debian k8s部署注意啥

在 Debian 上部署 Kubernetes（k8s）时，有很多系统层面和集群层面的细节需要注意，下面按「常见坑 + 最佳实践」给你梳理一份实用清单。

一、系统准备（非常重要）

1. 操作系统版本

• 推荐 Debian 11 (Bullseye) / 12 (Bookworm)
• 内核建议 ≥ 5.10
• 不要用太老的 Debian（如 9/10），容器运行时支持会出问题

cat /etc/os-release
uname -a

2. 关闭 swap（必须）

Kubernetes 不支持 swap

sudo swapoff -a
sudo sed -i '/swap/d' /etc/fstab

3. 内核参数 & 模块

cat <<EOF | sudo tee /etc/modules-load.d/k8s.conf
overlay
br_netfilter
EOF

sudo modprobe overlay
sudo modprobe br_netfilter

cat <<EOF | sudo tee /etc/sysctl.d/k8s.conf
net.bridge.bridge-nf-call-iptables  = 1
net.bridge.bridge-nf-call-ip6tables = 1
net.ipv4.ip_forward                 = 1
EOF

sudo sysctl --system

4. 时间同步（必须）

节点时间不一致会导致证书、etcd 出问题

sudo apt install -y chrony
sudo systemctl enable --now chrony

二、容器运行时选择（关键）

✅ 推荐：containerd（官方推荐）

Docker 已不再是 k8s 默认运行时（从 1.24 起被弃用）

安装 containerd

sudo apt install -y containerd
sudo mkdir -p /etc/containerd
containerd config default | sudo tee /etc/containerd/config.toml

# 修改 SystemdCgroup = true
sudo sed -i 's/SystemdCgroup = false/SystemdCgroup = true/' /etc/containerd/config.toml

sudo systemctl restart containerd
sudo systemctl enable containerd

三、安装 kubeadm / kubelet / kubectl

1. 添加 Kubernetes apt 源

sudo apt install -y apt-transport-https ca-certificates curl

curl -fsSL https://pkgs.k8s.io/core:/stable:/v1.29/deb/Release.key | sudo gpg --dearmor -o /etc/apt/keyrings/kubernetes-apt-keyring.gpg

echo "deb [signed-by=/etc/apt/keyrings/kubernetes-apt-keyring.gpg] https://pkgs.k8s.io/core:/stable:/v1.29/deb/ /" | sudo tee /etc/apt/sources.list.d/kubernetes.list

sudo apt update
sudo apt install -y kubelet kubeadm kubectl
sudo apt-mark hold kubelet kubeadm kubectl

四、初始化集群（Master）

sudo kubeadm init \
  --pod-network-cidr=10.244.0.0/16 \
  --cri-socket=unix:///run/containerd/containerd.sock

初始化后：

mkdir -p $HOME/.kube
sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config
sudo chown $(id -u):$(id -g) $HOME/.kube/config

五、网络插件（必装）

不装网络插件，节点永远是 NotReady

常见选择

• Flannel（简单）
• Calico（生产推荐）
• Cilium（高性能）

Flannel 示例

kubectl apply -f https://github.com/flannel-io/flannel/releases/latest/download/kube-flannel.yml

六、Debian 特有注意事项

1. systemd & cgroup

• Debian 默认使用 systemd cgroup driver
• containerd 必须配置 SystemdCgroup = true
• 否则 kubelet 启动失败

2. iptables 模式

Debian 12 可能默认使用 nftables Kubernetes 更兼容 iptables-legacy

update-alternatives --set iptables /usr/sbin/iptables-legacy
update-alternatives --set ip6tables /usr/sbin/ip6tables-legacy

3. 防火墙

如果是云服务器或本地防火墙：

• 放行：
  • 6443（API）
  • 10250（kubelet）
  • 节点间全部通信（或先关防火墙测试）

七、生产部署建议

• ✅ 使用 containerd
• ✅ etcd 单独部署或至少 3 节点
• ✅ 使用 HA 架构（多 master + Keepalived / LB）
• ✅ 开启 RBAC（默认已开）
• ✅ 定期升级 kubeadm/kubelet（小版本）
• ✅ 禁用 root SSH 登录
• ✅ 使用静态 IP + hosts 或 DNS

八、常见坑总结

如果你愿意，可以告诉我：

• 单节点还是多节点？
• 物理机 / 虚拟机 / 云？
• k8s 版本需求？

我可以给你一份针对你环境的完整部署脚本。