /> &quot;handler&quot;: {<br /> &quot;type&quot;: &quot;http&quot;,<br /> &quot;metadata&quot;: {<br /> &quot;knock&quot;: &quot;你的域名&quot;,<br /> &quot;probeResist&quot;: &quot;web:test-ipv6.com:80&quot;<br /> }<br /> },<br /> &quot;listener&quot;: {<br /> &quot;type&quot;: &quot;tls&quot;<br /> }<br /> }<br /> <br /> ],<br /> <br /> &quot;tls&quot;: {<br /> &quot;certFile&quot;: &quot;/main/gost/cert/server.cert.pem&quot;,<br /> &quot;keyFile&quot;: &quot;/main/gost/cert/server.key.pem&quot;<br /> }<br /> }<br /> &lt;/syntaxhighlight&gt;对原配置文件进行链接&lt;syntaxhighlight&gt;<br /> ln -f /main/gost/gost.json /etc/gost/<br /> &lt;/syntaxhighlight&gt;重启服务&lt;syntaxhighlight&gt;<br /> systemctl restart gost.service<br /> systemctl status gost.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 5. 客户端使用 ===<br /> 若是自签证书, 任何系统想用就必须装上'''CA证书''', 也就是上面提到的&lt;code&gt;ca.cert.pem&lt;/code&gt;<br /> <br /> '''Windows安装证书:'''<br /> <br /> &lt;code&gt;ca.cert.pem&lt;/code&gt;改为&lt;code&gt;.der&lt;/code&gt;后缀, 双击安装, 到本地计算机, 将证书放入下列存储 (受信任的根证书颁发机构)<br /> <br /> '''Linux安装证书:'''&lt;syntaxhighlight&gt;<br /> mkdir -p /usr/local/share/ca-certificates<br /> cp ca.cert.pem /usr/local/share/ca-certificates/<br /> chmod 0644 /usr/local/share/ca-certificates/ca.cert.pem<br /> update-ca-certificates<br /> &lt;/syntaxhighlight&gt;<br /> <br /> '''Windows使用:'''<br /> <br /> [[File:如何使用gost搭建HTTPS代理-1.png|frameless|421x421px]]<br /> '''Linux使用:''' &lt;syntaxhighlight&gt;<br /> export https_proxy=&quot;https://你的域名:56000&quot;<br /> &lt;/syntaxhighlight&gt;'''其他系统设置可能不支持HTTPS代理, 仅有HTTP代理'''</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E4%BD%BF%E7%94%A8gost%E6%90%AD%E5%BB%BAHTTPS%E4%BB%A3%E7%90%86&diff=1441 2026-02-18T20:42:01Z

<p>Koud Wind：​</p> <hr /> <div>有时候, 我们访问受限, 无法下载到代理工具 (比如:Xray); 或不想过多的配置或下载代理客户端, 只是临时用一下代理而已, 传统的HTTP代理又不安全, 容易被识别出来, 有没有一个服务端能够支持客户端使用HTTPS代理?<br /> <br /> 有, 那就是&lt;code&gt;gost&lt;/code&gt;, 而且它的速度不比Xray的&lt;code&gt;vless+reality+xtls-rprx-vision&lt;/code&gt;的差<br /> ----<br /> <br /> === 1. 准备 ===<br /> 主要使用3.0版本&lt;syntaxhighlight&gt;<br /> wget https://github.com/go-gost/gost/releases/download/v3.2.6/gost_3.2.6_linux_amd64.tar.gz<br /> tar -xzf gost_3.2.6_linux_amd64.tar.gz<br /> mv gost /usr/local/bin/<br /> chmod u+x /usr/local/bin/gost<br /> rm gost_3.2.6_linux_amd64.tar.gz<br /> &lt;/syntaxhighlight&gt;可以自行更换版本, 也可以使用[https://github.com/go-gost/gost Github]上的安装脚本<br /> <br /> === 2. 配置service ===<br /> 新建一个&lt;code&gt;gost.service&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [Unit]<br /> Description=gost<br /> After=network.target network-online.target<br /> <br /> [Service]<br /> Type=simple<br /> StandardError=journal<br /> ExecStart=&quot;/usr/local/bin/gost&quot;<br /> ExecReload=/bin/kill -HUP $MAINPID<br /> Restart=on-failure<br /> RestartSec=1s<br /> <br /> [Install]<br /> WantedBy=multi-user.target<br /> <br /> &lt;/syntaxhighlight&gt;我们保存在&lt;code&gt;/main/gost/&lt;/code&gt;为例, 建立一个软链接以方便备份与配置&lt;syntaxhighlight&gt;<br /> ln -f /main/gost/gost.service /etc/systemd/system/<br /> &lt;/syntaxhighlight&gt;添加到开机启动中&lt;syntaxhighlight&gt;<br /> systemctl daemon-reload<br /> systemctl enable gost.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 3. 配置证书 ===<br /> 你可以选择使用自签证书或正式证书, 若'''使用正式证书且不配置代理账号密码'''会导致主机变为肉鸡, 若使用自签证书会有更好的安全性, 前提是你的自签证书没有被泄露, 这里仅展示自签证书的配置方法&lt;syntaxhighlight&gt;<br /> mkdir /main/gost/cert<br /> cd /main/gost/cert<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;server.cert.conf&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [req]<br /> default_bits = 4096<br /> default_md = sha256<br /> distinguished_name = req_distinguished_name<br /> req_extensions = req_ext<br /> x509_extensions = v3_ca<br /> prompt = no<br /> <br /> [req_distinguished_name]<br /> O = gost<br /> CN = gost cert<br /> <br /> [req_ext]<br /> subjectAltName = @alt_names<br /> <br /> [v3_ca]<br /> subjectAltName = @alt_names<br /> basicConstraints = CA:FALSE<br /> keyUsage = digitalSignature, keyEncipherment<br /> extendedKeyUsage = serverAuth, clientAuth<br /> <br /> [alt_names]<br /> DNS.1 = 你的域名<br /> DNS.2 = 你的第二个域名<br /> &lt;/syntaxhighlight&gt;需要设置好域名并进行保存<br /> <br /> 执行以下命令&lt;syntaxhighlight&gt;openssl genrsa -out ca.key.pem 4096<br /> openssl req -new -x509 -nodes -days 5475 -sha256 -key ca.key.pem -out ca.cert.pem -subj &quot;/O=gost/CN=gost ca&quot;<br /> <br /> openssl genrsa -out server.key.pem 4096<br /> openssl req -new -key server.key.pem -out server.csr.pem -config server.cert.conf<br /> openssl x509 -req -CA ca.cert.pem -CAkey ca.key.pem -CAcreateserial -in server.csr.pem -out server.cert.pem -days 5475 -sha256 -extfile server.cert.conf -extensions v3_ca&lt;/syntaxhighlight&gt;查看证书信息&lt;syntaxhighlight&gt;openssl x509 -in ca.cert.pem -text -noout&lt;/syntaxhighlight&gt;<br /> === 4. 配置gost ===<br /> &lt;syntaxhighlight&gt;<br /> cd /main/gost<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;gost.json&lt;/code&gt;并进行配置, 可以参考[https://gost.run/ 官网]的教程&lt;syntaxhighlight lang=&quot;json&quot; line=&quot;1&quot;&gt;<br /> {<br /> &quot;services&quot;: [<br /> {<br /> &quot;name&quot;: &quot;https-proxy&quot;,<br /> &quot;addr&quot;: &quot;:56000&quot;,<br /> &quot;handler&quot;: {<br /> &quot;type&quot;: &quot;http&quot;,<br /> &quot;metadata&quot;: {<br /> &quot;knock&quot;: &quot;你的域名&quot;,<br /> &quot;probeResist&quot;: &quot;web:test-ipv6.com:80&quot;<br /> }<br /> },<br /> &quot;listener&quot;: {<br /> &quot;type&quot;: &quot;tls&quot;<br /> }<br /> }<br /> <br /> ],<br /> <br /> &quot;tls&quot;: {<br /> &quot;certFile&quot;: &quot;/main/gost/cert/server.cert.pem&quot;,<br /> &quot;keyFile&quot;: &quot;/main/gost/cert/server.key.pem&quot;<br /> }<br /> }<br /> &lt;/syntaxhighlight&gt;对原配置文件进行链接&lt;syntaxhighlight&gt;<br /> ln -f /main/gost/gost.json /etc/gost/<br /> &lt;/syntaxhighlight&gt;重启服务&lt;syntaxhighlight&gt;<br /> systemctl restart gost.service<br /> systemctl status gost.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 5. 客户端使用 ===<br /> 任何系统想用就必须装上'''CA证书''', 也就是上面提到的&lt;code&gt;ca.cert.pem&lt;/code&gt;<br /> <br /> '''Windows安装证书:'''<br /> <br /> &lt;code&gt;ca.cert.pem&lt;/code&gt;改为&lt;code&gt;.der&lt;/code&gt;后缀, 双击安装, 到本地计算机, 将证书放入下列存储 (受信任的根证书颁发机构)<br /> <br /> '''Linux安装证书:'''&lt;syntaxhighlight&gt;<br /> mkdir -p /usr/local/share/ca-certificates<br /> cp ca.cert.pem /usr/local/share/ca-certificates/<br /> chmod 0644 /usr/local/share/ca-certificates/ca.cert.pem<br /> update-ca-certificates<br /> &lt;/syntaxhighlight&gt;<br /> <br /> '''Windows使用:'''<br /> <br /> [[File:如何使用gost搭建HTTPS代理-1.png|frameless|421x421px]]<br /> '''Linux使用:''' &lt;syntaxhighlight&gt;<br /> export https_proxy=&quot;https://你的域名:56000&quot;<br /> &lt;/syntaxhighlight&gt;'''其他系统设置可能不支持HTTPS代理, 仅有HTTP代理'''</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E4%BD%BF%E7%94%A8gost%E6%90%AD%E5%BB%BAHTTPS%E4%BB%A3%E7%90%86&diff=1440 2026-02-18T20:40:19Z

<p>Koud Wind：​</p> <hr /> <div>有时候, 我们访问受限, 无法下载到代理工具 (比如:Xray); 或不想过多的配置或下载代理客户端, 只是临时用一下代理而已, 传统的HTTP代理又不安全, 容易被识别出来, 有没有一个服务端能够支持客户端使用HTTPS代理?<br /> <br /> 有, 那就是&lt;code&gt;gost&lt;/code&gt;, 而且它的速度不比Xray的&lt;code&gt;vless+reality+xtls-rprx-vision&lt;/code&gt;的差<br /> ----<br /> <br /> === 1. 准备 ===<br /> 主要使用3.0版本&lt;syntaxhighlight&gt;<br /> wget https://github.com/go-gost/gost/releases/download/v3.2.6/gost_3.2.6_linux_amd64.tar.gz<br /> tar -xzf gost_3.2.6_linux_amd64.tar.gz<br /> mv gost /usr/local/bin/<br /> chmod u+x /usr/local/bin/gost<br /> rm gost_3.2.6_linux_amd64.tar.gz<br /> &lt;/syntaxhighlight&gt;可以自行更换版本, 也可以使用[https://github.com/go-gost/gost Github]上的安装脚本<br /> <br /> === 2. 配置service ===<br /> 新建一个&lt;code&gt;gost.service&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [Unit]<br /> Description=gost<br /> After=network.target network-online.target<br /> <br /> [Service]<br /> Type=simple<br /> StandardError=journal<br /> ExecStart=&quot;/usr/local/bin/gost&quot;<br /> ExecReload=/bin/kill -HUP $MAINPID<br /> Restart=on-failure<br /> RestartSec=1s<br /> <br /> [Install]<br /> WantedBy=multi-user.target<br /> <br /> &lt;/syntaxhighlight&gt;我们保存在&lt;code&gt;/main/gost/&lt;/code&gt;为例, 建立一个软链接以方便备份与配置&lt;syntaxhighlight&gt;<br /> ln -f /main/gost/gost.service /etc/systemd/system/<br /> &lt;/syntaxhighlight&gt;添加到开机启动中&lt;syntaxhighlight&gt;<br /> systemctl daemon-reload<br /> systemctl enable gost.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 3. 配置证书 ===<br /> 你可以选择使用自签证书或正式证书, 若'''使用正式证书且不配置代理账号密码'''会导致主机变为肉鸡, 若使用自签证书会有更好的安全性, 前提是你的自签证书没有被泄露, 这里仅展示自签证书的配置方法&lt;syntaxhighlight&gt;<br /> mkdir /main/gost/cert<br /> cd /main/gost/cert<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;server.cert.conf&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [req]<br /> default_bits = 4096<br /> default_md = sha256<br /> distinguished_name = req_distinguished_name<br /> req_extensions = req_ext<br /> x509_extensions = v3_ca<br /> prompt = no<br /> <br /> [req_distinguished_name]<br /> O = gost<br /> CN = gost cert<br /> <br /> [req_ext]<br /> subjectAltName = @alt_names<br /> <br /> [v3_ca]<br /> subjectAltName = @alt_names<br /> basicConstraints = CA:FALSE<br /> keyUsage = digitalSignature, keyEncipherment<br /> extendedKeyUsage = serverAuth, clientAuth<br /> <br /> [alt_names]<br /> DNS.1 = 你的域名<br /> DNS.2 = 你的第二个域名<br /> &lt;/syntaxhighlight&gt;需要设置好域名并进行保存<br /> <br /> 执行命令&lt;syntaxhighlight&gt;openssl genrsa -out ca.key.pem 4096<br /> openssl req -new -x509 -nodes -days 5475 -sha256 -key ca.key.pem -out ca.cert.pem -subj &quot;/O=gost/CN=gost ca&quot;<br /> <br /> openssl genrsa -out server.key.pem 4096<br /> openssl req -new -key server.key.pem -out server.csr.pem -config server.cert.conf<br /> openssl x509 -req -CA ca.cert.pem -CAkey ca.key.pem -CAcreateserial -in server.csr.pem -out server.cert.pem -days 5475 -sha256 -extfile server.cert.conf -extensions v3_ca&lt;/syntaxhighlight&gt;查看证书信息&lt;syntaxhighlight&gt;openssl x509 -in ca.cert.pem -text -noout&lt;/syntaxhighlight&gt;<br /> === 4. 配置gost ===<br /> &lt;syntaxhighlight&gt;<br /> cd /main/gost<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;gost.json&lt;/code&gt;并进行配置, 可以参考[https://gost.run/ 官网]的教程&lt;syntaxhighlight lang=&quot;json&quot; line=&quot;1&quot;&gt;<br /> {<br /> &quot;services&quot;: [<br /> {<br /> &quot;name&quot;: &quot;https-proxy&quot;,<br /> &quot;addr&quot;: &quot;:56000&quot;,<br /> &quot;handler&quot;: {<br /> &quot;type&quot;: &quot;http&quot;,<br /> &quot;metadata&quot;: {<br /> &quot;knock&quot;: &quot;你的域名&quot;,<br /> &quot;probeResist&quot;: &quot;web:test-ipv6.com:80&quot;<br /> }<br /> },<br /> &quot;listener&quot;: {<br /> &quot;type&quot;: &quot;tls&quot;<br /> }<br /> }<br /> <br /> ],<br /> <br /> &quot;tls&quot;: {<br /> &quot;certFile&quot;: &quot;/main/gost/cert/server.cert.pem&quot;,<br /> &quot;keyFile&quot;: &quot;/main/gost/cert/server.key.pem&quot;<br /> }<br /> }<br /> &lt;/syntaxhighlight&gt;对原配置文件进行链接&lt;syntaxhighlight&gt;<br /> ln -f /main/gost/gost.json /etc/gost/<br /> &lt;/syntaxhighlight&gt;重启服务&lt;syntaxhighlight&gt;<br /> systemctl restart gost.service<br /> systemctl status gost.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 5. 客户端使用 ===<br /> 任何系统想用就必须装上'''CA证书''', 也就是上面提到的&lt;code&gt;ca.cert.pem&lt;/code&gt;<br /> <br /> '''Windows安装证书:'''<br /> <br /> &lt;code&gt;ca.cert.pem&lt;/code&gt;改为&lt;code&gt;.der&lt;/code&gt;后缀, 双击安装, 到本地计算机, 将证书放入下列存储 (受信任的根证书颁发机构)<br /> <br /> '''Linux安装证书:'''&lt;syntaxhighlight&gt;<br /> mkdir -p /usr/local/share/ca-certificates<br /> cp ca.cert.pem /usr/local/share/ca-certificates/<br /> chmod 0644 /usr/local/share/ca-certificates/ca.cert.pem<br /> update-ca-certificates<br /> &lt;/syntaxhighlight&gt;<br /> <br /> '''Windows使用:'''<br /> <br /> [[File:如何使用gost搭建HTTPS代理-1.png|frameless|421x421px]]<br /> '''Linux使用:''' &lt;syntaxhighlight&gt;<br /> export https_proxy=&quot;https://你的域名:56000&quot;<br /> &lt;/syntaxhighlight&gt;'''其他系统设置可能不支持HTTPS代理, 仅有HTTP代理'''</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E4%BD%BF%E7%94%A8gost%E6%90%AD%E5%BB%BAHTTPS%E4%BB%A3%E7%90%86&diff=1439 2026-02-18T20:31:11Z

<p>Koud Wind：​</p> <hr /> <div>有时候, 我们访问受限, 无法下载到代理工具 (比如:Xray); 或不想过多的配置或下载代理客户端, 只是临时用一下代理而已, 传统的HTTP代理又不安全, 容易被识别出来, 有没有一个服务端能够支持客户端使用HTTPS代理?<br /> <br /> 有, 那就是&lt;code&gt;gost&lt;/code&gt;, 而且它的速度不比Xray的&lt;code&gt;vless+reality+xtls-rprx-vision&lt;/code&gt;的差<br /> ----<br /> <br /> === 1. 准备 ===<br /> 主要使用3.0版本&lt;syntaxhighlight&gt;<br /> wget https://github.com/go-gost/gost/releases/download/v3.2.6/gost_3.2.6_linux_amd64.tar.gz<br /> tar -xzf gost_3.2.6_linux_amd64.tar.gz<br /> mv gost /usr/local/bin/<br /> chmod u+x /usr/local/bin/gost<br /> rm gost_3.2.6_linux_amd64.tar.gz<br /> &lt;/syntaxhighlight&gt;可以自行更换版本, 也可以使用[https://github.com/go-gost/gost Github]上的安装脚本<br /> <br /> === 2. 配置service ===<br /> 新建一个&lt;code&gt;gost.service&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [Unit]<br /> Description=gost<br /> After=network.target network-online.target<br /> <br /> [Service]<br /> Type=simple<br /> StandardError=journal<br /> ExecStart=&quot;/usr/local/bin/gost&quot;<br /> ExecReload=/bin/kill -HUP $MAINPID<br /> Restart=on-failure<br /> RestartSec=1s<br /> <br /> [Install]<br /> WantedBy=multi-user.target<br /> <br /> &lt;/syntaxhighlight&gt;我们保存在&lt;code&gt;/main/gost/&lt;/code&gt;为例, 建立一个软链接以方便备份与配置&lt;syntaxhighlight&gt;<br /> ln -f /main/gost/gost.service /etc/systemd/system/<br /> &lt;/syntaxhighlight&gt;添加到开机启动中&lt;syntaxhighlight&gt;<br /> systemctl daemon-reload<br /> systemctl enable gost.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 3. 配置证书 ===<br /> 你可以选择使用自签证书或正式证书, 若'''使用正式证书且不配置代理账号密码'''会导致主机变为肉鸡, 若使用自签证书会有更好的安全性, 前提是你的自签证书没有被泄露, 这里仅展示自签证书的配置方法&lt;syntaxhighlight&gt;<br /> mkdir /main/gost/cert<br /> cd /main/gost/cert<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;server.cert.conf&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [req]<br /> default_bits = 4096<br /> default_md = sha256<br /> distinguished_name = req_distinguished_name<br /> req_extensions = req_ext<br /> x509_extensions = v3_ca<br /> prompt = no<br /> <br /> [req_distinguished_name]<br /> O = gost<br /> CN = gost cert<br /> <br /> [req_ext]<br /> subjectAltName = @alt_names<br /> <br /> [v3_ca]<br /> subjectAltName = @alt_names<br /> basicConstraints = CA:FALSE<br /> keyUsage = digitalSignature, keyEncipherment<br /> extendedKeyUsage = serverAuth, clientAuth<br /> <br /> [alt_names]<br /> DNS.1 = 你的域名<br /> DNS.2 = 你的第二个域名<br /> &lt;/syntaxhighlight&gt;需要设置好域名并进行保存<br /> <br /> 执行命令&lt;syntaxhighlight&gt;openssl genrsa -out ca.key.pem 4096<br /> openssl req -new -x509 -nodes -days 5475 -sha256 -key ca.key.pem -out ca.cert.pem -subj &quot;/O=gost/CN=gost ca&quot;<br /> <br /> openssl genrsa -out server.key.pem 4096<br /> openssl req -new -key server.key.pem -out server.csr.pem -config server.cert.conf<br /> openssl x509 -req -CA ca.cert.pem -CAkey ca.key.pem -CAcreateserial -in server.csr.pem -out server.cert.pem -days 5475 -sha256 -extfile server.cert.conf -extensions v3_ca&lt;/syntaxhighlight&gt;查看证书信息&lt;syntaxhighlight&gt;openssl x509 -in ca.cert.pem -text -noout&lt;/syntaxhighlight&gt;'''Windows'''安装证书:<br /> <br /> &lt;code&gt;ca.cert.pem&lt;/code&gt;改为&lt;code&gt;.der&lt;/code&gt;后缀, 双击安装, 到本地计算机, 将证书放入下列存储 (受信任的根证书颁发机构)<br /> <br /> '''Linux安装证书:'''&lt;syntaxhighlight&gt;<br /> mkdir -p /usr/local/share/ca-certificates<br /> cp ca.cert.pem /usr/local/share/ca-certificates/<br /> chmod 0644 /usr/local/share/ca-certificates/ca.cert.pem<br /> update-ca-certificates<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 4. 配置gost ===<br /> &lt;syntaxhighlight&gt;<br /> cd /main/gost<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;gost.json&lt;/code&gt;并进行配置, 可以参考[https://gost.run/ 官网]的教程&lt;syntaxhighlight lang=&quot;json&quot; line=&quot;1&quot;&gt;<br /> {<br /> &quot;services&quot;: [<br /> {<br /> &quot;name&quot;: &quot;https-proxy&quot;,<br /> &quot;addr&quot;: &quot;:56000&quot;,<br /> &quot;handler&quot;: {<br /> &quot;type&quot;: &quot;http&quot;,<br /> &quot;metadata&quot;: {<br /> &quot;knock&quot;: &quot;你的域名&quot;,<br /> &quot;probeResist&quot;: &quot;web:test-ipv6.com:80&quot;<br /> }<br /> },<br /> &quot;listener&quot;: {<br /> &quot;type&quot;: &quot;tls&quot;<br /> }<br /> }<br /> <br /> ],<br /> <br /> &quot;tls&quot;: {<br /> &quot;certFile&quot;: &quot;/main/gost/cert/server.cert.pem&quot;,<br /> &quot;keyFile&quot;: &quot;/main/gost/cert/server.key.pem&quot;<br /> }<br /> }<br /> &lt;/syntaxhighlight&gt;对原配置文件进行链接&lt;syntaxhighlight&gt;<br /> ln -f /main/gost/gost.json /etc/gost/<br /> &lt;/syntaxhighlight&gt;重启服务&lt;syntaxhighlight&gt;<br /> systemctl restart gost.service<br /> systemctl status gost.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 5. 客户端使用 ===<br /> 任何系统想用就必须装上'''CA证书''', 也就是上面提到的&lt;code&gt;ca.cert.pem&lt;/code&gt;<br /> <br /> '''Windows:'''<br /> <br /> [[File:如何使用gost搭建HTTPS代理-1.png|frameless|421x421px]]<br /> '''Linux:''' &lt;syntaxhighlight&gt;<br /> export https_proxy=&quot;https://你的域名:56000&quot;<br /> &lt;/syntaxhighlight&gt;'''其他系统设置可能不支持HTTPS代理, 仅有HTTP代理'''</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E4%BD%BF%E7%94%A8gost%E6%90%AD%E5%BB%BAHTTPS%E4%BB%A3%E7%90%86&diff=1438 2026-02-18T20:16:13Z

<p>Koud Wind：​</p> <hr /> <div>有时候, 我们访问受限, 无法下载到代理工具 (比如:Xray); 或不想过多的配置或下载代理客户端, 只是临时用一下代理而已, 传统的HTTP代理又不安全, 容易被识别出来, 有没有一个服务端能够支持客户端使用HTTPS代理?<br /> <br /> 有, 那就是&lt;code&gt;gost&lt;/code&gt;, 而且它的速度不比Xray的&lt;code&gt;vless+reality+xtls-rprx-vision&lt;/code&gt;的差<br /> ----<br /> <br /> === 1. 准备 ===<br /> 主要使用3.0版本&lt;syntaxhighlight&gt;<br /> wget https://github.com/go-gost/gost/releases/download/v3.2.6/gost_3.2.6_linux_amd64.tar.gz<br /> tar -xzf gost_3.2.6_linux_amd64.tar.gz<br /> mv gost /usr/local/bin/<br /> chmod u+x /usr/local/bin/gost<br /> rm gost_3.2.6_linux_amd64.tar.gz<br /> &lt;/syntaxhighlight&gt;可以自行更换版本, 也可以使用[https://github.com/go-gost/gost Github]上的安装脚本<br /> <br /> === 2. 配置service ===<br /> 新建一个&lt;code&gt;gost.service&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [Unit]<br /> Description=gost<br /> After=network.target network-online.target<br /> <br /> [Service]<br /> Type=simple<br /> StandardError=journal<br /> ExecStart=&quot;/usr/local/bin/gost&quot;<br /> ExecReload=/bin/kill -HUP $MAINPID<br /> Restart=on-failure<br /> RestartSec=1s<br /> <br /> [Install]<br /> WantedBy=multi-user.target<br /> <br /> &lt;/syntaxhighlight&gt;我们保存在&lt;code&gt;/main/gost/&lt;/code&gt;为例, 建立一个软链接以方便备份与配置&lt;syntaxhighlight&gt;<br /> ln -f /main/gost/gost.service /etc/systemd/system/<br /> &lt;/syntaxhighlight&gt;添加到开机启动中&lt;syntaxhighlight&gt;<br /> systemctl daemon-reload<br /> systemctl enable gost.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 3. 配置证书 ===<br /> 你可以选择使用自签证书或正式证书, 若'''使用正式证书且不配置代理账号密码'''会导致主机变为肉鸡, 若使用自签证书会有更好的安全性, 前提是你的自签证书没有被泄露, 这里仅展示自签证书的配置方法&lt;syntaxhighlight&gt;<br /> mkdir /main/gost/cert<br /> cd /main/gost/cert<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;server.cert.conf&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [req]<br /> default_bits = 4096<br /> default_md = sha256<br /> distinguished_name = req_distinguished_name<br /> req_extensions = req_ext<br /> x509_extensions = v3_ca<br /> prompt = no<br /> <br /> [req_distinguished_name]<br /> O = gost<br /> CN = gost cert<br /> <br /> [req_ext]<br /> subjectAltName = @alt_names<br /> <br /> [v3_ca]<br /> subjectAltName = @alt_names<br /> basicConstraints = CA:FALSE<br /> keyUsage = digitalSignature, keyEncipherment<br /> extendedKeyUsage = serverAuth, clientAuth<br /> <br /> [alt_names]<br /> DNS.1 = 你的域名<br /> DNS.2 = 你的第二个域名<br /> &lt;/syntaxhighlight&gt;需要设置好域名并进行保存<br /> <br /> 执行命令&lt;syntaxhighlight&gt;openssl genrsa -out ca.key.pem 4096<br /> openssl req -new -x509 -nodes -days 5475 -sha256 -key ca.key.pem -out ca.cert.pem -subj &quot;/O=gost/CN=gost ca&quot;<br /> <br /> openssl genrsa -out server.key.pem 4096<br /> openssl req -new -key server.key.pem -out server.csr.pem -config server.cert.conf<br /> openssl x509 -req -CA ca.cert.pem -CAkey ca.key.pem -CAcreateserial -in server.csr.pem -out server.cert.pem -days 5475 -sha256 -extfile server.cert.conf -extensions v3_ca&lt;/syntaxhighlight&gt;&lt;code&gt;ca.cert.pem&lt;/code&gt;可改为&lt;code&gt;.der&lt;/code&gt;后缀以供windows系统安装<br /> <br /> 查看证书信息&lt;syntaxhighlight&gt;openssl x509 -in ca.cert.pem -text -noout&lt;/syntaxhighlight&gt;<br /> <br /> === 4. 配置gost ===<br /> &lt;syntaxhighlight&gt;<br /> cd /main/gost<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;gost.json&lt;/code&gt;并进行配置, 可以参考[https://gost.run/ 官网]的教程&lt;syntaxhighlight lang=&quot;json&quot; line=&quot;1&quot;&gt;<br /> {<br /> &quot;services&quot;: [<br /> {<br /> &quot;name&quot;: &quot;https-proxy&quot;,<br /> &quot;addr&quot;: &quot;:56000&quot;,<br /> &quot;handler&quot;: {<br /> &quot;type&quot;: &quot;http&quot;,<br /> &quot;metadata&quot;: {<br /> &quot;knock&quot;: &quot;你的域名&quot;,<br /> &quot;probeResist&quot;: &quot;web:test-ipv6.com:80&quot;<br /> }<br /> },<br /> &quot;listener&quot;: {<br /> &quot;type&quot;: &quot;tls&quot;<br /> }<br /> }<br /> <br /> ],<br /> <br /> &quot;tls&quot;: {<br /> &quot;certFile&quot;: &quot;/main/gost/cert/server.cert.pem&quot;,<br /> &quot;keyFile&quot;: &quot;/main/gost/cert/server.key.pem&quot;<br /> }<br /> }<br /> &lt;/syntaxhighlight&gt;对原配置文件进行链接&lt;syntaxhighlight&gt;<br /> ln -f /main/gost/gost.json /etc/gost/<br /> &lt;/syntaxhighlight&gt;重启服务&lt;syntaxhighlight&gt;<br /> systemctl restart gost.service<br /> systemctl status gost.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 5. 客户端使用 ===<br /> 任何系统想用就必须装上'''CA证书''', 也就是上面提到的&lt;code&gt;ca.cert.pem&lt;/code&gt;<br /> <br /> '''Windows:'''<br /> <br /> [[File:如何使用gost搭建HTTPS代理-1.png|frameless|421x421px]]<br /> '''Linux:''' &lt;syntaxhighlight&gt;<br /> export https_proxy=&quot;https://你的域名:56000&quot;<br /> &lt;/syntaxhighlight&gt;'''其他系统设置可能不支持HTTPS代理, 仅有HTTP代理'''</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E4%BD%BF%E7%94%A8gost%E6%90%AD%E5%BB%BAHTTPS%E4%BB%A3%E7%90%86&diff=1437 2026-02-18T20:14:24Z

<p>Koud Wind：​</p> <hr /> <div>有时候, 我们访问受限, 无法下载到代理工具 (比如:Xray); 或不想过多的配置或下载代理客户端, 只是临时用一下代理而已, 传统的HTTP代理又不安全, 容易被识别出来, 有没有一个服务端能够支持客户端使用HTTPS代理?<br /> <br /> 有, 那就是&lt;code&gt;gost&lt;/code&gt;, 而且它的速度不比Xray的&lt;code&gt;vless+reality+xtls-rprx-vision&lt;/code&gt;的差<br /> ----<br /> <br /> === 1. 准备 ===<br /> 主要使用3.0版本&lt;syntaxhighlight&gt;<br /> wget https://github.com/go-gost/gost/releases/download/v3.2.6/gost_3.2.6_linux_amd64.tar.gz<br /> tar -xzf gost_3.2.6_linux_amd64.tar.gz<br /> mv gost /usr/local/bin/<br /> chmod u+x /usr/local/bin/gost<br /> rm gost_3.2.6_linux_amd64.tar.gz<br /> &lt;/syntaxhighlight&gt;可以自行更换版本, 也可以使用[https://github.com/go-gost/gost Github]上的安装脚本<br /> <br /> === 2. 配置service ===<br /> 新建一个&lt;code&gt;gost.service&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [Unit]<br /> Description=gost<br /> After=network.target network-online.target<br /> <br /> [Service]<br /> Type=simple<br /> StandardError=journal<br /> ExecStart=&quot;/usr/local/bin/gost&quot;<br /> ExecReload=/bin/kill -HUP $MAINPID<br /> Restart=on-failure<br /> RestartSec=1s<br /> <br /> [Install]<br /> WantedBy=multi-user.target<br /> <br /> &lt;/syntaxhighlight&gt;我们保存在&lt;code&gt;/main/gost/&lt;/code&gt;为例, 建立一个软链接以方便备份与配置&lt;syntaxhighlight&gt;<br /> ln -f /main/gost/gost.service /etc/systemd/system/<br /> &lt;/syntaxhighlight&gt;添加到开机启动中&lt;syntaxhighlight&gt;<br /> systemctl daemon-reload<br /> systemctl enable gost.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 3. 配置证书 ===<br /> 你可以选择使用自签证书或正式证书, 若'''使用正式证书且不配置代理账号密码'''会导致主机变为肉鸡, 若使用自签证书会有更好的安全性, 前提是你的自签证书没有被泄露, 这里仅展示自签证书的配置方法&lt;syntaxhighlight&gt;<br /> mkdir /main/gost/cert<br /> cd /main/gost/cert<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;server.cert.conf&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [req]<br /> default_bits = 4096<br /> default_md = sha256<br /> distinguished_name = req_distinguished_name<br /> req_extensions = req_ext<br /> x509_extensions = v3_ca<br /> prompt = no<br /> <br /> [req_distinguished_name]<br /> O = gost<br /> CN = gost cert<br /> <br /> [req_ext]<br /> subjectAltName = @alt_names<br /> <br /> [v3_ca]<br /> subjectAltName = @alt_names<br /> basicConstraints = CA:FALSE<br /> keyUsage = digitalSignature, keyEncipherment<br /> extendedKeyUsage = serverAuth, clientAuth<br /> <br /> [alt_names]<br /> DNS.1 = 你的域名<br /> DNS.2 = 你的第二个域名<br /> &lt;/syntaxhighlight&gt;需要设置好域名并进行保存<br /> <br /> 执行命令&lt;syntaxhighlight&gt;openssl genrsa -out ca.key.pem 4096<br /> openssl req -new -x509 -nodes -days 5475 -sha256 -key ca.key.pem -out ca.cert.pem -subj &quot;/O=gost/CN=gost ca&quot;<br /> <br /> openssl genrsa -out server.key.pem 4096<br /> openssl req -new -key server.key.pem -out server.csr.pem -config server.cert.conf<br /> openssl x509 -req -CA ca.cert.pem -CAkey ca.key.pem -CAcreateserial -in server.csr.pem -out server.cert.pem -days 5475 -sha256 -extfile server.cert.conf -extensions v3_ca&lt;/syntaxhighlight&gt;&lt;code&gt;ca.cert.pem&lt;/code&gt;可改为&lt;code&gt;.der&lt;/code&gt;后缀以供windows系统安装<br /> <br /> 查看证书信息&lt;syntaxhighlight&gt;openssl x509 -in ca.cert.pem -text -noout&lt;/syntaxhighlight&gt;<br /> <br /> === 4. 配置gost ===<br /> &lt;syntaxhighlight&gt;<br /> cd /main/gost<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;gost.json&lt;/code&gt;并进行配置&lt;syntaxhighlight lang=&quot;json&quot; line=&quot;1&quot;&gt;<br /> {<br /> &quot;services&quot;: [<br /> {<br /> &quot;name&quot;: &quot;https-proxy&quot;,<br /> &quot;addr&quot;: &quot;:56000&quot;,<br /> &quot;handler&quot;: {<br /> &quot;type&quot;: &quot;http&quot;,<br /> &quot;metadata&quot;: {<br /> &quot;knock&quot;: &quot;你的域名&quot;,<br /> &quot;probeResist&quot;: &quot;web:test-ipv6.com:80&quot;<br /> }<br /> },<br /> &quot;listener&quot;: {<br /> &quot;type&quot;: &quot;tls&quot;<br /> }<br /> }<br /> <br /> ],<br /> <br /> &quot;tls&quot;: {<br /> &quot;certFile&quot;: &quot;/main/gost/cert/server.cert.pem&quot;,<br /> &quot;keyFile&quot;: &quot;/main/gost/cert/server.key.pem&quot;<br /> }<br /> }<br /> &lt;/syntaxhighlight&gt;对原配置文件进行链接&lt;syntaxhighlight&gt;<br /> ln -f /main/gost/gost.json /etc/gost/<br /> &lt;/syntaxhighlight&gt;重启服务&lt;syntaxhighlight&gt;<br /> systemctl restart gost.service<br /> systemctl status gost.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 5. 客户端使用 ===<br /> 任何系统想用就必须装上'''CA证书''', 也就是上面提到的&lt;code&gt;ca.cert.pem&lt;/code&gt;<br /> <br /> '''Windows:'''<br /> <br /> [[File:如何使用gost搭建HTTPS代理-1.png|frameless|421x421px]]<br /> '''Linux:''' &lt;syntaxhighlight&gt;<br /> export https_proxy=&quot;https://你的域名:56000&quot;<br /> &lt;/syntaxhighlight&gt;'''其他系统设置可能不支持HTTPS代理, 仅有HTTP代理'''</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E4%BD%BF%E7%94%A8gost%E6%90%AD%E5%BB%BAHTTPS%E4%BB%A3%E7%90%86&diff=1436 2026-02-18T20:11:41Z

<p>Koud Wind：​/* 5. 客户端使用 */</p> <hr /> <div>有时候, 我们访问受限, 无法下载到代理工具 (比如:Xray); 或不想过多的配置或下载代理客户端, 只是临时用一下代理而已, 传统的HTTP代理又不安全, 容易被识别出来, 有没有一个服务端能够支持客户端使用HTTPS代理?<br /> <br /> 有, 那就是&lt;code&gt;gost&lt;/code&gt;, 而且它的速度不比Xray的&lt;code&gt;vless+reality+xtls-rprx-vision&lt;/code&gt;的差<br /> ----<br /> <br /> === 1. 准备 ===<br /> 主要使用3.0版本&lt;syntaxhighlight&gt;<br /> wget https://github.com/go-gost/gost/releases/download/v3.2.6/gost_3.2.6_linux_amd64.tar.gz<br /> tar -xzf gost_3.2.6_linux_amd64.tar.gz<br /> mv gost /usr/local/bin/<br /> chmod u+x /usr/local/bin/gost<br /> rm gost_3.2.6_linux_amd64.tar.gz<br /> &lt;/syntaxhighlight&gt;可以自行更换版本, 也可以使用[https://github.com/go-gost/gost Github]上的安装脚本<br /> <br /> === 2. 配置service ===<br /> 新建一个&lt;code&gt;gost.service&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [Unit]<br /> Description=gost<br /> After=network.target network-online.target<br /> <br /> [Service]<br /> Type=simple<br /> StandardError=journal<br /> ExecStart=&quot;/usr/local/bin/gost&quot;<br /> ExecReload=/bin/kill -HUP $MAINPID<br /> Restart=on-failure<br /> RestartSec=1s<br /> <br /> [Install]<br /> WantedBy=multi-user.target<br /> <br /> &lt;/syntaxhighlight&gt;我们保存在&lt;code&gt;/main/gost/&lt;/code&gt;为例, 建立一个软链接以方便备份与配置&lt;syntaxhighlight&gt;<br /> ln -f /main/gost/gost.service /etc/systemd/system/<br /> &lt;/syntaxhighlight&gt;添加到开机启动中&lt;syntaxhighlight&gt;<br /> systemctl daemon-reload<br /> systemctl enable gost.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 3. 配置证书 ===<br /> 你可以选择使用自签证书或正式证书, 若'''使用正式证书且不配置代理账号密码'''会导致主机变为肉鸡, 若使用自签证书会有更好的安全性, 前提是你的自签证书没有被泄露, 这里仅展示自签证书的配置方法&lt;syntaxhighlight&gt;<br /> mkdir /main/gost/cert<br /> cd /main/gost/cert<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;server.cert.conf&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [req]<br /> default_bits = 4096<br /> default_md = sha256<br /> distinguished_name = req_distinguished_name<br /> req_extensions = req_ext<br /> x509_extensions = v3_ca<br /> prompt = no<br /> <br /> [req_distinguished_name]<br /> O = gost<br /> CN = gost cert<br /> <br /> [req_ext]<br /> subjectAltName = @alt_names<br /> <br /> [v3_ca]<br /> subjectAltName = @alt_names<br /> basicConstraints = CA:FALSE<br /> keyUsage = digitalSignature, keyEncipherment<br /> extendedKeyUsage = serverAuth, clientAuth<br /> <br /> [alt_names]<br /> DNS.1 = 你的域名<br /> DNS.2 = 你的第二个域名<br /> &lt;/syntaxhighlight&gt;需要设置好域名并进行保存<br /> <br /> 执行命令&lt;syntaxhighlight&gt;openssl genrsa -out ca.key.pem 4096<br /> openssl req -new -x509 -nodes -days 5475 -sha256 -key ca.key.pem -out ca.cert.pem -subj &quot;/O=gost/CN=gost ca&quot;<br /> <br /> openssl genrsa -out server.key.pem 4096<br /> openssl req -new -key server.key.pem -out server.csr.pem -config server.cert.conf<br /> openssl x509 -req -CA ca.cert.pem -CAkey ca.key.pem -CAcreateserial -in server.csr.pem -out server.cert.pem -days 5475 -sha256 -extfile server.cert.conf -extensions v3_ca&lt;/syntaxhighlight&gt;&lt;code&gt;ca.cert.pem&lt;/code&gt;可改为&lt;code&gt;.der&lt;/code&gt;后缀以供windows系统安装<br /> <br /> 查看证书信息&lt;syntaxhighlight&gt;openssl x509 -in ca.cert.pem -text -noout&lt;/syntaxhighlight&gt;<br /> <br /> === 4. 配置gost ===<br /> &lt;syntaxhighlight&gt;<br /> cd /main/gost<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;gost.json&lt;/code&gt;并进行配置&lt;syntaxhighlight lang=&quot;json&quot; line=&quot;1&quot;&gt;<br /> {<br /> &quot;services&quot;: [<br /> {<br /> &quot;name&quot;: &quot;https-proxy&quot;,<br /> &quot;addr&quot;: &quot;:56000&quot;,<br /> &quot;handler&quot;: {<br /> &quot;type&quot;: &quot;http&quot;,<br /> &quot;metadata&quot;: {<br /> &quot;knock&quot;: &quot;你的域名&quot;,<br /> &quot;probeResist&quot;: &quot;web:test-ipv6.com:80&quot;<br /> }<br /> },<br /> &quot;listener&quot;: {<br /> &quot;type&quot;: &quot;tls&quot;<br /> }<br /> }<br /> <br /> ],<br /> <br /> &quot;tls&quot;: {<br /> &quot;certFile&quot;: &quot;/main/gost/cert/server.cert.pem&quot;,<br /> &quot;keyFile&quot;: &quot;/main/gost/cert/server.key.pem&quot;<br /> }<br /> }<br /> &lt;/syntaxhighlight&gt;对原配置文件进行链接&lt;syntaxhighlight&gt;<br /> ln -f /main/gost/gost.json /etc/gost/<br /> &lt;/syntaxhighlight&gt;重启服务&lt;syntaxhighlight&gt;<br /> systemctl restart gost.service<br /> systemctl status gost.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 5. 客户端使用 ===<br /> 任何系统想用就必须装上'''CA证书''', 也就是上面提到的&lt;code&gt;ca.cert.pem&lt;/code&gt;<br /> <br /> '''Windows:'''<br /> <br /> [[File:如何使用gost搭建HTTPS代理-1.png|frameless|421x421px]]<br /> '''Linux:''' &lt;syntaxhighlight&gt;<br /> export https_proxy=&quot;https://你的域名:56000&quot;<br /> &lt;/syntaxhighlight&gt;</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E4%BD%BF%E7%94%A8gost%E6%90%AD%E5%BB%BAHTTPS%E4%BB%A3%E7%90%86&diff=1435 2026-02-18T20:11:20Z

<p>Koud Wind：​创建页面，内容为“有时候, 我们访问受限, 无法下载到代理工具 (比如:Xray); 或不想过多的配置或下载代理客户端, 只是临时用一下代理而已, 传统的HTTP代理又不安全, 容易被识别出来, 有没有一个服务端能够支持客户端使用HTTPS代理? 有, 那就是&lt;code&gt;gost&lt;/code&gt;, 而且它的速度不比Xray的&lt;code&gt;vless+reality+xtls-rprx-vision&lt;/code&gt;的差 ---- === 1. 准备 === 主要使用3.0版本&lt;syntaxhighlight&gt; wget htt…”</p> <hr /> <div>有时候, 我们访问受限, 无法下载到代理工具 (比如:Xray); 或不想过多的配置或下载代理客户端, 只是临时用一下代理而已, 传统的HTTP代理又不安全, 容易被识别出来, 有没有一个服务端能够支持客户端使用HTTPS代理?<br /> <br /> 有, 那就是&lt;code&gt;gost&lt;/code&gt;, 而且它的速度不比Xray的&lt;code&gt;vless+reality+xtls-rprx-vision&lt;/code&gt;的差<br /> ----<br /> <br /> === 1. 准备 ===<br /> 主要使用3.0版本&lt;syntaxhighlight&gt;<br /> wget https://github.com/go-gost/gost/releases/download/v3.2.6/gost_3.2.6_linux_amd64.tar.gz<br /> tar -xzf gost_3.2.6_linux_amd64.tar.gz<br /> mv gost /usr/local/bin/<br /> chmod u+x /usr/local/bin/gost<br /> rm gost_3.2.6_linux_amd64.tar.gz<br /> &lt;/syntaxhighlight&gt;可以自行更换版本, 也可以使用[https://github.com/go-gost/gost Github]上的安装脚本<br /> <br /> === 2. 配置service ===<br /> 新建一个&lt;code&gt;gost.service&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [Unit]<br /> Description=gost<br /> After=network.target network-online.target<br /> <br /> [Service]<br /> Type=simple<br /> StandardError=journal<br /> ExecStart=&quot;/usr/local/bin/gost&quot;<br /> ExecReload=/bin/kill -HUP $MAINPID<br /> Restart=on-failure<br /> RestartSec=1s<br /> <br /> [Install]<br /> WantedBy=multi-user.target<br /> <br /> &lt;/syntaxhighlight&gt;我们保存在&lt;code&gt;/main/gost/&lt;/code&gt;为例, 建立一个软链接以方便备份与配置&lt;syntaxhighlight&gt;<br /> ln -f /main/gost/gost.service /etc/systemd/system/<br /> &lt;/syntaxhighlight&gt;添加到开机启动中&lt;syntaxhighlight&gt;<br /> systemctl daemon-reload<br /> systemctl enable gost.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 3. 配置证书 ===<br /> 你可以选择使用自签证书或正式证书, 若'''使用正式证书且不配置代理账号密码'''会导致主机变为肉鸡, 若使用自签证书会有更好的安全性, 前提是你的自签证书没有被泄露, 这里仅展示自签证书的配置方法&lt;syntaxhighlight&gt;<br /> mkdir /main/gost/cert<br /> cd /main/gost/cert<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;server.cert.conf&lt;/code&gt;并进行配置&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> [req]<br /> default_bits = 4096<br /> default_md = sha256<br /> distinguished_name = req_distinguished_name<br /> req_extensions = req_ext<br /> x509_extensions = v3_ca<br /> prompt = no<br /> <br /> [req_distinguished_name]<br /> O = gost<br /> CN = gost cert<br /> <br /> [req_ext]<br /> subjectAltName = @alt_names<br /> <br /> [v3_ca]<br /> subjectAltName = @alt_names<br /> basicConstraints = CA:FALSE<br /> keyUsage = digitalSignature, keyEncipherment<br /> extendedKeyUsage = serverAuth, clientAuth<br /> <br /> [alt_names]<br /> DNS.1 = 你的域名<br /> DNS.2 = 你的第二个域名<br /> &lt;/syntaxhighlight&gt;需要设置好域名并进行保存<br /> <br /> 执行命令&lt;syntaxhighlight&gt;openssl genrsa -out ca.key.pem 4096<br /> openssl req -new -x509 -nodes -days 5475 -sha256 -key ca.key.pem -out ca.cert.pem -subj &quot;/O=gost/CN=gost ca&quot;<br /> <br /> openssl genrsa -out server.key.pem 4096<br /> openssl req -new -key server.key.pem -out server.csr.pem -config server.cert.conf<br /> openssl x509 -req -CA ca.cert.pem -CAkey ca.key.pem -CAcreateserial -in server.csr.pem -out server.cert.pem -days 5475 -sha256 -extfile server.cert.conf -extensions v3_ca&lt;/syntaxhighlight&gt;&lt;code&gt;ca.cert.pem&lt;/code&gt;可改为&lt;code&gt;.der&lt;/code&gt;后缀以供windows系统安装<br /> <br /> 查看证书信息&lt;syntaxhighlight&gt;openssl x509 -in ca.cert.pem -text -noout&lt;/syntaxhighlight&gt;<br /> <br /> === 4. 配置gost ===<br /> &lt;syntaxhighlight&gt;<br /> cd /main/gost<br /> &lt;/syntaxhighlight&gt;新建一个&lt;code&gt;gost.json&lt;/code&gt;并进行配置&lt;syntaxhighlight lang=&quot;json&quot; line=&quot;1&quot;&gt;<br /> {<br /> &quot;services&quot;: [<br /> {<br /> &quot;name&quot;: &quot;https-proxy&quot;,<br /> &quot;addr&quot;: &quot;:56000&quot;,<br /> &quot;handler&quot;: {<br /> &quot;type&quot;: &quot;http&quot;,<br /> &quot;metadata&quot;: {<br /> &quot;knock&quot;: &quot;你的域名&quot;,<br /> &quot;probeResist&quot;: &quot;web:test-ipv6.com:80&quot;<br /> }<br /> },<br /> &quot;listener&quot;: {<br /> &quot;type&quot;: &quot;tls&quot;<br /> }<br /> }<br /> <br /> ],<br /> <br /> &quot;tls&quot;: {<br /> &quot;certFile&quot;: &quot;/main/gost/cert/server.cert.pem&quot;,<br /> &quot;keyFile&quot;: &quot;/main/gost/cert/server.key.pem&quot;<br /> }<br /> }<br /> &lt;/syntaxhighlight&gt;对原配置文件进行链接&lt;syntaxhighlight&gt;<br /> ln -f /main/gost/gost.json /etc/gost/<br /> &lt;/syntaxhighlight&gt;重启服务&lt;syntaxhighlight&gt;<br /> systemctl restart gost.service<br /> systemctl status gost.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> === 5. 客户端使用 ===<br /> 任何系统想用就必须装上'''CA证书''', 也就是上面提到的&lt;code&gt;ca.cert.pem&lt;/code&gt;<br /> <br /> '''Windows:'''<br /> [[File:如何使用gost搭建HTTPS代理-1.png|frameless|421x421px]]<br /> '''Linux:''' &lt;syntaxhighlight&gt;<br /> export https_proxy=&quot;https://你的域名:56000&quot;<br /> &lt;/syntaxhighlight&gt;</div>

Koud Wind https://md5.pw/index.php?title=File:%E5%A6%82%E4%BD%95%E4%BD%BF%E7%94%A8gost%E6%90%AD%E5%BB%BAHTTPS%E4%BB%A3%E7%90%86-1.png&diff=1434 2026-02-18T20:08:14Z

<p>Koud Wind：​</p> <hr /> <div>1</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E4%BD%BF%E7%94%A8IPv6/64%E6%AE%B5%E5%86%85%E4%BB%BB%E6%84%8F%E4%B8%80%E4%B8%AAIPv6%E5%9C%B0%E5%9D%80%E8%80%8C%E9%9D%9E%E9%BB%98%E8%AE%A4%E5%9C%B0%E5%9D%80&diff=1428 2026-02-18T15:59:24Z

<p>Koud Wind：​</p> <hr /> <div>== 概述 ==<br /> 本教程介绍如何在搬瓦工的 Linux 系统中通过配置虚拟网卡（v4tunnel），从分配的 IPv6 /64 段中自由指定并使用任意一个 IPv6 地址。<br /> <br /> == 操作步骤 ==<br /> <br /> === 1. 清理现有网络设备 ===<br /> 在开始配置前，先尝试关闭并删除可能冲突的旧设备：&lt;syntaxhighlight&gt;ifdown ipv6net 2&gt;/dev/null<br /> ip link delete ipv6net 2&gt;/dev/null&lt;/syntaxhighlight&gt;<br /> <br /> === 2. 修改网络配置文件 ===<br /> 编辑网络配置文件 &lt;code&gt;/etc/network/interfaces&lt;/code&gt;，添加以下配置段。&lt;syntaxhighlight&gt;<br /> nano /etc/network/interfaces<br /> &lt;/syntaxhighlight&gt;&lt;syntaxhighlight&gt;auto ipv6net<br /> iface ipv6net inet6 v4tunnel<br /> #输入你要指定的IPv6地址<br /> address 2607:8700:5501:xxxx:xxxx:xxxx:xxxx:xxxx<br /> netmask 64<br /> endpoint 207.246.106.118<br /> #输入IPv4地址<br /> local xxx.xxx.xxx.xxx<br /> ttl 255<br /> gateway 2607:8700:5501:xxxx::1<br /> mtu 1480&lt;/syntaxhighlight&gt;<br /> <br /> === 3. 启用并验证 ===<br /> 执行以下命令启用网卡并检查状态：&lt;syntaxhighlight&gt;# 启动接口<br /> ifup ipv6net<br /> <br /> # 查看接口状态<br /> ip link show ipv6net<br /> <br /> # 验证 IPv6<br /> curl -6 ifconfig.me&lt;/syntaxhighlight&gt;<br /> <br /> === 4. 关闭IPv6地址自动配置 ===<br /> &lt;syntaxhighlight&gt;<br /> systemctl stop ipv6net.service <br /> systemctl disable ipv6net.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == 注意事项 ==<br /> VPS在进行迁移或快照恢复的时候, 会重置&lt;code&gt;ipv6net&lt;/code&gt;, 需要重新按照此教程进行配置</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E4%BD%BF%E7%94%A8IPv6/64%E6%AE%B5%E5%86%85%E4%BB%BB%E6%84%8F%E4%B8%80%E4%B8%AAIPv6%E5%9C%B0%E5%9D%80%E8%80%8C%E9%9D%9E%E9%BB%98%E8%AE%A4%E5%9C%B0%E5%9D%80&diff=1427 2026-02-18T15:57:46Z

<p>Koud Wind：​</p> <hr /> <div>== 概述 ==<br /> 本教程介绍如何在搬瓦工的 Linux 系统中通过配置虚拟网卡（v4tunnel），从分配的 IPv6 /64 段中自由指定并使用任意一个 IPv6 地址。<br /> <br /> == 操作步骤 ==<br /> <br /> === 1. 清理现有网络设备 ===<br /> 在开始配置前，先尝试关闭并删除可能冲突的旧设备：&lt;syntaxhighlight&gt;ifdown ipv6net 2&gt;/dev/null<br /> ip link delete ipv6net 2&gt;/dev/null&lt;/syntaxhighlight&gt;<br /> <br /> === 2. 修改网络配置文件 ===<br /> 编辑网络配置文件 &lt;code&gt;/etc/network/interfaces&lt;/code&gt;，添加以下配置段。&lt;syntaxhighlight&gt;<br /> nano /etc/network/interfaces<br /> &lt;/syntaxhighlight&gt;&lt;syntaxhighlight&gt;auto ipv6net<br /> iface ipv6net inet6 v4tunnel<br /> #输入你要指定的IPv6地址<br /> address 2607:8700:5501:xxxx:xxxx:xxxx:xxxx:xxxx<br /> netmask 64<br /> endpoint 207.246.106.118<br /> #输入IPv4地址<br /> local xxx.xxx.xxx.xxx<br /> ttl 255<br /> gateway 2607:8700:5501:xxxx::1<br /> mtu 1480&lt;/syntaxhighlight&gt;<br /> <br /> === 3. 启用并验证 ===<br /> 执行以下命令启用网卡并检查状态：&lt;syntaxhighlight&gt;# 启动接口<br /> ifup ipv6net<br /> <br /> # 查看接口状态<br /> ip link show ipv6net<br /> <br /> # 验证 IPv6<br /> curl -6 ifconfig.me&lt;/syntaxhighlight&gt;<br /> <br /> === 4. 关闭IPv6地址自动配置 ===<br /> &lt;syntaxhighlight&gt;<br /> systemctl stop ipv6net.service <br /> systemctl disable ipv6net.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == 注意事项 ==<br /> VPS在进行迁移或快照恢复的时候, 会重置&lt;code&gt;ipv6net&lt;/code&gt;, 需要重新按照此教程进行配置<br /> <br /> Category: [[300 VPS 设置与管理 — VPS Setup and Management]]</div>

Koud Wind https://md5.pw/index.php?title=%E5%A6%82%E4%BD%95%E4%BD%BF%E7%94%A8IPv6/64%E6%AE%B5%E5%86%85%E4%BB%BB%E6%84%8F%E4%B8%80%E4%B8%AAIPv6%E5%9C%B0%E5%9D%80%E8%80%8C%E9%9D%9E%E9%BB%98%E8%AE%A4%E5%9C%B0%E5%9D%80&diff=1426 2026-02-18T15:53:18Z

<p>Koud Wind：​修正与补充</p> <hr /> <div>== 概述 ==<br /> 本教程介绍如何在搬瓦工的 Linux 系统中通过配置虚拟网卡（v4tunnel），从分配的 IPv6 /64 段中自由指定并使用任意一个 IPv6 地址。<br /> <br /> == 操作步骤 ==<br /> <br /> === 1. 清理现有网络设备 ===<br /> 在开始配置前，先尝试关闭并删除可能冲突的旧设备：&lt;syntaxhighlight&gt;ifdown ipv6net 2&gt;/dev/null<br /> ip link delete ipv6net 2&gt;/dev/null&lt;/syntaxhighlight&gt;<br /> <br /> === 2. 修改网络配置文件 ===<br /> 编辑网络配置文件 &lt;code&gt;/etc/network/interfaces&lt;/code&gt;，添加以下配置段。&lt;syntaxhighlight&gt;<br /> nano /etc/network/interfaces<br /> &lt;/syntaxhighlight&gt;&lt;syntaxhighlight&gt;auto ipv6net<br /> iface ipv6net inet6 v4tunnel<br /> #输入你要指定的IPv6地址<br /> address 2607:8700:5501:xxxx:xxxx:xxxx:xxxx:xxxx<br /> netmask 64<br /> endpoint 207.246.106.118<br /> #输入IPv4地址<br /> local xxx.xxx.xxx.xxx<br /> ttl 255<br /> gateway 2607:8700:5501:xxxx::1<br /> mtu 1480&lt;/syntaxhighlight&gt;<br /> <br /> === 3. 启用并验证 ===<br /> 执行以下命令启用网卡并检查状态：&lt;syntaxhighlight&gt;# 启动接口<br /> ifup ipv6net<br /> <br /> # 查看接口状态<br /> ip link show ipv6net<br /> <br /> # 验证 IPv6<br /> curl -6 ifconfig.me&lt;/syntaxhighlight&gt;<br /> <br /> === 4. 关闭IPv6地址自动配置 ===<br /> &lt;syntaxhighlight&gt;<br /> systemctl stop ipv6net.service <br /> systemctl disable ipv6net.service<br /> &lt;/syntaxhighlight&gt;<br /> <br /> == 注意事项 ==<br /> VPS在进行迁移或快照恢复的时候, 会重置&lt;code&gt;ipv6net&lt;/code&gt;, 需要重新按照此教程进行配置<br /> [[index.php?title=Category:300 VPS 设置与管理 — VPS Setup and Management]]</div>

Koud Wind https://md5.pw/index.php?title=%E6%9F%A5%E7%9C%8BXray%E4%B8%AD%E5%90%84%E7%94%A8%E6%88%B7%E6%B5%81%E9%87%8F%E4%BD%BF%E7%94%A8%E6%83%85%E5%86%B5%E7%9A%84%E8%84%9A%E6%9C%AC&diff=1425 2026-02-18T15:27:45Z

<p>Koud Wind：​</p> <hr /> <div>== 预览 ==<br /> ----[[File:查看Xray中各用户流量使用情况的脚本-预览1.png|alt=|frameless|1104x1104px]]<br /> ----<br /> <br /> == 要求 ==<br /> Xray中需要配置, 分别开启 [https://xtls.github.io/config/stats.html 统计] / [https://xtls.github.io/config/api.html API] / [https://xtls.github.io/config/policy.html 本地策略], 且[https://xtls.github.io/config/inbounds/vless.html 用户]设置了&lt;code&gt;email&lt;/code&gt;与&lt;code&gt;level&lt;/code&gt;<br /> <br /> '''配置参考:''' &lt;syntaxhighlight lang=&quot;json&quot;&gt;<br /> {<br /> &quot;stats&quot;: {},<br /> <br /> &quot;api&quot;: {<br /> &quot;tag&quot;: &quot;API&quot;,<br /> &quot;listen&quot;: &quot;127.0.0.1:8080&quot;,<br /> &quot;services&quot;: [<br /> &quot;LoggerService&quot;,<br /> &quot;StatsService&quot;<br /> ]<br /> },<br /> <br /> &quot;policy&quot;: {<br /> &quot;levels&quot;: {<br /> &quot;0&quot;: {<br /> &quot;handshake&quot;: 5,<br /> &quot;connIdle&quot;: 600,<br /> &quot;statsUserUplink&quot;: true,<br /> &quot;statsUserDownlink&quot;: true,<br /> &quot;statsUserOnline&quot;: true<br /> }<br /> },<br /> &quot;system&quot;: {<br /> &quot;statsInboundUplink&quot;: true,<br /> &quot;statsInboundDownlink&quot;: true<br /> }<br /> }<br /> }<br /> &lt;/syntaxhighlight&gt;'''用户配置参考:'''&lt;syntaxhighlight lang=&quot;json&quot;&gt;<br /> {<br /> &quot;id&quot;: &quot;UserId123456&quot;,<br /> &quot;email&quot;: &quot;易于标识的名称&quot;,<br /> &quot;level&quot;: 0<br /> }<br /> &lt;/syntaxhighlight&gt;<br /> ----<br /> <br /> == 内容 ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> #!/usr/bin/env bash<br /> set -euo pipefail<br /> <br /> XRAY_BIN=&quot;${XRAY_BIN:-xray}&quot;<br /> # 自行修改 Xray API 地址<br /> SERVER=&quot;${1:-127.0.0.1:8080}&quot;<br /> <br /> declare -A IN_UP IN_DOWN IN_TOTAL<br /> declare -A U_UP U_DOWN U_TOTAL<br /> declare -A USERSET<br /> <br /> bytes_to_gb() {<br /> local b=&quot;${1-}&quot;<br /> if [[ -z &quot;${b}&quot; ]]; then<br /> echo &quot;null&quot;<br /> return 0<br /> fi<br /> awk -v b=&quot;${b}&quot; 'BEGIN{printf &quot;%.3f&quot;, b/1024/1024/1024}'<br /> }<br /> <br /> normalize_stats_objects() {<br /> tr -d '\n\r\t ' \<br /> | grep -oE '\{&quot;name&quot;:&quot;[^&quot;]+&quot;,&quot;value&quot;:[0-9]+\}'<br /> }<br /> <br /> extract_field() {<br /> local obj=&quot;$1&quot;<br /> local key=&quot;$2&quot;<br /> echo &quot;$obj&quot; | sed -nE &quot;s/.*\&quot;${key}\&quot;:\&quot;?([^\&quot;,}]*)\&quot;?.*/\1/p&quot;<br /> }<br /> <br /> accumulate_stats() {<br /> local stats_json=&quot;$1&quot;<br /> local line name value kind tag dir email<br /> <br /> while IFS= read -r line; do<br /> [[ -z &quot;$line&quot; ]] &amp;&amp; continue<br /> <br /> name=&quot;$(extract_field &quot;$line&quot; &quot;name&quot;)&quot;<br /> [[ -z &quot;$name&quot; ]] &amp;&amp; continue<br /> <br /> value=&quot;$(echo &quot;$line&quot; | sed -nE 's/.*&quot;value&quot;:([0-9]+).*/\1/p')&quot;<br /> value=&quot;${value:-0}&quot;<br /> <br /> kind=&quot;$(awk -F'&gt;&gt;&gt;' '{print $1}' &lt;&lt;&lt;&quot;$name&quot;)&quot;<br /> <br /> if [[ &quot;$kind&quot; == &quot;inbound&quot; ]]; then<br /> tag=&quot;$(awk -F'&gt;&gt;&gt;' '{print $2}' &lt;&lt;&lt;&quot;$name&quot;)&quot;<br /> dir=&quot;$(awk -F'&gt;&gt;&gt;' '{print $4}' &lt;&lt;&lt;&quot;$name&quot;)&quot;<br /> <br /> if [[ &quot;$dir&quot; == &quot;uplink&quot; ]]; then<br /> IN_UP[&quot;$tag&quot;]=$(( ${IN_UP[&quot;$tag&quot;]:-0} + value ))<br /> elif [[ &quot;$dir&quot; == &quot;downlink&quot; ]]; then<br /> IN_DOWN[&quot;$tag&quot;]=$(( ${IN_DOWN[&quot;$tag&quot;]:-0} + value ))<br /> fi<br /> IN_TOTAL[&quot;$tag&quot;]=$(( ${IN_TOTAL[&quot;$tag&quot;]:-0} + value ))<br /> <br /> elif [[ &quot;$kind&quot; == &quot;user&quot; ]]; then<br /> email=&quot;$(awk -F'&gt;&gt;&gt;' '{print $2}' &lt;&lt;&lt;&quot;$name&quot;)&quot;<br /> dir=&quot;$(awk -F'&gt;&gt;&gt;' '{print $4}' &lt;&lt;&lt;&quot;$name&quot;)&quot;<br /> <br /> USERSET[&quot;$email&quot;]=1<br /> <br /> if [[ &quot;$dir&quot; == &quot;uplink&quot; ]]; then<br /> U_UP[&quot;$email&quot;]=$(( ${U_UP[&quot;$email&quot;]:-0} + value ))<br /> elif [[ &quot;$dir&quot; == &quot;downlink&quot; ]]; then<br /> U_DOWN[&quot;$email&quot;]=$(( ${U_DOWN[&quot;$email&quot;]:-0} + value ))<br /> fi<br /> U_TOTAL[&quot;$email&quot;]=$(( ${U_TOTAL[&quot;$email&quot;]:-0} + value ))<br /> fi<br /> done &lt; &lt;(echo &quot;$stats_json&quot; | normalize_stats_objects)<br /> }<br /> <br /> query_online_ips() {<br /> local email=&quot;$1&quot;<br /> local out pairs status<br /> <br /> out=&quot;$(&quot;$XRAY_BIN&quot; api statsonlineiplist -s=&quot;$SERVER&quot; -email &quot;$email&quot; 2&gt;/dev/null || true)&quot;<br /> <br /> pairs=&quot;$(echo &quot;$out&quot; | tr -d '\n\r\t ' \<br /> | grep -oE '&quot;([0-9]{1,3}\.){3}[0-9]{1,3}&quot;:[0-9]+' \<br /> | sed -E 's/&quot;//g' \<br /> | awk -F: '{<br /> ip=$1<br /> ts=$2<br /> cmd=&quot;TZ=Asia/Shanghai date -d @&quot;ts&quot; \&quot;+%Y-%m-%d %H:%M:%S\&quot;&quot;<br /> cmd | getline t<br /> close(cmd)<br /> printf &quot;%s(%s) &quot;, ip, t<br /> }' \<br /> | sed -E 's/[[:space:]]+$//')&quot;<br /> <br /> if [[ -n &quot;$pairs&quot; ]]; then<br /> status=&quot;ONLINE&quot;<br /> echo &quot;$status&quot;<br /> echo &quot;$pairs&quot;<br /> else<br /> echo &quot;OFFLINE&quot;<br /> echo &quot;-&quot;<br /> fi<br /> }<br /> <br /> main() {<br /> local stats_json<br /> stats_json=&quot;$(&quot;$XRAY_BIN&quot; api statsquery --server=&quot;$SERVER&quot; 2&gt;/dev/null || true)&quot;<br /> #echo &quot;$stats_json&quot;<br /> <br /> if [[ -z &quot;$stats_json&quot; ]]; then<br /> echo &quot;Server: $SERVER&quot;<br /> echo &quot;Unit: GB, bytes divided by 1024^3&quot;<br /> echo<br /> echo &quot;Inbound traffic&quot;<br /> printf &quot;%-22s %14s %14s %14s\n&quot; &quot;tag&quot; &quot;uplink_GB&quot; &quot;downlink_GB&quot; &quot;total_GB&quot;<br /> echo<br /> echo &quot;User traffic and online status&quot;<br /> printf &quot;%-24s %14s %14s %14s %8s %s\n&quot; &quot;email&quot; &quot;uplink_GB&quot; &quot;downlink_GB&quot; &quot;total_GB&quot; &quot;status&quot; &quot;ips&quot;<br /> exit 0<br /> fi<br /> <br /> accumulate_stats &quot;$stats_json&quot;<br /> <br /> echo &quot;Server: $SERVER&quot;<br /> echo &quot;Unit: GB, bytes divided by 1024^3&quot;<br /> echo<br /> <br /> echo &quot;Inbound traffic&quot;<br /> printf &quot;%-22s %14s %14s %14s\n&quot; &quot;tag&quot; &quot;uplink_GB&quot; &quot;downlink_GB&quot; &quot;total_GB&quot;<br /> <br /> {<br /> for tag in &quot;${!IN_TOTAL[@]}&quot;; do<br /> echo &quot;$tag&quot;<br /> done<br /> } | sort | while IFS= read -r tag; do<br /> local up down total up_s down_s total_s<br /> <br /> if [[ -v IN_UP[&quot;$tag&quot;] ]]; then up=&quot;${IN_UP[&quot;$tag&quot;]}&quot;; else up=&quot;&quot;; fi<br /> if [[ -v IN_DOWN[&quot;$tag&quot;] ]]; then down=&quot;${IN_DOWN[&quot;$tag&quot;]}&quot;; else down=&quot;&quot;; fi<br /> if [[ -v IN_TOTAL[&quot;$tag&quot;] ]]; then total=&quot;${IN_TOTAL[&quot;$tag&quot;]}&quot;; else total=&quot;&quot;; fi<br /> <br /> up_s=&quot;$(bytes_to_gb &quot;$up&quot;)&quot;<br /> down_s=&quot;$(bytes_to_gb &quot;$down&quot;)&quot;<br /> total_s=&quot;$(bytes_to_gb &quot;$total&quot;)&quot;<br /> <br /> printf &quot;%-22s %14s %14s %14s\n&quot; &quot;$tag&quot; &quot;$up_s&quot; &quot;$down_s&quot; &quot;$total_s&quot;<br /> done<br /> <br /> echo<br /> echo &quot;User traffic and online status&quot;<br /> printf &quot;%-24s %14s %14s %14s %8s %s\n&quot; &quot;email&quot; &quot;uplink_GB&quot; &quot;downlink_GB&quot; &quot;total_GB&quot; &quot;status&quot; &quot;ips&quot;<br /> <br /> {<br /> for email in &quot;${!USERSET[@]}&quot;; do<br /> echo &quot;$email&quot;<br /> done<br /> } | sort | while IFS= read -r email; do<br /> local up down total up_s down_s total_s status ips<br /> local qout<br /> <br /> if [[ -v U_UP[&quot;$email&quot;] ]]; then up=&quot;${U_UP[&quot;$email&quot;]}&quot;; else up=&quot;&quot;; fi<br /> if [[ -v U_DOWN[&quot;$email&quot;] ]]; then down=&quot;${U_DOWN[&quot;$email&quot;]}&quot;; else down=&quot;&quot;; fi<br /> if [[ -v U_TOTAL[&quot;$email&quot;] ]]; then total=&quot;${U_TOTAL[&quot;$email&quot;]}&quot;; else total=&quot;&quot;; fi<br /> <br /> up_s=&quot;$(bytes_to_gb &quot;$up&quot;)&quot;<br /> down_s=&quot;$(bytes_to_gb &quot;$down&quot;)&quot;<br /> total_s=&quot;$(bytes_to_gb &quot;$total&quot;)&quot;<br /> <br /> qout=&quot;$(query_online_ips &quot;$email&quot;)&quot;<br /> status=&quot;$(sed -n '1p' &lt;&lt;&lt;&quot;$qout&quot;)&quot;<br /> ips=&quot;$(sed -n '2p' &lt;&lt;&lt;&quot;$qout&quot;)&quot;<br /> <br /> printf &quot;%-24s %14s %14s %14s %8s %s\n&quot; \<br /> &quot;$email&quot; &quot;$up_s&quot; &quot;$down_s&quot; &quot;$total_s&quot; &quot;$status&quot; &quot;$ips&quot;<br /> done<br /> }<br /> <br /> main &quot;$@&quot;<br /> &lt;/syntaxhighlight&gt;'''推荐配置定时任务:'''&lt;syntaxhighlight line=&quot;1&quot;&gt;<br /> TZ=Asia/Shanghai<br /> # 每月8号早上7点重置统计信息<br /> 0 7 8 * * /usr/local/bin/xray api statsquery -s=127.0.0.1:8080 -reset=true &gt;/dev/null 2&gt;&amp;1<br /> # 每天早上7点重启日志记录器<br /> 0 7 * * * /usr/local/bin/xray api restartlogger -s=127.0.0.1:8080<br /> &lt;/syntaxhighlight&gt;</div>

Koud Wind https://md5.pw/index.php?title=%E6%9F%A5%E7%9C%8BXray%E4%B8%AD%E5%90%84%E7%94%A8%E6%88%B7%E6%B5%81%E9%87%8F%E4%BD%BF%E7%94%A8%E6%83%85%E5%86%B5%E7%9A%84%E8%84%9A%E6%9C%AC&diff=1424 2026-02-18T15:18:33Z

<p>Koud Wind：​创建页面，内容为“== 预览 == ----1104x1104px ---- == 要求 == Xray中需要配置, 分别开启 [https://xtls.github.io/config/stats.html 统计] / [https://xtls.github.io/config/api.html API] / [https://xtls.github.io/config/policy.html 本地策略], 且[https://xtls.github.io/config/inbounds/vless.html 用户]设置了&lt;code&gt;email&lt;/code&gt;与&lt;code&gt;level&lt;/code&gt; &#039;&#039;&#039;配置参考:&#039;&#039;&#039; &lt;syntaxhi…”</p> <hr /> <div>== 预览 ==<br /> ----[[File:查看Xray中各用户流量使用情况的脚本-预览1.png|alt=|frameless|1104x1104px]]<br /> ----<br /> <br /> == 要求 ==<br /> Xray中需要配置, 分别开启 [https://xtls.github.io/config/stats.html 统计] / [https://xtls.github.io/config/api.html API] / [https://xtls.github.io/config/policy.html 本地策略], 且[https://xtls.github.io/config/inbounds/vless.html 用户]设置了&lt;code&gt;email&lt;/code&gt;与&lt;code&gt;level&lt;/code&gt;<br /> <br /> '''配置参考:''' &lt;syntaxhighlight lang=&quot;json&quot;&gt;<br /> {<br /> &quot;stats&quot;: {},<br /> <br /> &quot;api&quot;: {<br /> &quot;tag&quot;: &quot;API&quot;,<br /> &quot;listen&quot;: &quot;127.0.0.1:8080&quot;,<br /> &quot;services&quot;: [<br /> &quot;LoggerService&quot;,<br /> &quot;StatsService&quot;<br /> ]<br /> },<br /> <br /> &quot;policy&quot;: {<br /> &quot;levels&quot;: {<br /> &quot;0&quot;: {<br /> &quot;handshake&quot;: 5,<br /> &quot;connIdle&quot;: 600,<br /> &quot;statsUserUplink&quot;: true,<br /> &quot;statsUserDownlink&quot;: true,<br /> &quot;statsUserOnline&quot;: true<br /> }<br /> },<br /> &quot;system&quot;: {<br /> &quot;statsInboundUplink&quot;: true,<br /> &quot;statsInboundDownlink&quot;: true<br /> }<br /> }<br /> }<br /> &lt;/syntaxhighlight&gt;'''用户配置参考:'''&lt;syntaxhighlight lang=&quot;json&quot;&gt;<br /> {<br /> &quot;id&quot;: &quot;UserId123456&quot;,<br /> &quot;email&quot;: &quot;易于标识的名称&quot;,<br /> &quot;level&quot;: 0<br /> }<br /> &lt;/syntaxhighlight&gt;<br /> ----<br /> <br /> == 内容 ==<br /> &lt;syntaxhighlight lang=&quot;bash&quot;&gt;<br /> #!/usr/bin/env bash<br /> set -euo pipefail<br /> <br /> XRAY_BIN=&quot;${XRAY_BIN:-xray}&quot;<br /> # 自行修改 Xray API 地址<br /> SERVER=&quot;${1:-127.0.0.1:8080}&quot;<br /> <br /> declare -A IN_UP IN_DOWN IN_TOTAL<br /> declare -A U_UP U_DOWN U_TOTAL<br /> declare -A USERSET<br /> <br /> bytes_to_gb() {<br /> local b=&quot;${1-}&quot;<br /> if [[ -z &quot;${b}&quot; ]]; then<br /> echo &quot;null&quot;<br /> return 0<br /> fi<br /> awk -v b=&quot;${b}&quot; 'BEGIN{printf &quot;%.3f&quot;, b/1024/1024/1024}'<br /> }<br /> <br /> normalize_stats_objects() {<br /> tr -d '\n\r\t ' \<br /> | grep -oE '\{&quot;name&quot;:&quot;[^&quot;]+&quot;,&quot;value&quot;:[0-9]+\}'<br /> }<br /> <br /> extract_field() {<br /> local obj=&quot;$1&quot;<br /> local key=&quot;$2&quot;<br /> echo &quot;$obj&quot; | sed -nE &quot;s/.*\&quot;${key}\&quot;:\&quot;?([^\&quot;,}]*)\&quot;?.*/\1/p&quot;<br /> }<br /> <br /> accumulate_stats() {<br /> local stats_json=&quot;$1&quot;<br /> local line name value kind tag dir email<br /> <br /> while IFS= read -r line; do<br /> [[ -z &quot;$line&quot; ]] &amp;&amp; continue<br /> <br /> name=&quot;$(extract_field &quot;$line&quot; &quot;name&quot;)&quot;<br /> [[ -z &quot;$name&quot; ]] &amp;&amp; continue<br /> <br /> value=&quot;$(echo &quot;$line&quot; | sed -nE 's/.*&quot;value&quot;:([0-9]+).*/\1/p')&quot;<br /> value=&quot;${value:-0}&quot;<br /> <br /> kind=&quot;$(awk -F'&gt;&gt;&gt;' '{print $1}' &lt;&lt;&lt;&quot;$name&quot;)&quot;<br /> <br /> if [[ &quot;$kind&quot; == &quot;inbound&quot; ]]; then<br /> tag=&quot;$(awk -F'&gt;&gt;&gt;' '{print $2}' &lt;&lt;&lt;&quot;$name&quot;)&quot;<br /> dir=&quot;$(awk -F'&gt;&gt;&gt;' '{print $4}' &lt;&lt;&lt;&quot;$name&quot;)&quot;<br /> <br /> if [[ &quot;$dir&quot; == &quot;uplink&quot; ]]; then<br /> IN_UP[&quot;$tag&quot;]=$(( ${IN_UP[&quot;$tag&quot;]:-0} + value ))<br /> elif [[ &quot;$dir&quot; == &quot;downlink&quot; ]]; then<br /> IN_DOWN[&quot;$tag&quot;]=$(( ${IN_DOWN[&quot;$tag&quot;]:-0} + value ))<br /> fi<br /> IN_TOTAL[&quot;$tag&quot;]=$(( ${IN_TOTAL[&quot;$tag&quot;]:-0} + value ))<br /> <br /> elif [[ &quot;$kind&quot; == &quot;user&quot; ]]; then<br /> email=&quot;$(awk -F'&gt;&gt;&gt;' '{print $2}' &lt;&lt;&lt;&quot;$name&quot;)&quot;<br /> dir=&quot;$(awk -F'&gt;&gt;&gt;' '{print $4}' &lt;&lt;&lt;&quot;$name&quot;)&quot;<br /> <br /> USERSET[&quot;$email&quot;]=1<br /> <br /> if [[ &quot;$dir&quot; == &quot;uplink&quot; ]]; then<br /> U_UP[&quot;$email&quot;]=$(( ${U_UP[&quot;$email&quot;]:-0} + value ))<br /> elif [[ &quot;$dir&quot; == &quot;downlink&quot; ]]; then<br /> U_DOWN[&quot;$email&quot;]=$(( ${U_DOWN[&quot;$email&quot;]:-0} + value ))<br /> fi<br /> U_TOTAL[&quot;$email&quot;]=$(( ${U_TOTAL[&quot;$email&quot;]:-0} + value ))<br /> fi<br /> done &lt; &lt;(echo &quot;$stats_json&quot; | normalize_stats_objects)<br /> }<br /> <br /> query_online_ips() {<br /> local email=&quot;$1&quot;<br /> local out pairs status<br /> <br /> out=&quot;$(&quot;$XRAY_BIN&quot; api statsonlineiplist -s=&quot;$SERVER&quot; -email &quot;$email&quot; 2&gt;/dev/null || true)&quot;<br /> <br /> pairs=&quot;$(echo &quot;$out&quot; | tr -d '\n\r\t ' \<br /> | grep -oE '&quot;([0-9]{1,3}\.){3}[0-9]{1,3}&quot;:[0-9]+' \<br /> | sed -E 's/&quot;//g' \<br /> | awk -F: '{<br /> ip=$1<br /> ts=$2<br /> cmd=&quot;TZ=Asia/Shanghai date -d @&quot;ts&quot; \&quot;+%Y-%m-%d %H:%M:%S\&quot;&quot;<br /> cmd | getline t<br /> close(cmd)<br /> printf &quot;%s(%s) &quot;, ip, t<br /> }' \<br /> | sed -E 's/[[:space:]]+$//')&quot;<br /> <br /> if [[ -n &quot;$pairs&quot; ]]; then<br /> status=&quot;ONLINE&quot;<br /> echo &quot;$status&quot;<br /> echo &quot;$pairs&quot;<br /> else<br /> echo &quot;OFFLINE&quot;<br /> echo &quot;-&quot;<br /> fi<br /> }<br /> <br /> main() {<br /> local stats_json<br /> stats_json=&quot;$(&quot;$XRAY_BIN&quot; api statsquery --server=&quot;$SERVER&quot; 2&gt;/dev/null || true)&quot;<br /> #echo &quot;$stats_json&quot;<br /> <br /> if [[ -z &quot;$stats_json&quot; ]]; then<br /> echo &quot;Server: $SERVER&quot;<br /> echo &quot;Unit: GB, bytes divided by 1024^3&quot;<br /> echo<br /> echo &quot;Inbound traffic&quot;<br /> printf &quot;%-22s %14s %14s %14s\n&quot; &quot;tag&quot; &quot;uplink_GB&quot; &quot;downlink_GB&quot; &quot;total_GB&quot;<br /> echo<br /> echo &quot;User traffic and online status&quot;<br /> printf &quot;%-24s %14s %14s %14s %8s %s\n&quot; &quot;email&quot; &quot;uplink_GB&quot; &quot;downlink_GB&quot; &quot;total_GB&quot; &quot;status&quot; &quot;ips&quot;<br /> exit 0<br /> fi<br /> <br /> accumulate_stats &quot;$stats_json&quot;<br /> <br /> echo &quot;Server: $SERVER&quot;<br /> echo &quot;Unit: GB, bytes divided by 1024^3&quot;<br /> echo<br /> <br /> echo &quot;Inbound traffic&quot;<br /> printf &quot;%-22s %14s %14s %14s\n&quot; &quot;tag&quot; &quot;uplink_GB&quot; &quot;downlink_GB&quot; &quot;total_GB&quot;<br /> <br /> {<br /> for tag in &quot;${!IN_TOTAL[@]}&quot;; do<br /> echo &quot;$tag&quot;<br /> done<br /> } | sort | while IFS= read -r tag; do<br /> local up down total up_s down_s total_s<br /> <br /> if [[ -v IN_UP[&quot;$tag&quot;] ]]; then up=&quot;${IN_UP[&quot;$tag&quot;]}&quot;; else up=&quot;&quot;; fi<br /> if [[ -v IN_DOWN[&quot;$tag&quot;] ]]; then down=&quot;${IN_DOWN[&quot;$tag&quot;]}&quot;; else down=&quot;&quot;; fi<br /> if [[ -v IN_TOTAL[&quot;$tag&quot;] ]]; then total=&quot;${IN_TOTAL[&quot;$tag&quot;]}&quot;; else total=&quot;&quot;; fi<br /> <br /> up_s=&quot;$(bytes_to_gb &quot;$up&quot;)&quot;<br /> down_s=&quot;$(bytes_to_gb &quot;$down&quot;)&quot;<br /> total_s=&quot;$(bytes_to_gb &quot;$total&quot;)&quot;<br /> <br /> printf &quot;%-22s %14s %14s %14s\n&quot; &quot;$tag&quot; &quot;$up_s&quot; &quot;$down_s&quot; &quot;$total_s&quot;<br /> done<br /> <br /> echo<br /> echo &quot;User traffic and online status&quot;<br /> printf &quot;%-24s %14s %14s %14s %8s %s\n&quot; &quot;email&quot; &quot;uplink_GB&quot; &quot;downlink_GB&quot; &quot;total_GB&quot; &quot;status&quot; &quot;ips&quot;<br /> <br /> {<br /> for email in &quot;${!USERSET[@]}&quot;; do<br /> echo &quot;$email&quot;<br /> done<br /> } | sort | while IFS= read -r email; do<br /> local up down total up_s down_s total_s status ips<br /> local qout<br /> <br /> if [[ -v U_UP[&quot;$email&quot;] ]]; then up=&quot;${U_UP[&quot;$email&quot;]}&quot;; else up=&quot;&quot;; fi<br /> if [[ -v U_DOWN[&quot;$email&quot;] ]]; then down=&quot;${U_DOWN[&quot;$email&quot;]}&quot;; else down=&quot;&quot;; fi<br /> if [[ -v U_TOTAL[&quot;$email&quot;] ]]; then total=&quot;${U_TOTAL[&quot;$email&quot;]}&quot;; else total=&quot;&quot;; fi<br /> <br /> up_s=&quot;$(bytes_to_gb &quot;$up&quot;)&quot;<br /> down_s=&quot;$(bytes_to_gb &quot;$down&quot;)&quot;<br /> total_s=&quot;$(bytes_to_gb &quot;$total&quot;)&quot;<br /> <br /> qout=&quot;$(query_online_ips &quot;$email&quot;)&quot;<br /> status=&quot;$(sed -n '1p' &lt;&lt;&lt;&quot;$qout&quot;)&quot;<br /> ips=&quot;$(sed -n '2p' &lt;&lt;&lt;&quot;$qout&quot;)&quot;<br /> <br /> printf &quot;%-24s %14s %14s %14s %8s %s\n&quot; \<br /> &quot;$email&quot; &quot;$up_s&quot; &quot;$down_s&quot; &quot;$total_s&quot; &quot;$status&quot; &quot;$ips&quot;<br /> done<br /> }<br /> <br /> main &quot;$@&quot;<br /> &lt;/syntaxhighlight&gt;</div>

Koud Wind https://md5.pw/index.php?title=File:%E6%9F%A5%E7%9C%8BXray%E4%B8%AD%E5%90%84%E7%94%A8%E6%88%B7%E6%B5%81%E9%87%8F%E4%BD%BF%E7%94%A8%E6%83%85%E5%86%B5%E7%9A%84%E8%84%9A%E6%9C%AC-%E9%A2%84%E8%A7%881.png&diff=1421 2026-02-18T14:56:42Z

<p>Koud Wind：​</p> <hr /> <div>1</div>

Koud Wind https://md5.pw/index.php?title=%E4%BD%BF%E7%94%A8nftables%E9%A2%84%E9%98%B2%E8%A2%AB%E7%AB%AF%E5%8F%A3%E6%89%AB%E6%8F%8F&diff=1418 2026-02-18T13:18:21Z

<p>Koud Wind：​/* 3. 配置 */</p> <hr /> <div>我想很多人有这样的困惑, 明明自己改了默认端口, 一看日志, 仍然还有陌生IP在对端口进行暴力破解, 即便是上了类似Fail2ban这种防护工具, 日志里陌生IP的记录也永远不会消停; 想上白名单, 但每次自己的IP变了之后, 还要再手动加进白名单里, 比较麻烦. <br /> <br /> 这时候, 我们就可以用 &lt;code&gt;nftables&lt;/code&gt; 自动拉黑那些尝试扫描端口的陌生IP. <br /> ----<br /> <br /> === 1. 准备 ===<br /> 确保 nftables 已经安装&lt;syntaxhighlight&gt;<br /> nft --version<br /> &lt;/syntaxhighlight&gt;若没有安装, 以Debian13为例&lt;syntaxhighlight&gt;<br /> apt update<br /> apt install nftables<br /> systemctl enable nftables<br /> &lt;/syntaxhighlight&gt;拷贝原有的nftables配置, 到一个好找的目录里, 以 &lt;code&gt;/main/nftables&lt;/code&gt; 为例, 再对原路径进行链接&lt;syntaxhighlight&gt;cp /etc/nftables.conf /main/nftables/<br /> ln -f /main/nftables/nftables.conf /etc/nftables.conf&lt;/syntaxhighlight&gt;并准备好编辑 &lt;code&gt;/main/nftables/nftables.conf&lt;/code&gt;<br /> ----<br /> <br /> === 2. 基础策略 ===<br /> 如果你之前配置过nftables, 那就在原有基础上进行新增或合并<br /> <br /> 现在假设我不希望ssh端口被扫中, 默认的22端口肯定不得使用, 需要将ssh端口开放到一个'''没有任何协议所使用的的默认端口上''' (比如ssh开放到80端口)<br /> <br /> 一般的陌生IP暴力破解一个端口, 需要先进行网络嗅探, 陌生IP可以自行扫描获取端口协议, 也可以使用其他平台公示的端口, 端口扫描器肯定优先扫描一些协议的默认端口, 绝对不能使用这些<br /> <br /> 端口扫描器扫完常见协议的端口, 之后大部分只会按照端口顺序进行扫描, 但这样基本上是不可能扫中的, 只有随机顺序扫描才有可能扫中<br /> <br /> === 3. 配置 ===<br /> 这里以ssh开放在46端口为例<br /> <br /> 我们可以分成两种方式: <br /> <br /> * 设立陷阱端口, 只有尝试建立连接时才会封禁, 推荐设为一些协议的默认端口, 误封概率适中<br /> &lt;syntaxhighlight&gt;table inet prevent_scanning {<br /> set tmp_blacklist_ipv4 {<br /> type ipv4_addr<br /> flags timeout<br /> # 封禁时间<br /> timeout 30m<br /> }<br /> <br /> set tmp_blacklist_ipv6 {<br /> type ipv6_addr<br /> flags timeout<br /> timeout 20m<br /> }<br /> <br /> chain input {<br /> type filter hook input priority 0;<br /> policy drop;<br /> <br /> # 放行本地/已建立/相关的连接<br /> iif lo accept;<br /> ct state established,related accept;<br /> <br /> # 不希望被ping到可以注释掉<br /> ip protocol icmp accept;<br /> ip6 nexthdr ipv6-icmp accept;<br /> <br /> <br /> ip saddr @tmp_blacklist_ipv4 drop;<br /> ip6 saddr @tmp_blacklist_ipv6 drop;<br /> <br /> # 放行后不会往后执行<br /> tcp dport { 46 } ct state new accept;<br /> <br /> # 自行配置陷阱端口<br /> tcp dport { 1-25, 3300-3500, 6379, 8080 } ct state new add @tmp_blacklist_ipv4 { ip saddr } drop;<br /> tcp dport { 1-25, 3300-3500, 6379, 8080 } ct state new add @tmp_blacklist_ipv6 { ip6 saddr } drop;<br /> udp dport { 50-70, 110-170, 514, 1194, 5353 } ct state new add @tmp_blacklist_ipv4 { ip saddr } drop;<br /> udp dport { 50-70, 110-170, 514, 1194, 5353 } ct state new add @tmp_blacklist_ipv6 { ip6 saddr } drop;<br /> }<br /> }&lt;/syntaxhighlight&gt;<br /> <br /> * 任何端口没被放行后, 直接拉黑, 端口被扫中的概率最低, 但误封率较高 (比如不小心访问到80端口)<br /> &lt;syntaxhighlight line=&quot;1&quot; start=&quot;0&quot;&gt;table inet prevent_scanning {<br /> set tmp_blacklist_ipv4 {<br /> type ipv4_addr<br /> flags timeout<br /> timeout 30m<br /> }<br /> <br /> set tmp_blacklist_ipv6 {<br /> type ipv6_addr<br /> flags timeout<br /> timeout 20m<br /> }<br /> <br /> chain input {<br /> type filter hook input priority 0;<br /> policy drop;<br /> <br /> iif lo accept;<br /> ct state established,related accept;<br /> <br /> # 不希望被ping到可以注释掉<br /> ip protocol icmp accept;<br /> ip6 nexthdr ipv6-icmp accept;<br /> <br /> <br /> ip saddr @tmp_blacklist_ipv4 drop;<br /> ip6 saddr @tmp_blacklist_ipv6 drop;<br /> <br /> tcp dport { 46 } ct state new accept;<br /> <br /> ct state new add @tmp_blacklist_ipv4 { ip saddr } drop;<br /> ct state new add @tmp_blacklist_ipv6 { ip6 saddr } drop;<br /> }<br /> }&lt;/syntaxhighlight&gt;<br /> <br /> === 4. 完成配置 ===<br /> 根据自己的喜好进行调整后保存, 重启&lt;syntaxhighlight&gt;<br /> systemctl restart nftables.service<br /> &lt;/syntaxhighlight&gt;查看封禁了哪些IP&lt;syntaxhighlight&gt;<br /> nft list set inet prevent_scanning tmp_blacklist_ipv4<br /> nft list set inet prevent_scanning tmp_blacklist_ipv6<br /> &lt;/syntaxhighlight&gt;</div>

Koud Wind https://md5.pw/index.php?title=%E4%BD%BF%E7%94%A8nftables%E9%A2%84%E9%98%B2%E8%A2%AB%E7%AB%AF%E5%8F%A3%E6%89%AB%E6%8F%8F&diff=1417 2026-02-18T13:13:58Z

<p>Koud Wind：​</p> <hr /> <div>我想很多人有这样的困惑, 明明自己改了默认端口, 一看日志, 仍然还有陌生IP在对端口进行暴力破解, 即便是上了类似Fail2ban这种防护工具, 日志里陌生IP的记录也永远不会消停; 想上白名单, 但每次自己的IP变了之后, 还要再手动加进白名单里, 比较麻烦. <br /> <br /> 这时候, 我们就可以用 &lt;code&gt;nftables&lt;/code&gt; 自动拉黑那些尝试扫描端口的陌生IP. <br /> ----<br /> <br /> === 1. 准备 ===<br /> 确保 nftables 已经安装&lt;syntaxhighlight&gt;<br /> nft --version<br /> &lt;/syntaxhighlight&gt;若没有安装, 以Debian13为例&lt;syntaxhighlight&gt;<br /> apt update<br /> apt install nftables<br /> systemctl enable nftables<br /> &lt;/syntaxhighlight&gt;拷贝原有的nftables配置, 到一个好找的目录里, 以 &lt;code&gt;/main/nftables&lt;/code&gt; 为例, 再对原路径进行链接&lt;syntaxhighlight&gt;cp /etc/nftables.conf /main/nftables/<br /> ln -f /main/nftables/nftables.conf /etc/nftables.conf&lt;/syntaxhighlight&gt;并准备好编辑 &lt;code&gt;/main/nftables/nftables.conf&lt;/code&gt;<br /> ----<br /> <br /> === 2. 基础策略 ===<br /> 如果你之前配置过nftables, 那就在原有基础上进行新增或合并<br /> <br /> 现在假设我不希望ssh端口被扫中, 默认的22端口肯定不得使用, 需要将ssh端口开放到一个'''没有任何协议所使用的的默认端口上''' (比如ssh开放到80端口)<br /> <br /> 一般的陌生IP暴力破解一个端口, 需要先进行网络嗅探, 陌生IP可以自行扫描获取端口协议, 也可以使用其他平台公示的端口, 端口扫描器肯定优先扫描一些协议的默认端口, 绝对不能使用这些<br /> <br /> 端口扫描器扫完常见协议的端口, 之后大部分只会按照端口顺序进行扫描, 但这样基本上是不可能扫中的, 只有随机顺序扫描才有可能扫中<br /> <br /> === 3. 配置 ===<br /> 这里以ssh开放在46端口为例<br /> <br /> 我们可以分成两种方式: <br /> <br /> * 设立陷阱端口, 只有尝试建立连接时才会封禁, 推荐设为一些协议的默认端口, 误封概率适中<br /> &lt;syntaxhighlight&gt;table inet prevent_scanning {<br /> set tmp_blacklist_ipv4 {<br /> type ipv4_addr<br /> flags timeout<br /> # 封禁时间<br /> timeout 30m<br /> }<br /> <br /> set tmp_blacklist_ipv6 {<br /> type ipv6_addr<br /> flags timeout<br /> timeout 20m<br /> }<br /> <br /> chain input {<br /> type filter hook input priority 0;<br /> policy drop;<br /> <br /> iif lo accept;<br /> ct state established,related accept;<br /> <br /> # 不希望被ping到可以注释掉<br /> ip protocol icmp accept;<br /> ip6 nexthdr ipv6-icmp accept;<br /> <br /> <br /> ip saddr @tmp_blacklist_ipv4 drop;<br /> ip6 saddr @tmp_blacklist_ipv6 drop;<br /> <br /> # 放行后不会往后执行<br /> tcp dport { 46 } ct state new accept;<br /> <br /> # 自行配置陷阱端口<br /> tcp dport { 1-25, 3300-3500, 6379, 8080 } ct state new add @tmp_blacklist_ipv4 { ip saddr } drop;<br /> tcp dport { 1-25, 3300-3500, 6379, 8080 } ct state new add @tmp_blacklist_ipv6 { ip6 saddr } drop;<br /> udp dport { 50-70, 110-170, 514, 1194, 5353 } ct state new add @tmp_blacklist_ipv4 { ip saddr } drop;<br /> udp dport { 50-70, 110-170, 514, 1194, 5353 } ct state new add @tmp_blacklist_ipv6 { ip6 saddr } drop;<br /> }<br /> }&lt;/syntaxhighlight&gt;<br /> <br /> * 任何端口没被放行后, 直接拉黑, 端口被扫中的概率最低, 但误封率较高 (比如不小心访问到80端口)<br /> &lt;syntaxhighlight line=&quot;1&quot; start=&quot;0&quot;&gt;table inet prevent_scanning {<br /> set tmp_blacklist_ipv4 {<br /> type ipv4_addr<br /> flags timeout<br /> timeout 30m<br /> }<br /> <br /> set tmp_blacklist_ipv6 {<br /> type ipv6_addr<br /> flags timeout<br /> timeout 20m<br /> }<br /> <br /> chain input {<br /> type filter hook input priority 0;<br /> policy drop;<br /> <br /> iif lo accept;<br /> ct state established,related accept;<br /> <br /> # 不希望被ping到可以注释掉<br /> ip protocol icmp accept;<br /> ip6 nexthdr ipv6-icmp accept;<br /> <br /> <br /> ip saddr @tmp_blacklist_ipv4 drop;<br /> ip6 saddr @tmp_blacklist_ipv6 drop;<br /> <br /> tcp dport { 46 } ct state new accept;<br /> <br /> ct state new add @tmp_blacklist_ipv4 { ip saddr } drop;<br /> ct state new add @tmp_blacklist_ipv6 { ip6 saddr } drop;<br /> }<br /> }&lt;/syntaxhighlight&gt;<br /> <br /> === 4. 完成配置 ===<br /> 根据自己的喜好进行调整后保存, 重启&lt;syntaxhighlight&gt;<br /> systemctl restart nftables.service<br /> &lt;/syntaxhighlight&gt;查看封禁了哪些IP&lt;syntaxhighlight&gt;<br /> nft list set inet prevent_scanning tmp_blacklist_ipv4<br /> nft list set inet prevent_scanning tmp_blacklist_ipv6<br /> &lt;/syntaxhighlight&gt;</div>

Koud Wind https://md5.pw/index.php?title=%E4%BD%BF%E7%94%A8nftables%E9%A2%84%E9%98%B2%E8%A2%AB%E7%AB%AF%E5%8F%A3%E6%89%AB%E6%8F%8F&diff=1416 2026-02-18T13:05:07Z

<p>Koud Wind：​创建页面，内容为“我想很多人有这样的困惑, 明明自己改了默认端口, 一看日志, 仍然还有陌生IP在对端口进行暴力破解, 即便是上了类似Fail2ban这种防护工具, 日志里陌生IP的记录也永远不会消停; 想上白名单, 但每次自己的IP变了之后, 还要再手动加进白名单里, 比较麻烦. 这时候, 我们就可以用 &lt;code&gt;nftables&lt;/code&gt; 自动拉黑那些尝试扫描端口的陌生IP. ---- === 1. 准备 === 确保…”</p> <hr /> <div>我想很多人有这样的困惑, 明明自己改了默认端口, 一看日志, 仍然还有陌生IP在对端口进行暴力破解, 即便是上了类似Fail2ban这种防护工具, 日志里陌生IP的记录也永远不会消停; 想上白名单, 但每次自己的IP变了之后, 还要再手动加进白名单里, 比较麻烦. <br /> <br /> 这时候, 我们就可以用 &lt;code&gt;nftables&lt;/code&gt; 自动拉黑那些尝试扫描端口的陌生IP. <br /> ----<br /> <br /> === 1. 准备 ===<br /> 确保 nftables 已经安装&lt;syntaxhighlight&gt;<br /> nft --version<br /> &lt;/syntaxhighlight&gt;若没有安装, 以Debian13为例&lt;syntaxhighlight&gt;<br /> apt update<br /> apt install nftables<br /> systemctl enable nftables<br /> &lt;/syntaxhighlight&gt;拷贝原有的nftables配置, 到一个好找的目录里, 以 &lt;code&gt;/main/nftables&lt;/code&gt; 为例, 再对原路径进行链接&lt;syntaxhighlight&gt;cp /etc/nftables.conf /main/nftables/<br /> ln -f /main/nftables/nftables.conf /etc/nftables.conf&lt;/syntaxhighlight&gt;并准备好编辑 &lt;code&gt;/main/nftables/nftables.conf&lt;/code&gt;<br /> ----<br /> <br /> === 2. 基础策略 ===<br /> 如果你之前配置过nftables, 那就在原有基础上进行新增或合并<br /> <br /> 现在假设我不希望ssh端口被扫中, 默认的22端口肯定不得使用, 需要将ssh端口开放到一个'''没有任何协议所使用的的默认端口上''' (比如ssh开放到80端口)<br /> <br /> 一般的陌生IP暴力破解一个端口, 需要先进行网络嗅探, 陌生IP可以自行扫描获取端口协议, 也可以使用其他平台公示的端口, 端口扫描器肯定优先扫描一些协议的默认端口, 绝对不能使用这些<br /> <br /> 端口扫描器扫完常见协议的端口, 之后大部分只会按照端口顺序进行扫描, 但这样基本上是不可能扫中的, 只有随机顺序扫描才有可能扫中<br /> <br /> === 3. 配置 ===<br /> 这里以ssh开放在46端口为例<br /> <br /> 我们可以分成两种方式: <br /> <br /> * 设立陷阱端口, 只有尝试建立连接时才会封禁, 推荐设为一些协议的默认端口, 误封概率适中<br /> &lt;syntaxhighlight&gt;<br /> table inet prevent_scanning {<br /> set tmp_blacklist_ipv4 {<br /> type ipv4_addr<br /> flags timeout<br /> # 封禁时间<br /> timeout 30m<br /> }<br /> <br /> set tmp_blacklist_ipv6 {<br /> type ipv6_addr<br /> flags timeout<br /> timeout 20m<br /> }<br /> <br /> chain input {<br /> type filter hook input priority 0;<br /> policy drop;<br /> <br /> iif lo accept;<br /> ct state established,related accept;<br /> <br /> # 不希望被ping到可以注释掉<br /> ip protocol icmp accept;<br /> ip6 nexthdr ipv6-icmp accept;<br /> <br /> <br /> ip saddr @tmp_blacklist_ipv4 drop;<br /> ip6 saddr @tmp_blacklist_ipv6 drop;<br /> <br /> # 放行后不会往后执行<br /> tcp dport { 46 } ct state new accept;<br /> <br /> # 自行配置陷阱端口<br /> tcp dport { 1-25, 3300-3500, 6379, 8080 } ct state new add @tmp_blacklist_ipv4 { ip saddr } drop;<br /> tcp dport { 1-25, 3300-3500, 6379, 8080 } ct state new add @tmp_blacklist_ipv6 { ip6 saddr } drop;<br /> udp dport { 50-70, 110-170, 514, 1194, 5353 } ct state new add @tmp_blacklist_ipv4 { ip saddr } drop;<br /> udp dport { 50-70, 110-170, 514, 1194, 5353 } ct state new add @tmp_blacklist_ipv6 { ip6 saddr } drop;<br /> }<br /> }<br /> &lt;/syntaxhighlight&gt;<br /> <br /> * 任何端口没被放行后, 直接拉黑, 端口被扫中的概率最低, 但误封率较高 (比如不小心访问到80端口)<br /> &lt;syntaxhighlight line=&quot;1&quot; start=&quot;0&quot;&gt;table inet prevent_scanning {<br /> set tmp_blacklist_ipv4 {<br /> type ipv4_addr<br /> flags timeout<br /> timeout 30m<br /> }<br /> <br /> set tmp_blacklist_ipv6 {<br /> type ipv6_addr<br /> flags timeout<br /> timeout 20m<br /> }<br /> <br /> chain input {<br /> type filter hook input priority 0;<br /> policy drop;<br /> <br /> iif lo accept;<br /> ct state established,related accept;<br /> <br /> # 不希望被ping到可以注释掉<br /> ip protocol icmp accept;<br /> ip6 nexthdr ipv6-icmp accept;<br /> <br /> <br /> ip saddr @tmp_blacklist_ipv4 drop;<br /> ip6 saddr @tmp_blacklist_ipv6 drop;<br /> <br /> tcp dport { 46 } ct state new accept;<br /> <br /> ct state new add @tmp_blacklist_ipv4 { ip saddr } drop;<br /> ct state new add @tmp_blacklist_ipv6 { ip6 saddr } drop;<br /> }<br /> }&lt;/syntaxhighlight&gt;</div>

Koud Wind https://md5.pw/index.php?title=User:Koud_Wind&diff=1391 2026-02-13T05:55:36Z

<p>Koud Wind：​清空全部内容</p> <hr /> <div></div>

Koud Wind