檢視次數:
設定檔適用性：等級 1
允許 Kubelet 管理 iptables。
Kubelets 可以根據您選擇的 pod 網路選項，自動管理對 iptables 的必要更改。建議讓 kubelets 管理對 iptables 的更改。這可確保 iptables 配置與 pod 網路配置保持同步。手動配置 iptables 並進行動態 pod 網路配置更改可能會妨礙 pod/容器之間以及與外界的通信。您可能會有過於限制或過於開放的 iptables 規則。
注意
注意
請參閱 Amazon EKS 文件以了解預設值。

影響

Kubelet 會管理系統上的 iptables 並保持同步。如果您使用其他 iptables 管理方案，可能會出現一些衝突。

稽核

稽核方法 1：
  1. SSH 到每個節點。
  2. 在每個節點上執行以下命令以查找 Kubelet 進程：
    ps -ef | grep kubelet
    如果輸出包含參數 --make-iptables-util-chains，請確認其設定為 true。
  3. 如果 --make-iptables-util-chains 參數不存在，且有透過 --config 指定 Kubelet 配置檔，請確認該檔案未將 makeIPTablesUtilChains 設定為 false。
稽核方法 2：
如果使用 api configz 端點，請考慮透過從執行 kubelet 的節點提取即時配置來搜尋 "makeIPTablesUtilChains":true 的狀態。
設定本地 Proxy 通訊埠及以下變數，並提供 Proxy 通訊埠號碼及節點名稱：HOSTNAME_PORT="localhost-and-port-number" NODE_NAME="The-Name-Of-Node-To-Extract-Configuration" 從 "kubectl get nodes" 的輸出中獲取
kubectl proxy --port=8001 &
export HOSTNAME_PORT=localhost:8001 (example host and port number)
export NODE_NAME=ip-192.168.31.226.ec2.internal (example node name from
"kubectl get nodes")
curl -sSL "http://${HOSTNAME_PORT}/api/v1/nodes/${NODE_NAME}/proxy/configz"

補救

修復方法 1：
如果要修改 Kubelet 配置文件，請編輯 kubelet-config.json 文件 /etc/kubernetes/kubelet/kubelet-config.json，並將以下參數設置為 true：
"makeIPTablesUtilChains": true
確保 /etc/systemd/system/kubelet.service.d/10-kubelet-args.conf 未設定 --make-iptables-util-chains 參數，因為這會覆蓋您 Kubelet 的配置檔案。
修復方法 2：
如果使用可執行參數，請在每個工作節點上編輯 kubelet 服務檔案 /etc/systemd/system/kubelet.service.d/10-kubelet-args.conf，並在 KUBELET_ARGS 變數字串的末尾添加以下參數。
--make-iptables-util-chains:true
修復方法 3：
如果使用 api configz 端點，請考慮透過從執行 kubelet 的節點提取即時配置來搜尋 "makeIPTablesUtilChains":true 的狀態。
在重新配置節點的 Kubelet 在即時叢集中查看詳細的逐步 configmap 程序，然後重新執行來自審核過程的 curl 語句以檢查 kubelet 配置變更：
kubectl proxy --port=8001 &
export HOSTNAME_PORT=localhost:8001 (example host and port number)
export NODE_NAME=ip-192.168.31.226.ec2.internal (example node name from
"kubectl get nodes")
curl -sSL "http://${HOSTNAME_PORT}/api/v1/nodes/${NODE_NAME}/proxy/configz"
對於所有三個修復措施：根據您的系統，重新啟動kubelet服務並檢查狀態：
systemctl daemon-reload
systemctl restart kubelet.service
systemctl status kubelet -l