k8s高可用集群部署（二进制，版本v1.18.18）下

10、高可用架构（扩容多Master架构）

Kubernetes作为容器集群系统，通过健康检查+重启策略实现了Pod故障自我修复能力，通过调度算法实现将Pod分布式部署，并保持预期副本数，根据Node失效状态自动在其他Node拉起Pod，实现了应用层的高可用性。

针对Kubernetes集群，高可用性还应包含以下两个层面的考虑：Etcd数据库的高可用性和Kubernetes Master组件的高可用性。而Etcd我们已经采用3个节点组建集群实现高可用，本节将对Master节点高可用进行说明和实施。

Master节点扮演着总控中心的角色，通过不断与工作节点上的Kubelet和kube-proxy进行通信来维护整个集群的健康工作状态。如果Master节点故障，将无法使用kubectl工具或者API做任何集群管理。

Master节点主要有三个服务kube-apiserver、kube-controller-manager和kube-scheduler，其中kube-controller-manager和kube-scheduler组件自身通过选择机制已经实现了高可用，所以Master高可用主要针对kube-apiserver组件，而该组件是以HTTP API提供服务，因此对他高可用与Web服务器类似，增加负载均衡器对其负载均衡即可，并且可水平扩容。

多Master架构图：

10.1、安装Docker

10.2、配置主机环境

10.3、部署Master2 Node（192.168.219.164）

Master2 与已部署的Master1所有操作一致。所以我们只需将Master1所有K8s文件拷贝过来，再修改下服务器IP和主机名启动即可。

10.3.1、创建etcd证书目录

在Master2创建etcd证书目录：
mkdir -p /opt/etcd/ssl

10.3.2、拷贝文件（Master1操作）

拷贝Master1上所有K8s文件和etcd证书到Master2：

scp -r /opt/kubernetes root@192.168.219.165:/opt
scp -r /opt/cni/ root@192.168.219.165:/opt
scp -r /opt/etcd/ssl root@192.168.219.165:/opt/etcd
scp /usr/lib/systemd/system/kube* root@192.168.219.165:/usr/lib/systemd/system
scp /usr/bin/kubectl  root@192.168.219.165:/usr/bin

10.3.3、修改配置文件IP和主机名

修改apiserver、kubelet和kube-proxy配置文件为本地IP：

vi /opt/kubernetes/cfg/kube-apiserver.conf 
...
--bind-address=192.168.219.165 \
--advertise-address=192.168.219.165 \
...
 
vi /opt/kubernetes/cfg/kubelet.conf
--hostname-override=k8s-master2
 
vi /opt/kubernetes/cfg/kube-proxy-config.yml
hostnameOverride: k8s-master2

10.3.4、启动设置开机启动

systemctl daemon-reload
systemctl start kube-apiserver
systemctl start kube-controller-manager
systemctl start kube-scheduler
systemctl start kubelet
systemctl start kube-proxy
systemctl enable kube-apiserver
systemctl enable kube-controller-manager
systemctl enable kube-scheduler
systemctl enable kubelet
systemctl enable kube-proxy

10.3.5、查看集群状态

kubectl get cs
NAME                 STATUS    MESSAGE             ERROR
scheduler            Healthy   ok                  
controller-manager   Healthy   ok                  
etcd-1               Healthy   {"health":"true"}   
etcd-2               Healthy   {"health":"true"}   
etcd-0               Healthy   {"health":"true"}

10.3.6、批准kubelet证书申请

kubectl get csr
NAME                                                   AGE   SIGNERNAME                                    REQUESTOR           CONDITION
node-csr-JYNknakEa_YpHz797oKaN-ZTk43nD51Zc9CJkBLcASU   85m   kubernetes.io/kube-apiserver-client-kubelet   kubelet-bootstrap   Pending
 
kubectl certificate approve node-csr-JYNknakEa_YpHz797oKaN-ZTk43nD51Zc9CJkBLcASU
 
kubectl get node
NAME           STATUS   ROLES    AGE   VERSION
k8s-master1    Ready    <none>   34h   v1.18.18
k8s-master2    Ready    <none>   83m   v1.18.18
k8s-node1      Ready    <none>   33h   v1.18.18
k8s-node2      Ready    <none>   33h   v1.18.18

11、部署Nginx负载均衡器

Nginx是一个主流Web服务和反向代理服务器，这里用四层实现对apiserver实现负载均衡。

Keepalived是一个主流高可用软件，基于VIP绑定实现服务器双机热备，在上述拓扑中，Keepalived主要根据Nginx运行状态判断是否需要故障转移（偏移VIP），例如当Nginx主节点挂掉，VIP会自动绑定在Nginx备节点，从而保证VIP一直可用，实现Nginx高可用。

kube-apiserver高可用架构图：

11.1、安装nginx（主/备一样）

这里使用nginx-1.20.1为列子

11.1.1、安装

yum -y install gcc gcc-c++ zlib zlib-devel pcre pcre-devel openssl openssl-devel
wget http://nginx.org/download/nginx-1.20.1.tar.gz
tar -zxvf nginx-1.20.1.tar.gz
cd nginx-1.20.1
./configure --prefix=/usr/local/nginx  --with-stream
make
make install

11.1.2、配置nginx.conf

cat > /usr/local/nginx/conf/nginx.conf << "EOF"
user nginx;
worker_processes auto;
error_log /var/log/nginx/error.log;
pid /run/nginx.pid;

include /usr/share/nginx/modules/*.conf;

events {
    worker_connections 1024;
}

# 四层负载均衡，为两台Master apiserver组件提供负载均衡
stream {

    log_format  main  '$remote_addr $upstream_addr - [$time_local] $status $upstream_bytes_sent';

    access_log  /var/log/nginx/k8s-access.log  main;

    upstream k8s-apiserver {
       server 192.168.219.161:6443;   # Master1 APISERVER IP:PORT
       server 192.168.219.164:6443;   # Master2 APISERVER IP:PORT
    }
    
    server {
       listen 6443;
       proxy_pass k8s-apiserver;
    }
}

http {
    log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';

    access_log  /var/log/nginx/access.log  main;

    sendfile            on;
    tcp_nopush          on;
    tcp_nodelay         on;
    keepalive_timeout   65;
    types_hash_max_size 2048;

    include             /usr/local/nginx/conf/mime.types;
    default_type        application/octet-stream;

    server {
        listen       80 default_server;
        server_name  _;

        location / {
        }
    }
}
EOF

11.1.3、创建nginx日志目录

mkdir -p /var/log/nginx

11.1.4、配置nginx.service

cat > /usr/lib/systemd/system/nginx.service << EOF
[Unit]
Description=The nginx HTTP and reverse proxy server
After=network-online.target remote-fs.target nss-lookup.target
Wants=network-online.target

[Service]
Type=forking
ExecStartPre=/usr/local/nginx/sbin/nginx -t
ExecStart=/usr/local/nginx/sbin/nginx
ExecReload=/usr/local/nginx/sbin/nginx -s reload
KillSignal=SIGQUIT
TimeoutStopSec=5
KillMode=process
PrivateTmp=true

[Install]
WantedBy=multi-user.target
EOF

11.1.5、启动：

systemctl daemon-reload
systemctl start nginx.service
systemctl enable nginx.service

11.2、安装keepalived

11.2.1、安装（主/备一样）

yum install epel-release -y
yum install keepalived -y

11.2.2、keepalived配置文件（Nginx Master）

cat > /etc/keepalived/keepalived.conf << EOF
global_defs { 
   notification_email { 
     acassen@firewall.loc 
     failover@firewall.loc 
     sysadmin@firewall.loc 
   } 
   notification_email_from Alexandre.Cassen@firewall.loc  
   smtp_server 127.0.0.1 
   smtp_connect_timeout 30 
   router_id NGINX_MASTER
} 

vrrp_script check_nginx {
    script "/etc/keepalived/check_nginx.sh"
}

vrrp_instance VI_1 { 
    state MASTER 
    interface ens33  # 修改为实际网卡名
    virtual_router_id 51 # VRRP 路由 ID实例，每个实例是唯一的 
    priority 100    # 优先级，备服务器设置 90 
    advert_int 1    # 指定VRRP 心跳包通告间隔时间，默认1秒 
    authentication { 
        auth_type PASS      
        auth_pass 1111 
    }  
    # 虚拟IP
    virtual_ipaddress { 
        192.168.219.188/24
    } 
    track_script {
        check_nginx
    } 
}
EOF

vrrp_script：指定检查nginx工作状态脚本（根据nginx状态判断是否故障转移）
virtual_ipaddress：虚拟IP（VIP）

11.2.3、keepalived配置文件（Nginx Backup）

cat > /etc/keepalived/keepalived.conf << EOF
global_defs { 
   notification_email { 
     acassen@firewall.loc 
     failover@firewall.loc 
     sysadmin@firewall.loc 
   } 
   notification_email_from Alexandre.Cassen@firewall.loc  
   smtp_server 127.0.0.1 
   smtp_connect_timeout 30 
   router_id NGINX_BACKUP
} 

vrrp_script check_nginx {
    script "/etc/keepalived/check_nginx.sh"
}

vrrp_instance VI_1 { 
    state BACKUP 
    interface ens33
    virtual_router_id 51 # VRRP 路由 ID实例，每个实例是唯一的 
    priority 90
    advert_int 1
    authentication { 
        auth_type PASS      
        auth_pass 1111 
    }  
    virtual_ipaddress { 
        192.168.219.188/24
    } 
    track_script {
        check_nginx
    } 
}
EOF

11.2.4、检查nginx状态脚本（主/备一样）

cat > /etc/keepalived/check_nginx.sh  << "EOF"
#!/bin/bash
count=$(ps -ef |grep nginx |egrep -cv "grep|$$")

if [ "$count" -eq 0 ];then
    exit 1
else
    exit 0
fi
EOF

注：keepalived根据脚本返回状态码（0为工作正常，非0不正常）判断是否故障转移。

11.2.5、给脚本执行权限（主/备一样）

chmod +x /etc/keepalived/check_nginx.sh

11.2.6、启动并设置开机启动

systemctl daemon-reload
systemctl start keepalived
systemctl enable keepalived

11.2.7、查看keepalived工作状态

[root@localhost ~]# ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: ens33: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 00:0c:29:38:22:5b brd ff:ff:ff:ff:ff:ff
    inet 192.168.219.181/24 brd 192.168.219.255 scope global noprefixroute ens33
       valid_lft forever preferred_lft forever
    inet 192.168.219.188/24 scope global secondary ens33
       valid_lft forever preferred_lft forever
    inet6 fe80::dcc2:352e:92f5:4d4b/64 scope link noprefixroute
       valid_lft forever preferred_lft forever

可以看到，在ens33网卡绑定了192.168.31.88 虚拟IP，说明工作正常。

11.3、Nginx+Keepalived高可用测试

关闭主节点Nginx，测试VIP是否漂移到备节点服务器。
在Nginx Master执行 pkill nginx
在Nginx Backup，ip addr命令查看已成功绑定VIP。

11.4、访问负载均衡器测试

11.4.1、找K8s集群中任意一个节点，使用curl查看K8s版本测试，使用VIP访问：

[root@localhost ~]# curl -k https://192.168.219.188:6443/version
{
  "major": "1",
  "minor": "18",
  "gitVersion": "v1.18.18",
  "gitCommit": "6f6ce59dc8fefde25a3ba0ef0047f4ec6662ef24",
  "gitTreeState": "clean",
  "buildDate": "2021-04-15T03:23:41Z",
  "goVersion": "go1.13.15",
  "compiler": "gc",
  "platform": "linux/amd64"
}

可以正确获取到K8s版本信息，说明负载均衡器搭建正常。该请求数据流程：curl -> vip(nginx) -> apiserver

11.4.2、通过查看Nginx日志也可以看到转发apiserver IP：

tail /var/log/nginx/k8s-access.log -f
192.168.219.181 192.168.219.161:6443 - [30/May/2020:11:15:10 +0800] 200 422
192.168.219.181 192.168.219.164:6443 - [30/May/2020:11:15:26 +0800] 200 422

到此还没结束，还有下面最关键的一步。

12、修改所有Worker Node连接LB VIP

试想下，虽然我们增加了Master2和负载均衡器，但是我们是从单Master架构扩容的，也就是说目前所有的Node组件连接都还是Master1，如果不改为连接VIP走负载均衡器，那么Master还是单点故障。

12.1、因此接下来就是要改所有Node组件配置文件，由原来192.168.219.161修改为192.168.219.188（VIP）

主机名	ip
k8s-master1	192.168.219.161
k8s-node1	192.168.219.162
k8s-node2	192.168.219.163
k8s-master2	192.168.219.164

也就是通过kubectl get node命令查看到的节点。

12.2、在上述所有Worker Node执行

sed -i 's#192.168.219.161:6443#192.168.219.188:6443#' /opt/kubernetes/cfg/*
systemctl restart kubelet
systemctl restart kube-proxy

12.3、检查节点状态

kubectl get node
NAME             STATUS   ROLES    AGE      VERSION
k8s-master1    Ready    <none>   34h      v1.18.18
k8s-master2    Ready    <none>   101m   v1.18.18
k8s-node1      Ready    <none>   33h      v1.18.18
k8s-node2      Ready    <none>   33h      v1.18.18

至此，一套完整的 Kubernetes 高可用集群就部署完成了！

PS：如果你是在公有云上，一般都不支持keepalived，那么你可以直接用它们的负载均衡器产品（内网就行，还免费~），架构与上面一样，直接负载均衡多台Master kube-apiserver即可！