常见问题 银河麒麟Kubernetes节点CRI
K8s 节点接不进去？
麒麟机器作 K8s 节点接入失败：时钟未同步、防火墙拦 CRI 端口、内核参数未调、cgroup 版本不符。给出分层排查路径。
发布于 2026/11/11
所属频道 银河麒麟
简短答案
节点接不进去按”网络 → 内核 → 运行时 → 时钟”顺序查，任一层不通节点都起不来。
| 现象 | 原因 | 处理 |
|---|---|---|
| 节点 NotReady | CRI 端口不通 | 放行 10250 |
| 加入后反复断 | 时钟偏差 | 配 NTP |
| 容器起不来 | cgroup 版本不符 | 切 v2 |
| 内核参数缺失 | sysctl 未调 | 按 K8s 要求调 |
怎么排查
# 1. 看 CRI 服务
systemctl status containerd
# 2. 看 cgroup
stat -fc %T /sys/fs/cgroup/
# 3. 放行端口（示例）
sudo firewall-cmd --add-port=10250/tcp --permanent
sudo firewall-cmd --reload
# 4. 调内核参数（按 K8s 文档）
sudo sysctl -w net.bridge.bridge-nf-call-iptables=1
# 5. 看时钟
timedatectl- 节点镜像选型以 麒麟 V11 服务器版 为准，桌面版不建议作生产节点（参考 麒麟 V11 桌面版）。
- 内核参数与 cgroup 要求按 K8s 版本文档为准，以 银河麒麟 发行说明做系统侧基线。
- 时钟同步按行业规范配置 NTP 源。
操作小结
- 网络 → 内核 → 运行时 → 时钟。
- 生产节点走服务器版。
- 内核参数与 cgroup 按 K8s 版本对齐。