kubeadm部署Kubernetes集群核心为两步：控制平面节点初始化与工作节点加入；需满足操作系统、关闭swap、防火墙配置、bridge-nf-call-iptables、唯一可解析hostname及时间同步等前置条件。
用 kubeadm 部署 Kubernetes 集群，核心就两步：控制平面节点（master）初始化 + 其他节点加入。流程不复杂，但细节多、易出错。下面按真实部署顺序，把关键点和常见坑说清楚。
前置条件必须到位
所有节点（包括 master）都要满足这些基础要求，缺一不可：
- 操作系统：CentOS 7.6+ / Ubuntu 20.04+（推荐 LTS 版本），内核 ≥ 3.10
- 关闭 swap：
swapoff -a并注释/etc/fstab中 swap 行 - 关闭防火墙或放行必要端口（如 6443、10250、2379–2380 等），生产环境建议用
iptables或firewalld精确控制 - 配置
bridge-nf-call-iptables=1（加载br_netfilter模块并写入 sysctl） - 每个节点 hostname 唯一且可被解析（
/etc/hosts或 DNS），不能含下划线 - 时间同步：所有节点运行
chronyd或ntpd，偏差超过 1s 可能导致证书校验失败
kubeadm init 初始化控制平面节点
在计划作为 master 的节点上执行。重点不是命令本身，而是参数选对、输出看懂：
- 推荐显式指定 kubernetes 版本（避免自动拉最新不稳定版）：
kubeadm init --kubernetes-version=v1.28.6 --pod-network-cidr=10.244.0.0/16 -
--pod-network-cidr必须和后续 CNI 插件（如 Flannel）的网段一致，Flannel 默认用10.244.0.0/16，Calico 常用192.168.0.0/16 - 若节点有多个网卡，加
--apiserver-advertise-address=xxx.xxx.xxx.xxx指定监听的内网 IP - 成功后会输出
kubeadm join命令（含 token 和 ca cert hash），务必保存——24 小时后 token 过期，需用kubeadm token create --print-join-command重新生成 - 初始化完成后，按提示配置当前用户使用 kubeconfig：
mkdir -p $HOME/.kube && sudo cp -i /etc/kubernetes/admin.conf $HOME/.kube/config && sudo chown $(id -u):$(id -g) $HOME/.kube/config
安装 Pod 网络插件（CNI）
master 初始化完只是“半成品”，没有 CNI，Pod 无法跨节点通信，kubectl get nodes 会卡在 NotReady：
- Flannel（轻量常用）：
kubectl apply -f https://github.com/flannel-io/flannel/releases/latest/download/kube-flannel.yml
注意：确保net-conf.json中的Network字段和kubeadm init的--pod-network-cidr严格一致 - Calico（企业级功能多）：
kubectl apply -f https://docs.projectcalico.org/manifests/calico.yaml
如需自定义 CIDR，修改 yaml 中CALICO_IPV4POOL_CIDR环境变量 - 装完等 1–2 分钟，执行
kubectl get pods -n kube-system确认 cni 相关 pod 全部 Running，再查 node 状态
kubeadm join 加入工作节点
在其他节点上执行初始化输出的 kubeadm join 命令（或重新生成）：
- 命令形如：
kubeadm join 192.168.10.100:6443 --token abcdef.0123456789abcdef --discovery-token-ca-cert-hash sha256:xxxxxxxxxx... - 如果提示 “connection refused” 或 “x509 certificate signed by unknown authority”，先检查 master 节点
6443端口是否可达（telnet 192.168.10.100 6443），再确认证书 hash 是否复制完整（尤其注意中间有空格或换行） - 加入后，在 master 上运行
kubectl get nodes查看状态，首次可能显示NotReady，等 CNI 自动部署完成（约 30 秒–2 分钟）就会变成Ready - 如需让 worker 节点也能运行 control-plane 组件（例如单机多角色测试），加
--control-plane --certificate-key xxx参数（需从 master 上用kubeadm init phase upload-certs --upload-certs获取 key）
基本上就这些。kubeadm 是 Kubernetes 官方推荐的快速部署工具，只要前置环境干净、网络通、参数对，整个流程 10 分钟内就能跑通一个可用集群。真正难的是后续的高可用、证书轮换、升级和监控，但那是另一个故事了。
