搭建 K8s 集群时最常见的问题集中在网络组件、证书配置、节点加入和镜像拉取这几个环节，优先检查 CNI 插件状态和防火墙规则能快速定位大部分故障。
先说结论：集群搭建问题多数与网络配置、证书有效期和节点认证相关，按顺序排查可节省大量时间。
- 先确认：CNI 插件是否正常、防火墙是否放行必要端口
- 先处理：证书过期重新生成、token 失效刷新加入命令
- 再验证：Pod 状态、节点就绪情况、服务连通性
命令速用版
以下是排查时常用的高频命令，可直接复制执行：
kubectl get pods -n kube-system -o wide
kubectl get nodes
kubectl describe pod <pod-name> -n kube-system
kubectl logs <pod-name> -n kube-system
kubeadm token create `--print-join-command` `--ttl`=0
systemctl status kubelet
journalctl -u kubelet -f
为什么会这样
K8s 集群依赖多个组件协同工作，任何一个环节配置不当都会导致集群不可用。网络插件负责 Pod 间通信，如果 CNI 未正确初始化，Pod 就无法获取 IP 地址。证书用于组件间安全通信，过期后各组件无法相互认证。节点加入需要有效的 token，超过有效期后新节点无法注册到控制平面。镜像拉取失败通常是因为国内网络访问官方仓库受限，需要配置镜像加速器。
分步处理
第一步：检查核心组件状态
执行kubectl get pods -n kube-system查看系统组件，重点关注 coredns、kube-proxy 和 CNI 插件（如 calico、flannel）的状态。如果显示 CrashLoopBackOff 或 Pending，说明组件启动失败。
第二步：排查网络插件问题
如果 CNI 插件状态异常，先检查节点防火墙规则。执行以下命令临时清理规则：
systemctl stop kubelet
systemctl stop docker
iptables `--flush`
iptables -t nat `--flush`
systemctl start kubelet
systemctl start docker
注意这只是临时方案，生产环境应配置正确的防火墙规则而非直接清空。
第三步：处理节点加入失败
如果添加工作节点时提示 token 过期，需要重新生成加入命令。集群注册 token 默认有效期为 24 小时，超时后需执行：
kubeadm token create `--print-join-command` `--ttl`=0
将输出的命令在工作节点执行即可完成加入。
第四步：解决 kubectl 连接被拒绝
如果执行 kubectl 时报"The connection to the server localhost:8080 was refused"，需要将主节点的/etc/kubernetes/admin.conf文件拷贝到~/.kube/config，并设置正确的权限。
第五步：处理镜像拉取失败
如果 Pod 因镜像拉取失败无法启动，检查 Docker 配置中的镜像源。国内环境建议配置镜像加速器，修改/etc/docker/daemon.json添加 registry 镜像地址。
怎么验证是否生效
执行kubectl get nodes确认所有节点状态为 Ready。执行kubectl get pods -n kube-system确认所有系统组件状态为 Running。创建测试 Pod 验证网络连通性：
kubectl run test-pod `--image`=nginx `--restart`=Never
kubectl exec test-pod -- curl http://kubernetes.default
检查核心组件日志确认无持续报错：kubectl logs coredns-xxx -n kube-system
常见坑
SELinux 未关闭会导致容器无法访问宿主机文件系统，某些场景下需要设置为 disabled 状态，执行setenforce 0临时关闭或修改/etc/selinux/config永久关闭。
Swap 未关闭会导致 kubelet 启动失败，K8s 默认要求关闭 swap 分区，执行swapoff -a并在/etc/fstab中注释掉 swap 挂载项。
LoadBalancer 类型 Service 在裸金属环境无法自动创建，需要云提供商支持或手动部署 MetalLB 等负载均衡器。
Pod 网段与办公网段冲突时，外部访问会出现路由问题，私有化部署需提前规划网络地址避免重叠。
参考来源
- K8s 集群常见问题及解决方案 - 网络问题、证书问题、服务访问失败等分类说明
- k8s 集群部分常见问题处理 - Coredns CrashLoopBackOff、token 过期、kubectl 连接拒绝等具体案例
- kubernetes 集群搭建常见问题及处理 - 腾讯云开发者社区，镜像拉取失败解决方案
- K8S 常见问题汇总 - Pod 启动异常、节点故障、网络连接问题等分类整理
- k8s 常见集群网络组件问题定位与解决实战 - 阿里云开发者社区，SELinux 导致权限问题案例
- k8s 集群故障案例分析 - 资源限制、日志丢失等生产环境故障
原文链接：https://www.zjcp.cc/ask/10451.html