超稳攻略！Rancher 2.3手动轮换证书，保护集群安全！

Posted

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了超稳攻略！Rancher 2.3手动轮换证书，保护集群安全！相关的知识，希望对你有一定的参考价值。

参考技术A Rancher 2.3正式发布已经一年，第一批使用Rancher 2.3的用户可能会遇到Rancher Server证书过期，但是没有自动轮换的情况。这会导致Rancher Server无法启动，并且日志出现报错：

请注意：

Rancher Server无法启动不会影响下游集群，下游集群依然可以通过kubeconfig去操作。

为了让大家更好的理解这个问题，下面将以手动修改系统时间的形式来重现这个问题。

当前时间： 2020年10月30日 星期五 10时37分59秒 CST

1、启动Rancher v2.3.1，并且添加下游集群，操作步骤可以参考官网：

2、启动Rancher 之后，从浏览器上查看到的过期时间： 2021年10月30日 星期六 中国标准时间 10:29:35

3、查看Rancher Server容器内的K3s证书过期时间为 Oct 30 02:28:49 2021 GMT

4、将服务器时间调整为证书过期后5天的日期，比如： 20211105

此时，Rancher UI 已经无法访问：

并且Rancher 容器由于内置的K3s证书过期而不断重启。

以上现象是因为Rancher Server内置的K3s证书过期，导致K3s无法启动，从而导致Rancher Server容器无法启动。

为了可以继续操作Rancher Server容器，需要将系统时间调整到K3s证书过期之前。

接下来我们就可以进入到容器内手动删除K3s证书，然后重启Rancher，重启成功后将重新生成K3s证书。

Rancher Server如果出现以下日志，那么需要再重启一次Rancher Server：

1、将服务器时间再次调整为证书过期后5天的日期，比如： 20211105

证书更新之后，我们需要确认K3s证书是否更新成功，还需要检查下游集群是否会有影响。

2、确认K3s证书已经更新

K3s证书过期时间已经从 Oct 30 02:28:49 2021 GMT 更新到了 Oct 24 16:00:54 2022 GMT

3、确认浏览器证书已经更新

浏览器上的证书过期已经从 2021年10月30日 星期六 中国标准时间 10:29:35 更新到了 2022年10月25日 星期二 中国标准时间 00:01:34

4、确认下游集群不受影响

从Rancher 2.3开始，Rancher Server容器中内置了K3s作为local集群来支撑Rancher Server运行。

而K3s内部自动签发的证书有效期是1年，正常情况下如果证书已过期或剩余的时间少于90天，则在重新启动K3s时将轮换证书。参考官方文档：

https://docs.rancher.cn/docs/k3s/advanced/_index

实际上由于K3s的bug导致在证书已过期或剩余的时间少于90天时重启Rancher，没有将K3s证书轮换，所以才会出现上述问题。

不过无需担心，在后续的K3s v1.19版本中已经解决了这一问题，请参考：

https://github.com/rancher/k3s/commit/a2471a1f8a2aa26902f8e3b29624dc9c809024d2

轻松上手 | 使用国内资源安装 K3s 全攻略

作者：
王海龙，SUSE Rancher 中国社区技术经理，Linux Foundation APAC Evangelist，负责 Rancher 中国技术社区的维护和运营。拥有 8 年的云计算领域经验，经历了 OpenStack 到 Kubernetes 的技术变革，无论底层操作系统 Linux，还是虚拟化 KVM 或是 Docker 容器技术都有丰富的运维和实践经验。

近期，经常有小伙伴在 K3s 社区中咨询关于使用国内资源安装 K3s 的问题，本文将对此进行详细介绍。

K3s 安装和启动流程

K3s 是一个轻量级的 Kubernetes 发行版，非常简单易用而且轻量。只需要一个简单的安装脚本即可把 K3s 安装到主机。

以下是使用官方安装脚本的执行过程：

# curl -sfL https://get.k3s.io | sh -
[INFO]  Finding release for channel stable
[INFO]  Using v1.25.3+k3s1 as release
[INFO]  Downloading hash https://github.com/k3s-io/k3s/releases/download/v1.25.3+k3s1/sha256sum-amd64.txt
[INFO]  Downloading binary https://github.com/k3s-io/k3s/releases/download/v1.25.3+k3s1/k3s
[INFO]  Verifying binary download
...
...
[INFO]  systemd: Starting k3s

如果从国内环境安装 K3s 可能会遇到安装速度特别缓慢或者 time out 的情况，从以上的安装过程可以分析出以下几个原因：

  • K3s 的安装脚本 存储在国外的服务器，从国内环境访问可能出现无法访问的情况。
  • K3s 默认安装 stable 版本，stable 对应的具体 K3s 版本是通过 https://update.k3s.io/v1-release/channels 解析来的，而这个地址也是运行在一个国外的服务器上。
  • 当通过 channel 解析出对应 K3s 的版本为：v1.25.3+k3s1，此时需要到 github 上拉取对应的 K3s 二进制文件。虽然这个二进制文件才几十兆，但国内环境访问 github 经常会出现无法访问的情况。
# kubectl get pods -A
NAMESPACE     NAME                                      READY   STATUS              RESTARTS   AGE
kube-system   helm-install-traefik-crd-7k9rw            0/1     ContainerCreating   0          10m
kube-system   helm-install-traefik-8q69g                0/1     ContainerCreating   0          10m
kube-system   coredns-75fc8f8fff-hlx2w                  0/1     ContainerCreating   0          10m
kube-system   metrics-server-5c8978b444-xz6vx           0/1     ContainerCreating   0          10m
kube-system   local-path-provisioner-5b5579c644-8g2kn   0/1     ImagePullBackOff    0          10m

另外，要完整运行 K3s，还依赖一些系统的服务，这些系统服务(例如：coredns、traefik)都是以容器的方式运行；而这些系统服务依赖的系统镜像默认是从 DockerHub 去拉取。同样从国内访问偶尔会出现无法访问或拉取镜像缓慢的情况。

以上，就是在国内环境使用 K3s 的一些痛点。

使用国内资源安装 K3s

为了解决以上问题，K3s 社区已经将所需的 K3s 资源都同步到了国内的服务器上，这样我们就可以使用这些国内资源在国内环境上安装 K3s，不但提升了安装速度也提升了安装的稳定性。

该站点由 K3s 社区维护，同步资源到国内服务器有可能出现延后或遗漏情况，如发现延后或遗漏情况欢迎反馈到中文论坛。

K3s 社区都同步了哪些资源到国内？

  • K3s 安装脚本
  • Channel 解析文件
  • K3s 的二进制文件
  • K3s 依赖系统镜像

接下来，再来看下应该如何运用国内的资源安装 K3s：

# curl –sfL \\
     https://rancher-mirror.oss-cn-beijing.aliyuncs.com/k3s/k3s-install.sh | \\
     INSTALL_K3S_MIRROR=cn sh -s - \\
     --system-default-registry "registry.cn-hangzhou.aliyuncs.com"


[INFO]  Finding release for channel stable
[INFO]  Using v1.25.3+k3s1 as release
[INFO]  Downloading hash rancher-mirror.oss-cn-beijing.aliyuncs.com/k3s/v1.25.3-k3s1/sha256sum-amd64.txt
[INFO]  Downloading binary rancher-mirror.oss-cn-beijing.aliyuncs.com/k3s/v1.25.3-k3s1/k3s
[INFO]  Verifying binary download
...
...
[INFO]  systemd: Starting k3s

确认系统镜像是否从阿里云镜像仓库拉取：

# kubectl get pods -n kube-system
NAME                                     READY   STATUS      RESTARTS   AGE
coredns-7c855cf8c6-x6d77                 1/1     Running     0          7m55s


# kubectl describe pods coredns-7c855cf8c6-x6d77 -n kube-system
Events:
  Type    Reason     Age    From               Message
  ----    ------     ----   ----               -------
  Normal  Scheduled  7m44s  default-scheduler  Successfully assigned kube-system/coredns-7c855cf8c6-x6d77 to k3s3
  Normal  Pulling    7m40s  kubelet            Pulling image "registry.cn-hangzhou.aliyuncs.com/rancher/mirrored-coredns-coredns:1.9.1"
  Normal  Pulled     7m6s   kubelet            Successfully pulled image "registry.cn-hangzhou.aliyuncs.com/rancher/mirrored-coredns-coredns:1.9.1" in 34.050826086s
  Normal  Created    7m6s   kubelet            Created container coredns
  Normal  Started    7m6s   kubelet            Started container coredns

首先，安装 K3s 使用的是存储在阿里云对象存储上的 K3s 安装脚本，并且使用存储在国内 channel 去解析对应的 K3s 版本。

其次，通过 INSTALL_K3S_MIRROR=cn 环境变量来指定 K3s 的二进制文件从国内的阿里云对象存储上去拉取。

最后，通过--system-default-registry参数来指定 K3s 的系统镜像从国内的阿里云镜像仓库(registry.cn-hangzhou.aliyuncs.com) 去拉取。

如果你的带宽充足，一分钟之内即可完成 K3s 的安装和系统服务的启动。

K3s 配置 Mirror

以上这些步骤只是为了加速 K3s 的安装和启动。启动 K3s 后你可能会在 K3s 上部署自己的业务(例如 nginx)，而这些镜像默认也是从 DockerHub 拉取。如果使用 docker 容器运行时，你可能会在 docker 上配置 mirror 来加速镜像的拉取。

K3s 默认使用的 containerd 容器运行时。而且，可以通过 K3s 的参数来设置 containerd 的 mirror，设置方式如下：

cat >> /etc/rancher/k3s/registries.yaml <<EOFmirrors:  "docker.io":    endpoint:      - "https://docker.mirrors.ustc.edu.cn" # 可根据需求替换 mirror 站点      - "https://registry-1.docker.io"EOFsystemctl restart k3s

经过以上配置后，通过 K3s 拉取的镜像如果在配置的 mirror 站点中存在，那么将会从该站点拉取镜像。如果不存在，将会从默认的 docker.io 中拉取镜像。

如果你想确认 containerd 的 mirror 是否生效，你可以使用 crictl info 检查：

# crictl info
    "registry": 
      "configPath": "",
      "mirrors": 
        "docker.io": 
          "endpoint": [
            "https://docker.mirrors.ustc.edu.cn",
            "https://registry-1.docker.io"
          ],
          "rewrite": null
        
      ,

通过 Rancher Manager 创建 K3s 集群

从 Rancher v2.6 开始，支持从 Rancher Manager 创建 K3s 集群。通过 Rancher Manager 创建 K3s 集群和默认的 K3s 集群安装有所不同，前者创建集群主要依赖一些镜像完成，这些镜像默认是从 DockerHub 拉取。

同样，可以在 Rancher Manager 修改创建 K3s 集群的参数来完成使用国内资源安装 K3s 集群。只需要在创建 K3s 集群时导航到 Registries，选择 Pull images for Rancher from a private registry 并设置 Registry hostname for Rancher images 的值为阿里云镜像仓库的地址 “registry.cn-hangzhou.aliyuncs.com” 即可，如下图：

后 记

通过以上方式安装 K3s 基本能满足国内环境使用 K3s 的各种需求，而且安装和启动速度也更快。

如果使用以上方式安装 K3s 出现问题或疑问，或者有其他需求，欢迎大家通过中文论坛进行反馈。

以上是关于超稳攻略！Rancher 2.3手动轮换证书，保护集群安全！的主要内容，如果未能解决你的问题，请参考以下文章

Rancher证书更新

Rancher证书更新

Rancher证书更新

需要更新服务器或网站以支持 AWS 证书轮换

新证书上的 Service Fabric 应用 Kestrel 证书轮换

AWS，为 RDS 轮换 SSL/TLS 证书