kubernetes - 为什么10251和10252端口没有在k8s控制平面中使用？

Question

我正在关注 this并准备要求我们的 IT 团队为我打开硬件防火墙端口:

控制平面节点

<表类="s-表"><头>协议(protocol)方向端口范围目的使用者<正文>TCP入站6443*Kubernetes API 服务器全部TCP入站2379-2380etcd 服务器客户端 APIkube-apiserver, etcdTCP入站10250kubelet API self ，控制平面TCP入站10251kube-调度器 self TCP入站10252kube- Controller 管理器 self

工作节点

<表类="s-表"><头>协议(protocol)方向端口范围目的使用者<正文>TCP入站10250kubelet API self ，控制平面TCP入站30000-32767节点端口服务†全部

在我要求 IT 为我打开硬件端口之前，我检查了没有硬件防火墙的本地环境，我看到了这个:

# netstat -oanltp | grep 10250
tcp6       0      0 :::10250       :::*              LISTEN      3914/kubelet         off (0.00/0/0)
# netstat -oanltp | grep 10251
# netstat -oanltp | grep 10252

您可以看到 10251 和 10252 上没有任何监听。但是我的 kube-scheduler 和 kube-controller-manager 正在运行，一切正常:

kube-system   kube-controller-manager-shlava     1/1     Running     0          47h     10.192.244.109   
kube-system   kube-scheduler-shlava              1/1     Running     0          47h     10.192.244.109   

所以我想知道:10251 和 10252 上没有监听是否正常？

Answer 1

答案是:视情况而定。

• 您可能已经使用 --port 标志指定了一个不同的端口来提供 HTTP 服务
• 您可能已经使用 --port 0 完全禁用了 HTTP 服务
• 您正在使用最新版本的 K8s

最后一个最有可能是 Creating a cluster with kubeadm声明它是为版本 1.21

编写的

端口 10251 和 10252 已在版本 1.17 中被替换(查看更多 here )

Kubeadm: enable the usage of the secure kube-scheduler and kube-controller-manager ports for health checks. For kube-scheduler was 10251, becomes 10259. For kube-controller-manager was 10252, becomes 10257.

此外，此功能在 1.19 中被取消(更多 here)

Kube-apiserver: the componentstatus API is deprecated. This API provided status of etcd, kube-scheduler, and kube-controller-manager components, but only worked when those components were local to the API server, and when kube-scheduler and kube-controller-manager exposed unsecured health endpoints. Instead of this API, etcd health is included in the kube-apiserver health check and kube-scheduler/kube-controller-manager health checks can be made directly against those components' health endpoints.

文档的某些部分似乎已过时。