☰

在 RHEL 7 上使用 Kubeadm 引导 Kubernetes 集群 - 防火墙问题

tag-icon • tag-icon iptables redhat ansible kubernetes kubeadm
在 RHEL 7 上使用 Kubeadm 引导 Kubernetes 集群 - 防火墙问题

我正在尝试在 RHEL 7.8 上引导 Kubernetes 集群，但我的防火墙遇到了一些问题。

nftables是不支持在 Kubernetes 中，iptables-legacy必须安装。虽然该iptables-legacy软件包存在于 Debian Buster 等发行版中，但它似乎不适用于 RHEL 7。然而，本文提到了安装iptables-services、禁用firewalld和启用iptables。文章中的相关材料是：

yum install iptables-services.x86_64 -y
systemctl stop firewalld.service
systemctl disable firewalld.service
systemctl mask firewalld.service
systemctl start iptables
systemctl enable iptables
systemctl unmask iptables
iptables -F
service iptables save

此后，如果我iptables --version在服务器上运行，我可以看到已1.4.2安装。由于此版本早于 1.8（如上面链接的 GitHub 问题所暗示），因此此版本应该没问题。

从我的工作节点运行之前kubeadm join，以下 Ansible 任务针对我的主节点运行以进行配置iptables：

- iptables:
    chain: INPUT
    destination_port: "{{ port }}"
    jump: ACCEPT
    protocol: tcp
  loop:
    - 6443
    - 2379:2380
    - 10250:10252
  loop_control:
    loop_var: port

- command: service iptables save

- systemd:
    name: iptables
    state: restarted

这是针对我的节点进行配置的iptables：

- iptables:
    chain: INPUT
    destination_port: "{{ port }}"
    jump: ACCEPT
    protocol: tcp
  loop:
    - 10250
    - 30000:32767
  loop_control:
    loop_var: port

- command: service iptables save

- systemd:
    name: iptables
    state: restarted

此后，我可以确认该规则存在于内存中：

$> iptables -S | grep 6443
-A INPUT -p tcp -m tcp --dport 6443 -j ACCEPT

然后，当我kubeadm join从工作节点运行时，它无法连接：

I0406 22:07:19.205714    5715 token.go:73] [discovery] Created cluster-info discovery client, requesting info from "https://192.168.50.10:6443"
I0406 22:07:19.206720    5715 token.go:78] [discovery] Failed to request cluster info: [Get https://192.168.50.10:6443/api/v1/namespaces/kube-public/configmaps/cluster-info?timeout=10s: dial tcp 192.168.50.10:6443: connect: no route to host]
I0406 22:07:19.206749    5715 token.go:191] [discovery] Failed to connect to API Server "192.168.50.10:6443": Get https://192.168.50.10:6443/api/v1/namespaces/kube-public/configmaps/cluster-info?timeout=10s: dial tcp 192.168.50.10:6443: connect: no route to host
I0406 22:07:24.207648    5715 token.go:188] [discovery] Trying to connect to API Server "192.168.50.10:6443

但是，如果我systemctl stop iptables在主服务器上，那么工作节点就可以毫无问题地加入。这是否表明主服务器上的防火墙配置错误？

答案1

Ansible 模块默认iptables使用该操作。这导致规则未位于其应在的位置。在 Ansible 中将其添加到我的任务解决了该问题。appendrejectaction: insertiptables

相关内容