【云原生Kubernetes系列项目实战第一篇】k8s集群+高可用负载均衡层+防火墙（ 提及年少一词，应与平庸相斥）

系列文章目录

😜即日起，更新云原生相关知识，喜欢的小伙伴可以给我点个三连喔

😜收录至专栏 云原生

😜【云原生Docker系列第一篇】Docker镜像管理

😜【云原生Docker系列第二篇】Docker容器管理

😜【云原生Docker系列第三篇】Docker网络模式

😜【云原生Docker系列第四篇】Docker Cgroups资源控制操作

😜【云原生Docker系列第五篇】Docker数据管理

😜【云原生Docker系列第六篇】基于docker创建镜像

😜【云原生Docker系列第七篇】浅谈镜像的分层原理

😜【云原生Docker系列第九篇】Docker-Compose 容器集群的快速编排

😜【云原生Docker系列项目实战第一篇】dockerfile+lnmp+workpress

😜【云原生Kubernetes系列第一篇】深入理解容器集群管理系统Kubernetes（k8s）

😜【云原生Kubernetes系列第二篇】Kubernetes（k8s）核心组件

😜【云原生Kubernetes系列第三篇】二进制部署单节点Kubernetes（k8s）v1.20

😜【云原生Kubernetes系列第五篇】kubeadm v1.20 部署K8S 集群架构

😜【云原生Kubernetes系列第七篇】一文掌握k8s之YAML文件

前言

实验拓扑：

实验要求：

（1）Kubernetes 区域可采用 Kubeadm 方式进行安装。

（2）要求在 Kubernetes 环境中，通过yaml文件的方式，创建2个Nginx Pod分别放置在两个不同的节点上，Pod使用hostPath类型的存储卷挂载，节点本地目录共享使用 /data，2个Pod副本测试页面二者要不同，以做区分，测试页面可自己定义。

（3）编写service对应的yaml文件，使用NodePort类型和TCP 30000端口将Nginx服务发布出去。

（4）负载均衡区域配置Keepalived+Nginx，实现负载均衡高可用，通过VIP 192.168.10.100和自定义的端口号即可访问K8S发布出来的服务。

（5）iptables防火墙服务器，设置双网卡，并且配置SNAT和DNAT转换实现外网客户端可以通过12.0.0.1访问内网的Web服务。

实验环境：

一、Kubeadm 方式部署 k8s 集群

1.1 环境准备（所有节点操作）

 #所有节点，关闭防火墙规则，关闭selinux，关闭swap交换systemctl stop firewalldsystemctl disable firewalldsetenforce 0sed -i 's/enforcing/disabled/' /etc/selinux/configiptables -F && iptables -t nat -F && iptables -t mangle -F && iptables -Xswapoff -a                      #交换分区必须要关闭sed -ri 's/.*swap.*/#&/' /etc/fstab     #永久关闭swap分区，&符号在sed命令中代表上次匹配的结果#加载 ip_vs 模块for i in $(ls /usr/lib/modules/$(uname -r)/kernel/net/netfilter/ipvs|grep -o "^[^.]*");do echo $i; /sbin/modinfo -F filename $i >/dev/null 2>&1 && /sbin/modprobe $i;done#修改主机名hostnamectl set-hostname master     #master节点操作suhostnamectl set-hostname node01     #node01节点操作suhostnamectl set-hostname node02     #node02节点操作su#所有节点修改/etc/hosts文件，添加IP和主机名的映射关系vim /etc/hosts192.168.10.10 master192.168.10.20 node01192.168.10.30 node02#调整内核参数cat > /etc/sysctl.d/kubernetes.conf << EOF#开启网桥模式，可将网桥的流量传递给iptables链net.bridge.bridge-nf-call-ip6tables=1net.bridge.bridge-nf-call-iptables=1#关闭ipv6协议net.ipv6.conf.all.disable_ipv6=1net.ipv4.ip_forward=1EOF#生效参数sysctl --system  

1.2 所有节点安装docker

 #安装环境依赖包yum install -y yum-utils device-mapper-persistent-data lvm2#设置阿里云镜像源yum-config-manager --add-repo https://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo #安装 docker-ceyum install -y docker-ce  #docker-ce-cli、containerd.io 会作为依赖包被安装mkdir /etc/dockercat > /etc/docker/daemon.json <<EOF{"registry-mirrors": ["https://3u6mkfxb.mirror.aliyuncs.com"],  #使用镜像加速"exec-opts": ["native.cgroupdriver=systemd"],    #将Cgroup引擎修改为systemd"log-driver": "json-file","log-opts": {"max-size": "100m"}}EOF#使用Systemd管理的Cgroup来进行资源控制与管理，因为相对Cgroupfs而言，Systemd限制CPU、内存等资源更加简单和成熟稳定。#日志使用json-file格式类型存储，大小为100M，保存在/var/log/containers目录下，方便ELK等日志系统收集和管理日志。#重新加载配置，将docker设置为开机自启systemctl daemon-reloadsystemctl restart docker.servicesystemctl enable docker.service #查看Cgroup引擎是否已变更docker info | grep "Cgroup Driver"Cgroup Driver: systemd

1.3 所有节点安装kubeadm，kubelet和kubectl

 #定义kubernetes安装源cat > /etc/yum.repos.d/kubernetes.repo << EOF[kubernetes]name=Kubernetesbaseurl=https://mirrors.aliyun.com/kubernetes/yum/repos/kubernetes-el7-x86_64enabled=1gpgcheck=0repo_gpgcheck=0gpgkey=https://mirrors.aliyun.com/kubernetes/yum/doc/yum-key.gpg https://mirrors.aliyun.com/kubernetes/yum/doc/rpm-package-key.gpgEOF#安装kubeadm，kubelet和kubectlyum install -y kubelet-1.20.11 kubeadm-1.20.11 kubectl-1.20.11#设置开机自启kubeletsystemctl enable kubelet.service#K8S通过kubeadm安装出来以后都是以Pod方式存在，即底层是以容器方式运行，所以kubelet必须设置开机自启。

1.4 部署K8S集群

 #----- 1、查看初始化需要的镜像 ----kubeadm config images list    #查看可知，共需要7个镜像
I0725 16:13:20.194926   13583 version.go:254] remote version is much newer: v1.24.3; falling back to: stable-1.20
k8s.gcr.io/kube-apiserver:v1.20.15
k8s.gcr.io/kube-controller-manager:v1.20.15
k8s.gcr.io/kube-scheduler:v1.20.15
k8s.gcr.io/kube-proxy:v1.20.15
k8s.gcr.io/pause:3.2
k8s.gcr.io/etcd:3.4.13-0
k8s.gcr.io/coredns:1.7.0#----- 2、在 master 节点上传 v1.20.11.zip 压缩包（压缩包中包含所需的镜像文件）至 /opt 目录 ------cd /opt/mkdir /opt/k8sunzip v1.20.11.zip -d /opt/k8s   #解压cd /opt/k8s/v1.20.11for i in $(ls *.tar); do docker load -i $i; done  #载入镜像，将镜像文件导入到镜像库中docker images   #查看本地镜像#----- 3、复制镜像和脚本到 node 节点，并在 node 节点上执行脚本加载镜像文件 -----scp -r /opt/k8s root@node01:/optscp -r /opt/k8s root@node02:/optcd /opt/k8s/v1.20.11for i in $(ls *.tar); do docker load -i $i; done#----- 4、初始化kubeadm ------------------​#master节点，通过如下指令创建默认的kubeadm-config.yaml文件kubeadm config print init-defaults > /opt/kubeadm-config.yaml#修改文件cd /opt/vim kubeadm-config.yaml......11 localAPIEndpoint:12   advertiseAddress: 192.168.10.10     #指定master节点的IP地址13   bindPort: 6443......34 kubernetesVersion: v1.20.11          #指定kubernetes版本号35 networking:36   dnsDomain: cluster.local38   serviceSubnet: 10.96.0.0/16        #指定service网段37   podSubnet: "10.244.0.0/16"         #指定pod网段，10.244.0.0/16用于匹配flannel默认网段39 scheduler: {}#末尾再添加以下内容--- apiVersion: kubeproxy.config.k8s.io/v1alpha1kind: KubeProxyConfigurationmode: ipvs                  #把默认的kube-proxy调度方式改为ipvs模式#在master节点操作，初始化kubeadm，搭建k8s控制平面节点。结尾会有几条命令分别在master和node上执行kubeadm init --config=kubeadm-config.yaml --upload-certs | tee kubeadm-init.log#--experimental-upload-certs 参数可以在后续执行加入节点时自动分发证书文件，K8S V1.16版本开始替换为 --upload-certs#tee kubeadm-init.log 用以输出日志#master节点执行以下命令：#kubectl需经由API server认证及授权后方能执行相应的管理操作，kubeadm 部署的集群为其生成了一个具有管理员权限的认证配置文件 /etc/kubernetes/admin.conf，它可由 kubectl 通过默认的 “$HOME/.kube/config” 的路径进行加载。mkdir -p $HOME/.kubesudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/configsudo chown $(id -u):$(id -g) $HOME/.kube/config#两个node节点执行以下命令，加入集群：kubeadm join 192.168.10.10:6443 --token abcdef.0123456789abcdef \--discovery-token-ca-cert-hash sha256:b48d7bec33150c0f58bd04c17a6b994900fdef116b6ef355282909330b3a23cc#查看 kubeadm-init 日志less kubeadm-init.log#kubernetes配置文件目录ls /etc/kubernetes/#存放ca等证书和密码的目录ls /etc/kubernetes/pki      #--------- 5、master节点，修改yaml文件，进行健康检查 ------------------------#初始化后，kubeadm本身没有健康检查方法，需要修改两个yaml文件，之后重启kubelet。kubectl get cs   #查看集群健康状态，有2个组件不健康，需要修改对应组件的yaml文件#如果 kubectl get cs 发现集群不健康，更改以下两个yaml文件vim /etc/kubernetes/manifests/kube-scheduler.yaml......16     - --bind-address=192.168.10.10   #修改成k8s的控制节点master的ip......19     #- --port=0     # 搜索port=0，把这一行注释掉......24       httpGet:25         host: 192.168.10.10   #修改成k8s的控制节点master的ip......38       httpGet:39         host: 192.168.10.10   #修改成k8s的控制节点master的ipvim /etc/kubernetes/manifests/kube-controller-manager.yaml17     - --bind-address=192.168.10.10   #修改成k8s的控制节点master的ip......26     #- --port=0      # 搜索port=0，把这一行注释掉......36       httpGet:37         host: 192.168.10.10    #修改成k8s的控制节点master的ip......50       httpGet:51         host: 192.168.10.10    #修改成k8s的控制节点master的ip#重启kubeletsystemctl restart kubelet#查看集群健康状态kubectl get cs 

1.5 所有节点部署网络插件flannel

 #在master节点查看所有节点状态，由于网络插件还没有部署，节点没有准备就绪，所以显示NotReadykubectl get nodes
NAME     STATUS     ROLES                  AGE     VERSION
master   NotReady   control-plane,master   8m52s   v1.20.11
node01   NotReady   <none>                 7m9s    v1.20.11
node02   NotReady   <none>                 7m5s    v1.20.11#---所有节点部署网络插件flannel##（1）方法一：#所有节点上传flannel镜像 flannel.tar 到 /opt 目录，master节点上传 kube-flannel.yml 文件。#kube-flannel.yml 文件的下载地址https://raw.githubusercontent.com/coreos/flannel/master/Documentation/kube-flannel.ymlcd /optdocker load -i flannel.tar   #所有节点导入镜像#在 master 节点创建 flannel 资源kubectl apply -f kube-flannel.yml ---------------------------------------------------------------------------------------------##（2）方法二：kubectl apply -f https://raw.githubusercontent.com/coreos/flannel/master/Documentation/kube-flannel.yml#在 node 节点上执行 kubeadm join 命令加入群集kubeadm join 192.168.80.10:6443 --token rc0kfs.a1sfe3gl4dvopck5 \--discovery-token-ca-cert-hash sha256:864fe553c812df2af262b406b707db68b0fd450dc08b34efb73dd5a4771d37a2-------------------------------------------------------------------------------------------------#现在在master节点查看节点状态，都已是Ready状态kubectl get nodesNAME     STATUS   ROLES                  AGE    VERSIONmaster   Ready    control-plane,master   136m   v1.20.11node01   Ready    <none>                 98m    v1.20.11node02   Ready    <none>                 92m    v1.20.11#查看各组件，都是Running状态kubectl get pods -n kube-systemNAME                             READY   STATUS    RESTARTS   AGEcoredns-74ff55c5b-788pc          1/1     Running   0          137mcoredns-74ff55c5b-9hfnv          1/1     Running   0          137metcd-master                      1/1     Running   0          137mkube-apiserver-master            1/1     Running   0          137mkube-controller-manager-master   1/1     Running   0          45mkube-flannel-ds-8ck6r            1/1     Running   0          3m10skube-flannel-ds-9svrq            1/1     Running   0          3m10skube-flannel-ds-fxpwt            1/1     Running   0          3m10skube-proxy-22mgq                 1/1     Running   0          137mkube-proxy-2lx25                 1/1     Running   0          93mkube-proxy-s5s75                 1/1     Running   0          99mkube-scheduler-master            1/1     Running   0          62m

二、创建两个自主式Pod资源

要求在 Kubernetes 环境中，通过yaml文件的方式，创建2个Nginx Pod分别放置在两个不同的节点上，Pod使用hostPath类型的存储卷挂载，节点本地目录共享使用 /data，2个Pod副本测试页面二者要不同，以做区分，测试页面可自己定义。

 #1、先空跑命令，生成nginx的pod模板文件kubectl run mynginx --image=nginx:1.14 --port=80 --dry-run=client -o yaml > nginx-pod.yaml#2、修改模板文件---
apiVersion: v1
kind: Pod
metadata:labels:run: nginxname: nginx01
spec:nodeName: node01containers:- image: nginxname: nginxports:- containerPort: 80volumeMounts:- name: node1-htmlmountPath: /usr/share/nginx/html/volumes:- name: node1-htmlhostPath:path: /data/type: DirectoryOrCreate---
apiVersion: v1
kind: Pod
metadata:labels:run: nginxname: nginx02
spec:nodeName: node02containers:- image: nginxname: nginxports:- containerPort: 80volumeMounts:- name: node2-htmlmountPath: /usr/share/nginx/html/volumes:- name: node2-htmlhostPath:path: /data/type: DirectoryOrCreate#使用yaml文件创建自主式Pod资源kubectl apply -f nginx-pod.yamlpod/nginx01 createdpod/nginx02 created#查看创建的两个pod，被调度到了不同的node节点kubectl get pods -o wide
NAME      READY   STATUS    RESTARTS   AGE     IP           NODE     NOMINATED NODE   READINESS GATES
nginx01   1/1     Running   0          2m11s   10.244.1.2   node01   <none>           <none>
nginx02   1/1     Running   0          2m11s   10.244.2.2   node02   <none>           <none>#---3、两个node节点的存储卷，写入不同的html文件内容，验证访问网页#node01节点echo "this is node01" > /data/index.html#node02节点echo "this is node02 " > /data/index.htmlcurl 10.244.1.2   #访问Node01节点的Pod的IPcurl 10.244.2.2   #访问Node02节点的Pod的IP

三、创建service资源

编写service对应的yaml文件，使用NodePort类型和TCP 30000端口将Nginx服务发布出去。

[root@master opt]# vim pod-nginx-service.yaml
apiVersion: v1
kind: Service
metadata:labels:run: nginxname: nginx-service
spec:ports:- port: 80protocol: TCPtargetPort: 80nodePort: 30000selector:run: nginxtype: NodePort[root@master opt]# kubectl apply -f pod-nginx-service.yaml
service/nginx-service created
[root@master opt]# kubectl get svc
NAME            TYPE        CLUSTER-IP      EXTERNAL-IP   PORT(S)        AGE
kubernetes      ClusterIP   10.96.0.1       <none>        443/TCP        47m
nginx-service   NodePort    10.110.35.189   <none>        80:30000/TCP   7s
[root@master opt]# kubectl describe svc 
kubernetes     nginx-service  
[root@master opt]# kubectl describe svc nginx-service 
Name:                     nginx-service
Namespace:                default
Labels:                   run=nginx
Annotations:              <none>
Selector:                 run=nginx
Type:                     NodePort
IP Families:              <none>
IP:                       10.110.35.189
IPs:                      10.110.35.189
Port:                     <unset>  80/TCP
TargetPort:               80/TCP
NodePort:                 <unset>  30000/TCP
Endpoints:                10.244.1.2:80,10.244.2.2:80
Session Affinity:         None
External Traffic Policy:  Cluster
Events:                   <none>

[root@master opt]# curl 192.168.10.20:30000
this is node02
[root@master opt]# curl 192.168.10.10:30000
this is node02
[root@master opt]# curl 192.168.10.30:30000
this is node02
[root@master opt]# curl 192.168.10.10:30000
this is node01

四、搭建负载均衡层

负载均衡区域配置Keepalived+Nginx，实现负载均衡高可用，通过VIP 192.168.10.100和自定义的端口号即可访问K8S发布出来的服务。

• lb01：192.168.10.40
• lb02：192.168.10.50
• VIP：192.168.10.100

 #---------1、两台负载均衡器配置nginx--------------#关闭防火墙和selinuxsystemctl stop firewalldsystemctl disable firewalldsetenforce 0sed -i 's/enforcing/disabled/' /etc/selinux/config#设置主机名hostnamectl set-hostname lb01suhostnamectl set-hostname lb02su#配置nginx的官方在线yum源cat > /etc/yum.repos.d/nginx.repo << 'EOF'[nginx]name=nginx repobaseurl=https://nginx.org/packages/centos/7/$basearch/gpgcheck=0EOFyum install nginx -y#修改nginx配置文件，配置四层反向代理负载均衡，指定k8s群集2台node的节点ip和30000端口vim /etc/nginx/nginx.confevents {worker_connections  1024;}#在http块上方，添加stream块stream {upstream k8s-nodes {server 192.168.10.20:30000;    #node01IP:nodePortserver 192.168.10.30:30000;    #node02IP:nodePort}server {listen 30000;                  #自定义监听端口proxy_pass k8s-nodes;}}http {......#include /etc/nginx/conf.d/*.conf;    #建议将这一行注释掉，否则会同时加载/etc/nginx/conf.d/default.conf文件中的内容，nginx会同时监听80端口。}#检查配置文件语法是否正确nginx -t   #启动nginx服务，查看到已监听30000端口systemctl start nginxsystemctl enable nginxnetstat -natp | grep nginx 
tcp        0      0 0.0.0.0:30000           0.0.0.0:*               LISTEN      53751/nginx: master #------------2、两台负载均衡器配置keepalived--------#安装keepalived
yum install -y keepalived#在/etc/keepalived目录下创建nginx检测脚本
cd /etc/keepalived/
vim check_nginx.sh
#!/bin/bash
#检测nginx是否启动了
A=`ps -C nginx --no-header |wc -l`        
if [ $A -eq 0 ];then    #如果nginx没有启动就启动nginx                        systemctl start nginx                #重启nginxif [ `ps -C nginx --no-header |wc -l` -eq 0 ];then    #nginx重启失败，则停掉keepalived服务，进行VIP转移killall keepalived                    fi
fi#给脚本执行权限
chmod +x check_nginx.sh #修改keepalived配置文件
vim keepalived.conf
! Configuration File for keepalivedglobal_defs {notification_email {acassen@firewall.locfailover@firewall.locsysadmin@firewall.loc}notification_email_from Alexandre.Cassen@firewall.locsmtp_server 127.0.0.1     #修改邮箱地址smtp_connect_timeout 30router_id NGINX_01       #修改主备id#删掉这里的四行vrrp  
}#加入周期性检测nginx服务脚本的相关配置
vrrp_script check_nginx{script "/etc/keepalived/check_nginx.sh" #心跳执行的脚本，检测nginx是否启动interval 2                           #（检测脚本执行的间隔，单位是秒）
}vrrp_instance VI_1 {state MASTERinterface ens33   #修改网卡名称virtual_router_id 51priority 100   #优先级，主不改，备改成比100小就行advert_int 1authentication {auth_type PASSauth_pass 1111}virtual_ipaddress {192.168.10.100   #修改VIP地址}#添加跟踪(执行脚本)track_script{check_nginx}
}#重启服务
systemctl restart keepalived.service
systemctl enable keepalived.service#备服务器下载好keepalived后，在主服务器上将脚本和keepalived配置文件传过去
[root@nginx01 keepalived]# scp * 192.168.10.50:`pwd`#传过去后修改三处
router_id NGINX_02 
state BACKUP
priority 90 #然后重启服务
systemctl restart keepalived.service
systemctl enable keepalived.service

五、配置网关服务器

网关服务器，设置双网卡，并且配置SNAT和DNAT转换实现外网客户端可以通过12.0.0.1访问内网的Web服务。

• 内网网卡ens33：192.168.10.1
• 外网网卡ens32：12.0.0.1

 ##两台负载均衡器，将网关地址修改为防火墙服务器的内网IP地址vim /etc/sysconfig/network-scripts/ifcfg-ens33GATEWAY="192.168.10.1"systemctl restart network   #重启网络##配置防火墙服务器#-------------1、关闭防火墙和selinux-------------systemctl stop firewalldsystemctl disable firewalldsetenforce 0sed -i 's/enforcing/disabled/' /etc/selinux/config#------------2、开启路由转发功能----------------vim /etc/sysctl.confnet.ipv4.ip_forward = 1     //在文件中增加这一行，开启路由转发功能sysctl -p    //加载修改后的配置#------------3、配置iptables策略---------------#先将原有的规则清除iptables -F && iptables -t nat -F && iptables -t mangle -F && iptables -X#设置SNAT服务，解析源地址。修改nat表中的POSTROUTING链。#将源地址192.168.10.100转换为为12.0.0.1iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o ens32 -j SNAT --to 12.0.0.1#-t nat                  //指定nat表#-A POSTROUTING          //在POSTROUTING链中添加规则  #-s 192.168.10.100/24    //数据包的源地址#-o ens36                //出站网卡#-j SNAT --to 12.0.0.1   //使用SNAT服务，将源地址转换成公网IP地址。#设置DNAT服务，解析目的地址。修改nat表中的PRETROUTING链。#将目的地址12.0.0.1:3344 转换成 192.168.10.100:3344iptables -t nat -A PREROUTING -i ens32 -d 12.0.0.1 -p tcp --dport 8080 -j DNAT --to 192.168.10.100:30000#-A PREROUTING         //在PREROUTING链中添加规则        #-i ens32              //入站网卡#-d 12.0.0.254         //数据包的目的地址#-p tcp --dport 3344   //数据包的目的端口#-j DNAT --to 192.168.10.100:3344   //使用DNAT功能，将目的地址和端口转换成192.168.10.100:3344#查看策略
[root@wall ~]# iptables -t nat -nL
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         
DNAT       tcp  --  0.0.0.0/0            12.0.0.1             tcp dpt:8080 to:192.168.10.100:30000Chain INPUT (policy ACCEPT)
target     prot opt source               destination         Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
SNAT       all  --  192.168.10.0/24      0.0.0.0/0            to:12.0.0.1##客户端修改网关配置文件，测试访问内网的Web服务客户端IP地址：12.0.0.12，将网关地址设置为防火墙服务器的外网网卡地址：12.0.0.1浏览器输入 http://12.0.0.1:8080 进行访问

配置客户端

做的匆忙，可能自己做的时候改了，截图没改过来，小错误，望指正！