使用 kube-vip 搭建高可用的 Kubernetes 集群(完整版)
前面我們課程中的集群是單 master 的集群，對(duì)于生產(chǎn)環(huán)境風(fēng)險(xiǎn)太大了，非常有必要做一個(gè)高可用的集群，這里的高可用主要是針對(duì)控制面板來(lái)說(shuō)的，比如 kube-apiserver、etcd、kube-controller-manager、kube-scheduler 這幾個(gè)組件，其中 kube-controller-manager 于 kube-scheduler 組件是 Kubernetes 集群自己去實(shí)現(xiàn)的高可用，當(dāng)有多個(gè)組件存在的時(shí)候，會(huì)自動(dòng)選擇一個(gè)作為 Leader 提供服務(wù)，所以不需要我們手動(dòng)去實(shí)現(xiàn)高可用，apiserver 和 etcd 就需要手動(dòng)去搭建高可用的集群的。高可用的架構(gòu)有很多，比如典型的 haproxy + keepalived 架構(gòu)，或者使用 nginx 來(lái)做代理實(shí)現(xiàn)。
環(huán)境準(zhǔn)備
4個(gè)節(jié)點(diǎn)，都是 Centos 7.6 系統(tǒng)，內(nèi)核版本：3.10.0-1062.4.1.el7.x86_64，在每個(gè)節(jié)點(diǎn)上添加 hosts 信息：
? ~ cat /etc/hosts
192.168.31.10 api.k8s.local # vip
192.168.31.31 master1
192.168.31.32 master2
192.168.31.33 master3
192.168.31.100 node1
其中 192.168.31.10 為 vip，使用域名 api.k8s.local 進(jìn)行映射。
節(jié)點(diǎn)的 hostname 必須使用標(biāo)準(zhǔn)的 DNS 命名，另外千萬(wàn)不用什么默認(rèn)的
localhost的 hostname，會(huì)導(dǎo)致各種錯(cuò)誤出現(xiàn)的。在 Kubernetes 項(xiàng)目里，機(jī)器的名字以及一切存儲(chǔ)在 Etcd 中的 API 對(duì)象，都必須使用標(biāo)準(zhǔn)的 DNS 命名（RFC 1123）。可以使用命令hostnamectl set-hostname node1來(lái)修改 hostname。
禁用防火墻：
? ~ systemctl stop firewalld
? ~ systemctl disable firewalld
禁用 SELINUX：
? ~ setenforce 0
? ~ cat /etc/selinux/config
SELINUX=disabled
由于開(kāi)啟內(nèi)核 ipv4 轉(zhuǎn)發(fā)需要加載 br_netfilter 模塊，所以加載下該模塊：
? ~ modprobe br_netfilter
創(chuàng)建/etc/sysctl.d/k8s.conf文件，添加如下內(nèi)容：
net.bridge.bridge-nf-call-ip6tables = 1
net.bridge.bridge-nf-call-iptables = 1
net.ipv4.ip_forward = 1
執(zhí)行如下命令使修改生效：
? ~ sysctl -p /etc/sysctl.d/k8s.conf
安裝 ipvs：
? ~ cat > /etc/sysconfig/modules/ipvs.modules <<EOF
#!/bin/bash
modprobe -- ip_vs
modprobe -- ip_vs_rr
modprobe -- ip_vs_wrr
modprobe -- ip_vs_sh
modprobe -- nf_conntrack_ipv4
EOF
? ~ chmod 755 /etc/sysconfig/modules/ipvs.modules && bash /etc/sysconfig/modules/ipvs.modules && lsmod | grep -e ip_vs -e nf_conntrack_ipv4
上面腳本創(chuàng)建了的/etc/sysconfig/modules/ipvs.modules文件，保證在節(jié)點(diǎn)重啟后能自動(dòng)加載所需模塊。使用lsmod | grep -e ip_vs -e nf_conntrack_ipv4命令查看是否已經(jīng)正確加載所需的內(nèi)核模塊。
接下來(lái)還需要確保各個(gè)節(jié)點(diǎn)上已經(jīng)安裝了 ipset 軟件包：
? ~ yum install ipset
為了便于查看 ipvs 的代理規(guī)則，最好安裝一下管理工具 ipvsadm：
? ~ yum install ipvsadm
同步服務(wù)器時(shí)間
? ~ yum install chrony -y
? ~ systemctl enable chronyd
? ~ systemctl start chronyd
? ~ chronyc sources
210 Number of sources = 4
MS Name/IP address Stratum Poll Reach LastRx Last sample
===============================================================================
^+ sv1.ggsrv.de 2 6 17 32 -823us[-1128us] +/- 98ms
^- montreal.ca.logiplex.net 2 6 17 32 -17ms[ -17ms] +/- 179ms
^- ntp6.flashdance.cx 2 6 17 32 -32ms[ -32ms] +/- 161ms
^* 119.28.183.184 2 6 33 32 +661us[ +357us] +/- 38ms
? ~ date
Tue Aug 31 14:36:14 CST 2021
關(guān)閉 swap 分區(qū)：
? ~ swapoff -a
修改/etc/fstab文件，注釋掉 SWAP 的自動(dòng)掛載，使用free -m確認(rèn) swap 已經(jīng)關(guān)閉。swappiness 參數(shù)調(diào)整，修改/etc/sysctl.d/k8s.conf添加下面一行：
vm.swappiness=0
執(zhí)行 sysctl -p /etc/sysctl.d/k8s.conf 使修改生效。
安裝 Containerd
我們已經(jīng)了解過(guò)容器運(yùn)行時(shí) containerd 的一些基本使用，接下來(lái)在各個(gè)節(jié)點(diǎn)上安裝 Containerd。
由于 containerd 需要調(diào)用 runc，所以我們也需要先安裝 runc，不過(guò) containerd 提供了一個(gè)包含相關(guān)依賴(lài)的壓縮包 cri-containerd-cni-${VERSION}.${OS}-${ARCH}.tar.gz，可以直接使用這個(gè)包來(lái)進(jìn)行安裝。首先從 release 頁(yè)面下載最新版本的壓縮包，當(dāng)前為 1.5.5 版本：
? ~ wget https://github.com/containerd/containerd/releases/download/v1.5.5/cri-containerd-cni-1.5.5-linux-amd64.tar.gz
# 如果有限制，也可以替換成下面的 URL 加速下載
# wget https://download.fastgit.org/containerd/containerd/releases/download/v1.5.5/cri-containerd-cni-1.5.5-linux-amd64.tar.gz
直接將壓縮包解壓到系統(tǒng)的各個(gè)目錄中：
? ~ tar -C / -xzf cri-containerd-cni-1.5.5-linux-amd64.tar.gz
然后要將 /usr/local/bin 和 /usr/local/sbin 追加到 ~/.bashrc 文件的 PATH 環(huán)境變量中：
export PATH=$PATH:/usr/local/bin:/usr/local/sbin
然后執(zhí)行下面的命令使其立即生效：
? ~ source ~/.bashrc
containerd 的默認(rèn)配置文件為 /etc/containerd/config.toml，我們可以通過(guò)如下所示的命令生成一個(gè)默認(rèn)的配置：
? ~ mkdir -p /etc/containerd
? ~ containerd config default > /etc/containerd/config.toml
對(duì)于使用 systemd 作為 init system 的 Linux 的發(fā)行版，使用 systemd 作為容器的 cgroup driver 可以確保節(jié)點(diǎn)在資源緊張的情況更加穩(wěn)定，所以推薦將 containerd 的 cgroup driver 配置為 systemd。
修改前面生成的配置文件 /etc/containerd/config.toml，在 plugins."io.containerd.grpc.v1.cri".containerd.runtimes.runc.options 配置塊下面將 SystemdCgroup 設(shè)置為 true：
[plugins."io.containerd.grpc.v1.cri".containerd.runtimes.runc]
...
[plugins."io.containerd.grpc.v1.cri".containerd.runtimes.runc.options]
SystemdCgroup = true
....
然后再為鏡像倉(cāng)庫(kù)配置一個(gè)加速器，需要在 cri 配置塊下面的 registry 配置塊下面進(jìn)行配置 registry.mirrors：
[plugins."io.containerd.grpc.v1.cri"]
...
# sandbox_image = "k8s.gcr.io/pause:3.5"
sandbox_image = "registry.aliyuncs.com/k8sxio/pause:3.5"
...
[plugins."io.containerd.grpc.v1.cri".registry]
[plugins."io.containerd.grpc.v1.cri".registry.mirrors]
[plugins."io.containerd.grpc.v1.cri".registry.mirrors."docker.io"]
endpoint = ["https://bqr1dr1n.mirror.aliyuncs.com"]
[plugins."io.containerd.grpc.v1.cri".registry.mirrors."k8s.gcr.io"]
endpoint = ["https://registry.aliyuncs.com/k8sxio"]
由于上面我們下載的 containerd 壓縮包中包含一個(gè) etc/systemd/system/containerd.service 的文件，這樣我們就可以通過(guò) systemd 來(lái)配置 containerd 作為守護(hù)進(jìn)程運(yùn)行了，現(xiàn)在我們就可以啟動(dòng) containerd 了，直接執(zhí)行下面的命令即可：
? ~ systemctl daemon-reload
? ~ systemctl enable containerd --now
啟動(dòng)完成后就可以使用 containerd 的本地 CLI 工具 ctr 和 crictl 了，比如查看版本：
? ~ ctr version
Client:
Version: v1.5.5
Revision: 72cec4be58a9eb6b2910f5d10f1c01ca47d231c0
Go version: go1.16.6
Server:
Version: v1.5.5
Revision: 72cec4be58a9eb6b2910f5d10f1c01ca47d231c0
UUID: cd2894ad-fd71-4ef7-a09f-5795c7eb4c3b
? ~ crictl version
Version: 0.1.0
RuntimeName: containerd
RuntimeVersion: v1.5.5
RuntimeApiVersion: v1alpha2
負(fù)載均衡器
為 apiserver 提供負(fù)載均衡器有很多方法，比如傳統(tǒng)的 haproxy+keepalived，或者使用 nginx 代理也可以，這里我們使用一個(gè)比較新穎的工具 kube-vip。
kube-vip(https://kube-vip.io/) 可以在你的控制平面節(jié)點(diǎn)上提供一個(gè) Kubernetes 原生的 HA 負(fù)載均衡，我們不需要再在外部設(shè)置 HAProxy 和 Keepalived 來(lái)實(shí)現(xiàn)集群的高可用了。
在以前我們?cè)谒接协h(huán)境下創(chuàng)建 Kubernetes 集群時(shí)，我們需要準(zhǔn)備一個(gè)硬件/軟件的負(fù)載均衡器來(lái)創(chuàng)建多控制面集群，更多的情況下我們會(huì)選擇使用 HAProxy + Keepalived 來(lái)實(shí)現(xiàn)這個(gè)功能。一般情況下我們創(chuàng)建2個(gè)負(fù)載均衡器的虛擬機(jī)，然后分配一個(gè) VIP，然后使用 VIP 為負(fù)載均衡器提供服務(wù)，通過(guò) VIP 將流量重定向到后端的某個(gè) Kubernetes 控制器平面節(jié)點(diǎn)上。
如果我們使用 kube-vip 的話會(huì)怎樣呢？
kube-vip 可以通過(guò)靜態(tài) pod 運(yùn)行在控制平面節(jié)點(diǎn)上，這些 pod 通過(guò) ARP 會(huì)話來(lái)識(shí)別每個(gè)節(jié)點(diǎn)上的其他主機(jī)，我們可以選擇 BGP 或 ARP 來(lái)設(shè)置負(fù)載平衡器，這與 Metal LB 比較類(lèi)似。在 ARP 模式下，會(huì)選出一個(gè)領(lǐng)導(dǎo)者，這個(gè)節(jié)點(diǎn)將繼承虛擬 IP 并成為集群內(nèi)負(fù)載均衡的 Leader，而在 BGP 模式下，所有節(jié)點(diǎn)都會(huì)通知 VIP 地址。
集群中的 Leader 將分配 vip，并將其綁定到配置中聲明的選定接口上。當(dāng) Leader 改變時(shí)，它將首先撤銷(xiāo) vip，或者在失敗的情況下，vip 將直接由下一個(gè)當(dāng)選的 Leader 分配。當(dāng) vip 從一個(gè)主機(jī)移動(dòng)到另一個(gè)主機(jī)時(shí)，任何使用 vip 的主機(jī)將保留以前的 vip <-> MAC 地址映射，直到 ARP 過(guò)期（通常是30秒）并檢索到一個(gè)新的 vip <-> MAC 映射，這可以通過(guò)使用無(wú)償?shù)?ARP 廣播來(lái)優(yōu)化。
kube-vip 可以被配置為廣播一個(gè)無(wú)償?shù)?arp（可選），通常會(huì)立即通知所有本地主機(jī) vip <-> MAC 地址映射已經(jīng)改變。
要使用 kube-vip 來(lái)實(shí)現(xiàn)集群的高可用，首先在 master1 節(jié)點(diǎn)上生成基本的 Kubernetes 靜態(tài) Pod 資源清單文件：
? ~ mkdir -p /etc/kubernetes/manifests/
# 配置vip地址
? ~ export VIP=192.168.31.10
# 設(shè)置網(wǎng)卡名稱(chēng)
? ~ export INTERFACE=ens33
? ~ ctr image pull docker.io/plndr/kube-vip:v0.3.8
# 使用下面的容器輸出靜態(tài)Pod資源清單
? ~ ctr run --rm --net-host docker.io/plndr/kube-vip:v0.3.8 vip \
/kube-vip manifest pod \
--interface $INTERFACE \
--vip $VIP \
--controlplane \
--services \
--arp \
--leaderElection | tee /etc/kubernetes/manifests/kube-vip.yaml
apiVersion: v1
kind: Pod
metadata:
creationTimestamp: null
name: kube-vip
namespace: kube-system
spec:
containers:
- args:
- manager
env:
- name: vip_arp
value: "true"
- name: vip_interface
value: ens33
- name: port
value: "6443"
- name: vip_cidr
value: "32"
- name: cp_enable
value: "true"
- name: cp_namespace
value: kube-system
- name: vip_ddns
value: "false"
- name: svc_enable
value: "true"
- name: vip_leaderelection
value: "true"
- name: vip_leaseduration
value: "5"
- name: vip_renewdeadline
value: "3"
- name: vip_retryperiod
value: "1"
- name: vip_address
value: 192.168.31.10
image: ghcr.io/kube-vip/kube-vip:v0.3.8
imagePullPolicy: Always
name: kube-vip
resources: {}
securityContext:
capabilities:
add:
- NET_ADMIN
- NET_RAW
- SYS_TIME
volumeMounts:
- mountPath: /etc/kubernetes/admin.conf
name: kubeconfig
hostNetwork: true
volumes:
- hostPath:
path: /etc/kubernetes/admin.conf
name: kubeconfig
status: {}
這里我們將 vip 設(shè)置為 192.168.31.10，首先會(huì)將 master1 節(jié)點(diǎn)選舉為 Leader，然后接下來(lái)我們使用該 vip 來(lái)初始化控制器平臺(tái)。
初始化控制平面
上面的相關(guān)環(huán)境配置也完成了，現(xiàn)在我們就可以來(lái)安裝 Kubeadm 了，我們這里是通過(guò)指定 yum 源的方式來(lái)進(jìn)行安裝的：
? ~ cat <<EOF > /etc/yum.repos.d/kubernetes.repo
[kubernetes]
name=Kubernetes
baseurl=https://packages.cloud.google.com/yum/repos/kubernetes-el7-x86_64
enabled=1
gpgcheck=1
repo_gpgcheck=1
gpgkey=https://packages.cloud.google.com/yum/doc/yum-key.gpg
https://packages.cloud.google.com/yum/doc/rpm-package-key.gpg
EOF
當(dāng)然了，上面的 yum 源是需要科學(xué)上網(wǎng)的，如果不能科學(xué)上網(wǎng)的話，我們可以使用阿里云的源進(jìn)行安裝：
? ~ cat <<EOF > /etc/yum.repos.d/kubernetes.repo
[kubernetes]
name=Kubernetes
baseurl=http://mirrors.aliyun.com/kubernetes/yum/repos/kubernetes-el7-x86_64
enabled=1
gpgcheck=0
repo_gpgcheck=0
gpgkey=http://mirrors.aliyun.com/kubernetes/yum/doc/yum-key.gpg
http://mirrors.aliyun.com/kubernetes/yum/doc/rpm-package-key.gpg
EOF
然后安裝 kubeadm、kubelet、kubectl：
# --disableexcludes 禁掉除了kubernetes之外的別的倉(cāng)庫(kù)
? ~ yum makecache fast
? ~ yum install -y kubelet-1.22.1 kubeadm-1.22.1 kubectl-1.22.1 --disableexcludes=kubernetes
? ~ kubeadm version
kubeadm version: &version.Info{Major:"1", Minor:"22", GitVersion:"v1.22.1", GitCommit:"632ed300f2c34f6d6d15ca4cef3d3c7073412212", GitTreeState:"clean", BuildDate:"2021-08-19T15:44:22Z", GoVersion:"go1.16.7", Compiler:"gc", Platform:"linux/amd64"}
可以看到我們這里安裝的是 v1.22.1 版本，然后將 master 節(jié)點(diǎn)的 kubelet 設(shè)置成開(kāi)機(jī)啟動(dòng)：
? ~ systemctl enable --now kubelet
到這里為止上面所有的操作都需要在所有節(jié)點(diǎn)執(zhí)行配置。
當(dāng)我們執(zhí)行 kubelet --help 命令的時(shí)候可以看到原來(lái)大部分命令行參數(shù)都被 DEPRECATED了，這是因?yàn)楣俜酵扑]我們使用 --config 來(lái)指定配置文件，在配置文件中指定原來(lái)這些參數(shù)的配置，可以通過(guò)官方文檔 Set Kubelet parameters via a config file 了解更多相關(guān)信息，這樣 Kubernetes 就可以支持動(dòng)態(tài) Kubelet 配置（Dynamic Kubelet Configuration）了，參考 Reconfigure a Node’s Kubelet in a Live Cluster。
然后我們可以通過(guò)下面的命令在 master1 節(jié)點(diǎn)上輸出集群初始化默認(rèn)使用的配置：
? ~ kubeadm config print init-defaults --component-configs KubeletConfiguration > kubeadm.yaml
然后根據(jù)我們自己的需求修改配置，比如修改 imageRepository 指定集群初始化時(shí)拉取 Kubernetes 所需鏡像的地址，kube-proxy 的模式為 ipvs，另外需要注意的是我們這里是準(zhǔn)備安裝 flannel 網(wǎng)絡(luò)插件的，需要將 networking.podSubnet 設(shè)置為10.244.0.0/16：
# kubeadm.yaml
apiVersion: kubeadm.k8s.io/v1beta3
bootstrapTokens:
- groups:
- system:bootstrappers:kubeadm:default-node-token
token: abcdef.0123456789abcdef
ttl: 24h0m0s
usages:
- signing
- authentication
kind: InitConfiguration
localAPIEndpoint:
advertiseAddress: 192.168.31.31 # 指定當(dāng)前節(jié)點(diǎn)內(nèi)網(wǎng)IP
bindPort: 6443
nodeRegistration:
criSocket: /run/containerd/containerd.sock # 使用 containerd的Unix socket 地址
imagePullPolicy: IfNotPresent
name: master1
taints: # 給master添加污點(diǎn)，master節(jié)點(diǎn)不能調(diào)度應(yīng)用
- effect: "NoSchedule"
key: "node-role.kubernetes.io/master"
---
apiVersion: kubeproxy.config.k8s.io/v1alpha1
kind: KubeProxyConfiguration
mode: ipvs # kube-proxy 模式
---
apiVersion: kubeadm.k8s.io/v1beta3
certificatesDir: /etc/kubernetes/pki
clusterName: kubernetes
controllerManager: {}
dns: {}
etcd:
local:
dataDir: /var/lib/etcd
imageRepository: registry.aliyuncs.com/k8sxio
kind: ClusterConfiguration
kubernetesVersion: 1.22.1
controlPlaneEndpoint: api.k8s.local:6443 # 設(shè)置控制平面Endpoint地址
apiServer:
extraArgs:
authorization-mode: Node,RBAC
timeoutForControlPlane: 4m0s
certSANs: # 添加其他master節(jié)點(diǎn)的相關(guān)信息
- api.k8s.local
- master1
- master2
- master3
- 192.168.31.30
- 192.168.31.31
- 192.168.31.32
networking:
dnsDomain: cluster.local
serviceSubnet: 10.96.0.0/12
podSubnet: 10.244.0.0/16 # 指定 pod 子網(wǎng)
scheduler: {}
---
apiVersion: kubelet.config.k8s.io/v1beta1
authentication:
anonymous:
enabled: false
webhook:
cacheTTL: 0s
enabled: true
x509:
clientCAFile: /etc/kubernetes/pki/ca.crt
authorization:
mode: Webhook
webhook:
cacheAuthorizedTTL: 0s
cacheUnauthorizedTTL: 0s
clusterDNS:
- 10.96.0.10
clusterDomain: cluster.local
cpuManagerReconcilePeriod: 0s
evictionPressureTransitionPeriod: 0s
fileCheckFrequency: 0s
healthzBindAddress: 127.0.0.1
healthzPort: 10248
httpCheckFrequency: 0s
imageMinimumGCAge: 0s
kind: KubeletConfiguration
cgroupDriver: systemd # 配置 cgroup driver
logging: {}
memorySwap: {}
nodeStatusReportFrequency: 0s
nodeStatusUpdateFrequency: 0s
rotateCertificates: true
runtimeRequestTimeout: 0s
shutdownGracePeriod: 0s
shutdownGracePeriodCriticalPods: 0s
staticPodPath: /etc/kubernetes/manifests
streamingConnectionIdleTimeout: 0s
syncFrequency: 0s
volumeStatsAggPeriod: 0s
對(duì)于上面的資源清單的文檔比較雜，要想完整了解上面的資源對(duì)象對(duì)應(yīng)的屬性，可以查看對(duì)應(yīng)的 godoc 文檔，地址: https://godoc.org/k8s.io/kubernetes/cmd/kubeadm/app/apis/kubeadm/v1beta3。
這里需要注意的是我們?cè)?ClusterConfiguration 塊的配置中新增了控制平面的地址以及將 api.k8s.local 這個(gè)域名加入到了證書(shū)簽名中，該域名將映射到 vip：
controlPlaneEndpoint: api.k8s.local:6443 # 設(shè)置控制平面Endpoint地址
apiServer:
extraArgs:
authorization-mode: Node,RBAC
timeoutForControlPlane: 4m0s
certSANs: # 添加其他master節(jié)點(diǎn)的相關(guān)信息
- api.k8s.local
- master1
- master2
- master3
- 192.168.31.30
- 192.168.31.31
- 192.168.31.32
在開(kāi)始初始化集群之前可以使用 kubeadm config images pull --config kubeadm.yaml 預(yù)先在各個(gè)服務(wù)器節(jié)點(diǎn)上拉取所k8s需要的容器鏡像。
配置文件準(zhǔn)備好過(guò)后，可以使用如下命令先將相關(guān)鏡像 pull 下面：
? ~ kubeadm config images pull --config kubeadm.yaml
[config/images] Pulled registry.aliyuncs.com/k8sxio/kube-apiserver:v1.22.1
[config/images] Pulled registry.aliyuncs.com/k8sxio/kube-controller-manager:v1.22.1
[config/images] Pulled registry.aliyuncs.com/k8sxio/kube-scheduler:v1.22.1
[config/images] Pulled registry.aliyuncs.com/k8sxio/kube-proxy:v1.22.1
[config/images] Pulled registry.aliyuncs.com/k8sxio/pause:3.5
[config/images] Pulled registry.aliyuncs.com/k8sxio/etcd:3.5.0-0
failed to pull image "registry.aliyuncs.com/k8sxio/coredns:v1.8.4": output: time="2021-08-31T15:09:13+08:00" level=fatal msg="pulling image: rpc error: code = NotFound desc = failed to pull and unpack image \"registry.aliyuncs.com/k8sxio/coredns:v1.8.4\": failed to resolve reference \"registry.aliyuncs.com/k8sxio/coredns:v1.8.4\": registry.aliyuncs.com/k8sxio/coredns:v1.8.4: not found"
, error: exit status 1
To see the stack trace of this error execute with --v=5 or higher
上面在拉取 coredns 鏡像的時(shí)候出錯(cuò)了，沒(méi)有找到這個(gè)鏡像，我們可以手動(dòng) pull 該鏡像，然后重新 tag 下鏡像地址即可：
? ~ ctr -n k8s.io i pull docker.io/coredns/coredns:1.8.4
? ~ ctr -n k8s.io i tag docker.io/coredns/coredns:1.8.4 registry.aliyuncs.com/k8sxio/coredns:v1.8.4
然后就可以使用上面的配置文件在 master1 節(jié)點(diǎn)上進(jìn)行初始化：
? ~ kubeadm init --upload-certs --config kubeadm.yaml
[init] Using Kubernetes version: v1.22.1
[preflight] Running pre-flight checks
[preflight] Pulling images required for setting up a Kubernetes cluster
......
Your Kubernetes control-plane has initialized successfully!
To start using your cluster, you need to run the following as a regular user:
mkdir -p $HOME/.kube
sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config
sudo chown $(id -u):$(id -g) $HOME/.kube/config
Alternatively, if you are the root user, you can run:
export KUBECONFIG=/etc/kubernetes/admin.conf
You should now deploy a pod network to the cluster.
Run "kubectl apply -f [podnetwork].yaml" with one of the options listed at:
https://kubernetes.io/docs/concepts/cluster-administration/addons/
You can now join any number of the control-plane node running the following command on each as root:
kubeadm join api.k8s.local:6443 --token abcdef.0123456789abcdef \
--discovery-token-ca-cert-hash sha256:435fbc28490d1f897337923c19ec27bcf3639e9fe84e8448177777d23cae4176 \
--control-plane --certificate-key 7892cd62c5ab60b28b462af32c7e49aa73d5fd4f723352f3af6546a74e465abc
Please note that the certificate-key gives access to cluster sensitive data, keep it secret!
As a safeguard, uploaded-certs will be deleted in two hours; If necessary, you can use
"kubeadm init phase upload-certs --upload-certs" to reload certs afterward.
Then you can join any number of worker nodes by running the following on each as root:
kubeadm join api.k8s.local:6443 --token abcdef.0123456789abcdef \
--discovery-token-ca-cert-hash sha256:435fbc28490d1f897337923c19ec27bcf3639e9fe84e8448177777d23cae4176
這里初始化的 --upload-certs 標(biāo)志用來(lái)將在所有控制平面實(shí)例之間的共享證書(shū)上傳到集群。然后根據(jù)安裝提示拷貝 kubeconfig 文件：
? ~ mkdir -p $HOME/.kube
? ~ sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config
? ~ sudo chown $(id -u):$(id -g) $HOME/.kube/config
接著我們可以根據(jù)上面的提示添加其他的控制平面節(jié)點(diǎn)。
添加控制平面
對(duì)于每個(gè)其他控制平面節(jié)點(diǎn)，執(zhí)行先前在第一個(gè)節(jié)點(diǎn) master1 上的 kubeadm init 輸出提供的 join 命令來(lái)添加控制平面節(jié)點(diǎn)：
? ~ kubeadm join api.k8s.local:6443 --token abcdef.0123456789abcdef --discovery-token-ca-cert-hash sha256:435fbc28490d1f897337923c19ec27bcf3639e9fe84e8448177777d23cae4176 --control-plane --certificate-key 7892cd62c5ab60b28b462af32c7e49aa73d5fd4f723352f3af6546a74e465abc
[preflight] Running pre-flight checks
[preflight] Reading configuration from the cluster...
[preflight] FYI: You can look at this config file with 'kubectl -n kube-system get cm kubeadm-config -o yaml'
[preflight] Running pre-flight checks before initializing the new control plane instance
......
This node has joined the cluster and a new control plane instance was created:
* Certificate signing request was sent to apiserver and approval was received.
* The Kubelet was informed of the new secure connection details.
* Control plane (master) label and taint were applied to the new node.
* The Kubernetes control plane instances scaled up.
* A new etcd member was added to the local/stacked etcd cluster.
To start administering your cluster from this node, you need to run the following as a regular user:
mkdir -p $HOME/.kube
sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config
sudo chown $(id -u):$(id -g) $HOME/.kube/config
Run 'kubectl get nodes' to see this node join the cluster.
需要注意需要在另外兩個(gè)節(jié)點(diǎn) master2 和 master3 都執(zhí)行上面的 join 命令，上面的命令中的 --control-plane 就是通知 kubeadm join 創(chuàng)建一個(gè)新的控制平面，--certificate-key 會(huì)從集群中的 kubeadm-certs Secret 下載控制平面證書(shū)并使用給定的密鑰進(jìn)行解密。
當(dāng)這兩個(gè)節(jié)點(diǎn)被添加到集群后，我們接下來(lái)也需要在節(jié)點(diǎn)上運(yùn)行 kube-vip，將當(dāng)前節(jié)點(diǎn)作為 kube-vip 的成員，同樣執(zhí)行下面的命令即可：
# 配置vip地址
? ~ export VIP=192.168.31.10
# 設(shè)置網(wǎng)卡名稱(chēng)
? ~ export INTERFACE=ens33
? ~ ctr image pull docker.io/plndr/kube-vip:v0.3.8
# 使用下面的容器輸出靜態(tài)Pod資源清單
? ~ ctr run --rm --net-host docker.io/plndr/kube-vip:v0.3.8 vip \
/kube-vip manifest pod \
--interface $INTERFACE \
--vip $VIP \
--controlplane \
--services \
--arp \
--leaderElection | tee /etc/kubernetes/manifests/kube-vip.yaml
當(dāng) kube-vip 的靜態(tài) Pod 清單創(chuàng)建完成后，正常將能夠看到 kube-vip 的 Pod 會(huì)按預(yù)期啟動(dòng)并運(yùn)行：
? ~ kubectl get pods -A | grep vip
kube-system kube-vip-master1 1/1 Running 1 7m42s
kube-system kube-vip-master2 1/1 Running 0 4m24s
kube-system kube-vip-master3 1/1 Running 0 14s
這個(gè)時(shí)候控制平面節(jié)點(diǎn)就都準(zhǔn)備好了：
? ~ kubectl get nodes
NAME STATUS ROLES AGE VERSION
master1 Ready control-plane,master 9m18s v1.22.1
master2 Ready control-plane,master 7m11s v1.22.1
master3 Ready control-plane,master 5m9s v1.22.1
添加工作節(jié)點(diǎn)
接下來(lái)我們可以將 node1 工作節(jié)點(diǎn)加入到集群中，同樣使用在 master1 上初始化后的提示 join 命令，記得將 master1 節(jié)點(diǎn)上面的 $HOME/.kube/config 文件拷貝到 node 節(jié)點(diǎn)對(duì)應(yīng)的文件中，安裝 kubeadm、kubelet、kubectl（可選），然后執(zhí)行上面初始化完成后提示的 join 命令即可：
? ~ kubeadm join api.k8s.local:6443 --token abcdef.0123456789abcdef \
> --discovery-token-ca-cert-hash sha256:435fbc28490d1f897337923c19ec27bcf3639e9fe84e8448177777d23cae4176
[preflight] Running pre-flight checks
[preflight] Reading configuration from the cluster...
[preflight] FYI: You can look at this config file with 'kubectl -n kube-system get cm kubeadm-config -o yaml'
[kubelet-start] Writing kubelet configuration to file "/var/lib/kubelet/config.yaml"
[kubelet-start] Writing kubelet environment file with flags to file "/var/lib/kubelet/kubeadm-flags.env"
[kubelet-start] Starting the kubelet
[kubelet-start] Waiting for the kubelet to perform the TLS Bootstrap...
This node has joined the cluster:
* Certificate signing request was sent to apiserver and a response was received.
* The Kubelet was informed of the new secure connection details.
Run 'kubectl get nodes' on the control-plane to see this node join the cluster.
如果忘記了上面的 join 命令可以使用命令
kubeadm token create --print-join-command重新獲取。
執(zhí)行成功后運(yùn)行 get nodes 命令：
? ~ kubectl get nodes
NAME STATUS ROLES AGE VERSION
master1 Ready control-plane,master 9m18s v1.22.1
master2 Ready control-plane,master 7m11s v1.22.1
master3 Ready control-plane,master 5m9s v1.22.1
node1 NotReady <none> 24s v1.22.1
可以看到是 NotReady 狀態(tài)，這是因?yàn)檫€沒(méi)有安裝網(wǎng)絡(luò)插件，接下來(lái)安裝網(wǎng)絡(luò)插件，可以在文檔 https://kubernetes.io/docs/setup/production-environment/tools/kubeadm/create-cluster-kubeadm/ 中選擇我們自己的網(wǎng)絡(luò)插件，這里我們安裝 flannel:
? ~ wget https://raw.githubusercontent.com/coreos/flannel/master/Documentation/kube-flannel.yml
# 如果有節(jié)點(diǎn)是多網(wǎng)卡，則需要在資源清單文件中指定內(nèi)網(wǎng)網(wǎng)卡
# 搜索到名為 kube-flannel-ds 的 DaemonSet，在kube-flannel容器下面
? ~ vi kube-flannel.yml
......
containers:
- name: kube-flannel
image: quay.io/coreos/flannel:v0.14.0
command:
- /opt/bin/flanneld
args:
- --ip-masq
- --kube-subnet-mgr
- --iface=eth0 # 如果是多網(wǎng)卡的話，指定內(nèi)網(wǎng)網(wǎng)卡的名稱(chēng)
......
? ~ kubectl apply -f kube-flannel.yml # 安裝 flannel 網(wǎng)絡(luò)插件
隔一會(huì)兒查看 Pod 運(yùn)行狀態(tài)：
? ~ kubectl get pods -n kube-system
NAME READY STATUS RESTARTS AGE
coredns-7568f67dbd-lvcd5 1/1 Running 0 30m
coredns-7568f67dbd-shfrk 1/1 Running 0 30m
etcd-master1 1/1 Running 0 45m
etcd-master2 1/1 Running 0 45m
etcd-master3 1/1 Running 1 (46m ago) 54m
kube-apiserver-master1 1/1 Running 4 (45m ago) 58m
kube-apiserver-master2 1/1 Running 2 (45m ago) 56m
kube-apiserver-master3 1/1 Running 1 (46m ago) 54m
kube-controller-manager-master1 1/1 Running 15 (48m ago) 58m
kube-controller-manager-master2 1/1 Running 1 (47m ago) 56m
kube-controller-manager-master3 1/1 Running 0 54m
kube-flannel-ds-4js7f 1/1 Running 0 38m
kube-flannel-ds-hch26 1/1 Running 0 38m
kube-flannel-ds-l6xzv 1/1 Running 0 38m
kube-flannel-ds-qpzqq 1/1 Running 0 38m
kube-proxy-fpxp8 1/1 Running 0 54m
kube-proxy-qdsfq 1/1 Running 0 56m
kube-proxy-ww9b2 1/1 Running 0 58m
kube-proxy-zcw98 1/1 Running 0 50m
kube-scheduler-master1 1/1 Running 15 (48m ago) 58m
kube-scheduler-master2 1/1 Running 0 56m
kube-scheduler-master3 1/1 Running 1 (47m ago) 54m
kube-vip-master1 1/1 Running 2 (48m ago) 58m
kube-vip-master2 1/1 Running 1 (47m ago) 55m
kube-vip-master3 1/1 Running 0 51m
當(dāng)我們部署完網(wǎng)絡(luò)插件后執(zhí)行 ifconfig 命令，正常會(huì)看到新增的
cni0與flannel1這兩個(gè)虛擬設(shè)備，但是如果沒(méi)有看到cni0這個(gè)設(shè)備也不用太擔(dān)心，我們可以觀察/var/lib/cni目錄是否存在，如果不存在并不是說(shuō)部署有問(wèn)題，而是該節(jié)點(diǎn)上暫時(shí)還沒(méi)有應(yīng)用運(yùn)行，我們只需要在該節(jié)點(diǎn)上運(yùn)行一個(gè) Pod 就可以看到該目錄會(huì)被創(chuàng)建，并且cni0設(shè)備也會(huì)被創(chuàng)建出來(lái)。
網(wǎng)絡(luò)插件運(yùn)行成功了，node 狀態(tài)也正常了：
? ~ kubectl get nodes
NAME STATUS ROLES AGE VERSION
master1 Ready control-plane,master 9m18s v1.22.1
master2 Ready control-plane,master 7m11s v1.22.1
master3 Ready control-plane,master 5m9s v1.22.1
node1 Ready <none> 24s v1.22.1
測(cè)試高可用
上面我們搭建了3個(gè) master 節(jié)點(diǎn)的高可用 Kubernetes 集群，接下來(lái)我們來(lái)測(cè)試下高可用是否生效。
首先查看其中任一個(gè) kube-vip 的 Pod 日志：
? ~ kubectl logs -f kube-vip-master1 -n kube-system
time="2021-09-07T08:53:24Z" level=info msg="server started"
time="2021-09-07T08:53:24Z" level=info msg="Starting Kube-vip Manager with the ARP engine"
time="2021-09-07T08:53:24Z" level=info msg="Namespace [kube-system], Hybrid mode [true]"
time="2021-09-07T08:53:24Z" level=info msg="Beginning cluster membership, namespace [kube-system], lock name [plndr-svcs-lock], id [master1]"
I0907 08:53:24.205669 1 leaderelection.go:243] attempting to acquire leader lease kube-system/plndr-svcs-lock...
time="2021-09-07T08:53:24Z" level=info msg="Beginning cluster membership, namespace [kube-system], lock name [plndr-cp-lock], id [master1]"
I0907 08:53:24.206162 1 leaderelection.go:243] attempting to acquire leader lease kube-system/plndr-cp-lock...
......
time="2021-09-07T08:55:55Z" level=info msg="Node [master3] is assuming leadership of the cluster"
time="2021-09-07T08:55:55Z" level=info msg="new leader elected: master3"
可以看到 master3 現(xiàn)在是我們的 Leader，接下來(lái)我們將 master3 節(jié)點(diǎn)關(guān)掉，然后觀察另外的 kube-vip 的日志變化：
? ~ kubectl logs -f kube-vip-master2 -n kube-system
......
time="2021-09-07T08:55:55Z" level=info msg="Node [master3] is assuming leadership of the cluster"
time="2021-09-07T08:55:55Z" level=info msg="new leader elected: master3"
time="2021-09-07T10:28:58Z" level=info msg="Node [master1] is assuming leadership of the cluster"
......
可以看到 master1 節(jié)點(diǎn)獲取了 kube-vip 的 Leader，也就是這個(gè)時(shí)候 vip 是綁定到 master1 節(jié)點(diǎn)的，而且這個(gè)時(shí)候集群仍然可以正常訪問(wèn)的。
Dashboard
v1.22.1 版本的集群需要安裝最新的 2.0+ 版本的 Dashboard：
# 推薦使用下面這種方式
? ~ wget https://raw.githubusercontent.com/kubernetes/dashboard/v2.3.1/aio/deploy/recommended.yaml
? ~ vi recommended.yaml
# 修改Service為NodePort類(lèi)型
......
kind: Service
apiVersion: v1
metadata:
labels:
k8s-app: kubernetes-dashboard
name: kubernetes-dashboard
namespace: kubernetes-dashboard
spec:
ports:
- port: 443
targetPort: 8443
selector:
k8s-app: kubernetes-dashboard
type: NodePort # 加上type=NodePort變成NodePort類(lèi)型的服務(wù)
......
直接創(chuàng)建：
? ~ kubectl apply -f recommended.yaml
新版本的 Dashboard 會(huì)被默認(rèn)安裝在 kubernetes-dashboard 這個(gè)命名空間下面：
? ~ kubectl get pods -n kubernetes-dashboard -o wide
NAME READY STATUS RESTARTS AGE IP NODE NOMINATED NODE READINESS GATES
dashboard-metrics-scraper-856586f554-pllvt 1/1 Running 0 24m 10.88.0.7 master <none> <none>
kubernetes-dashboard-76597d7df5-82998 1/1 Running 0 21m 10.88.0.2 node2 <none> <none>
我們仔細(xì)看可以發(fā)現(xiàn)上面的 Pod 分配的 IP 段是 10.88.xx.xx，包括前面自動(dòng)安裝的 CoreDNS 也是如此，我們前面不是配置的 podSubnet 為 10.244.0.0/16 嗎？我們先去查看下 CNI 的配置文件：
? ~ ls -la /etc/cni/net.d/
total 8
drwxr-xr-x 2 1001 docker 67 Aug 31 16:45 .
drwxr-xr-x. 3 1001 docker 19 Jul 30 01:13 ..
-rw-r--r-- 1 1001 docker 604 Jul 30 01:13 10-containerd-net.conflist
-rw-r--r-- 1 root root 292 Aug 31 16:45 10-flannel.conflist
可以看到里面包含兩個(gè)配置，一個(gè)是 10-containerd-net.conflist，另外一個(gè)是我們上面創(chuàng)建的 Flannel 網(wǎng)絡(luò)插件生成的配置，我們的需求肯定是想使用 Flannel 的這個(gè)配置，我們可以查看下 containerd 這個(gè)自帶的 cni 插件配置：
? ~ cat /etc/cni/net.d/10-containerd-net.conflist
{
"cniVersion": "0.4.0",
"name": "containerd-net",
"plugins": [
{
"type": "bridge",
"bridge": "cni0",
"isGateway": true,
"ipMasq": true,
"promiscMode": true,
"ipam": {
"type": "host-local",
"ranges": [
[{
"subnet": "10.88.0.0/16"
}],
[{
"subnet": "2001:4860:4860::/64"
}]
],
"routes": [
{ "dst": "0.0.0.0/0" },
{ "dst": "::/0" }
]
}
},
{
"type": "portmap",
"capabilities": {"portMappings": true}
}
]
}
可以看到上面的 IP 段恰好就是 10.88.0.0/16，但是這個(gè) cni 插件類(lèi)型是 bridge 網(wǎng)絡(luò)，網(wǎng)橋的名稱(chēng)為 cni0：
? ~ ip a
...
6: cni0: <BROADCAST,MULTICAST,PROMISC,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
link/ether 9a:e7:eb:40:e8:66 brd ff:ff:ff:ff:ff:ff
inet 10.88.0.1/16 brd 10.88.255.255 scope global cni0
valid_lft forever preferred_lft forever
inet6 2001:4860:4860::1/64 scope global
valid_lft forever preferred_lft forever
inet6 fe80::98e7:ebff:fe40:e866/64 scope link
valid_lft forever preferred_lft forever
...
但是使用 bridge 網(wǎng)絡(luò)的容器無(wú)法跨多個(gè)宿主機(jī)進(jìn)行通信，跨主機(jī)通信需要借助其他的 cni 插件，比如上面我們安裝的 Flannel，或者 Calico 等等，由于我們這里有兩個(gè) cni 配置，所以我們需要將 10-containerd-net.conflist 這個(gè)配置刪除，因?yàn)槿绻@個(gè)目錄中有多個(gè) cni 配置文件，kubelet 將會(huì)使用按文件名的字典順序排列的第一個(gè)作為配置文件，所以前面默認(rèn)選擇使用的是 containerd-net 這個(gè)插件。
? ~ mv /etc/cni/net.d/10-containerd-net.conflist /etc/cni/net.d/10-containerd-net.conflist.bak
? ~ ifconfig cni0 down && ip link delete cni0
? ~ systemctl daemon-reload
? ~ systemctl restart containerd kubelet
然后記得重建 coredns 和 dashboard 的 Pod，重建后 Pod 的 IP 地址就正常了：
? ~ kubectl get pods -n kubernetes-dashboard -o wide
NAME READY STATUS RESTARTS AGE IP NODE NOMINATED NODE READINESS GATES
dashboard-metrics-scraper-856586f554-tp8m5 1/1 Running 0 42s 10.244.1.6 node2 <none> <none>
kubernetes-dashboard-76597d7df5-9rmbx 1/1 Running 0 66s 10.244.1.5 node2 <none> <none>
? ~ kubectl get pods -n kube-system -o wide -l k8s-app=kube-dns
NAME READY STATUS RESTARTS AGE IP NODE NOMINATED NODE READINESS GATES
coredns-7568f67dbd-n7bfx 1/1 Running 0 5m40s 10.244.1.2 node2 <none> <none>
coredns-7568f67dbd-plrv8 1/1 Running 0 3m47s 10.244.1.4 node2 <none> <none>
查看 Dashboard 的 NodePort 端口：
? ~ kubectl get svc -n kubernetes-dashboard
NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE
dashboard-metrics-scraper ClusterIP 10.99.37.172 <none> 8000/TCP 25m
kubernetes-dashboard NodePort 10.103.102.27 <none> 443:31050/TCP 25m
然后可以通過(guò)上面的 31050 端口去訪問(wèn) Dashboard，要記住使用 https，Chrome 不生效可以使用Firefox 測(cè)試，如果沒(méi)有 Firefox 下面打不開(kāi)頁(yè)面，可以點(diǎn)擊下頁(yè)面中的信任證書(shū)即可：
信任后就可以訪問(wèn)到 Dashboard 的登錄頁(yè)面了：
然后創(chuàng)建一個(gè)具有全局所有權(quán)限的用戶(hù)來(lái)登錄 Dashboard：
# admin.yaml
kind: ClusterRoleBinding
apiVersion: rbac.authorization.k8s.io/v1
metadata:
name: admin
roleRef:
kind: ClusterRole
name: cluster-admin
apiGroup: rbac.authorization.k8s.io
subjects:
- kind: ServiceAccount
name: admin
namespace: kubernetes-dashboard
---
apiVersion: v1
kind: ServiceAccount
metadata:
name: admin
namespace: kubernetes-dashboard
直接創(chuàng)建：
? ~ kubectl apply -f admin.yaml
? ~ kubectl get secret -n kubernetes-dashboard|grep admin-token
admin-token-lwmmx kubernetes.io/service-account-token 3 1d
? ~ kubectl get secret admin-token-lwmmx -o jsonpath={.data.token} -n kubernetes-dashboard |base64 -d
# 會(huì)生成一串很長(zhǎng)的base64后的字符串
然后用上面的 base64 解碼后的字符串作為 token 登錄 Dashboard 即可，新版本還新增了一個(gè)暗黑模式：
最終我們就完成了使用 kubeadm 搭建 v1.22.1 版本的高可用 kubernetes 集群，使用 coredns、ipvs、flannel、containerd、kube-vip 這些組件。
清理
如果你的集群安裝過(guò)程中遇到了其他問(wèn)題，我們可以使用下面的命令來(lái)進(jìn)行重置：
? ~ kubeadm reset
? ~ ifconfig cni0 down && ip link delete cni0
? ~ ifconfig flannel.1 down && ip link delete flannel.1
? ~ rm -rf /var/lib/cni/
K8S 進(jìn)階訓(xùn)練營(yíng)
點(diǎn)擊屏末 | 閱讀原文 | 即刻學(xué)習(xí)
掃描二維碼獲取
更多云原生知識(shí)
k8s 技術(shù)圈