Kubelet运行正常但kubectl连接1.0.0.0:6443被拒问题求助

兄弟，先给你纠正一个关键误解：6443这个端口不是kubelet负责监听的，它是Kubernetes API Server（kube-apiserver）的默认服务端口！你现在kubectl连不上，本质是apiserver没正常启动，所以6443端口根本没人监听。

下面给你一步步排查的思路：

1. 先确认kube-apiserver的状态 #

你现在kubectl用不了，得直接在master节点上查：

• 如果是用systemd管理的apiserver（比如手动部署的场景），执行：

  systemctl status kube-apiserver
  

  看看服务是不是active状态，有没有启动失败的提示。
• 如果是用kubeadm部署的集群，apiserver是作为静态Pod运行的，得用容器 runtime 查看：

  # 用crictl（CRI runtime工具）
  crictl ps | grep kube-apiserver
  # 或者用docker（如果用docker做容器 runtime）
  docker ps | grep kube-apiserver
  

  如果没有输出，说明apiserver容器根本没起来。

2. 查看kube-apiserver的日志找原因 #

这是定位问题最关键的一步：

• 对于systemd管理的服务，实时查看日志：

  journalctl -u kube-apiserver -f
  

• 对于静态Pod，日志一般存在这个路径（kubeadm部署的情况）：

  # 找到对应的日志目录
  ls /var/log/pods/kube-system_kube-apiserver-*
  # 查看最新日志
  tail -f /var/log/pods/kube-system_kube-apiserver-*/kube-apiserver/*.log
  

  或者用crictl直接看容器日志：

  # 先拿到容器ID
  crictl ps -a | grep kube-apiserver
  # 替换成你的容器ID
  crictl logs <container-id>
  

3. 常见的apiserver启动失败原因 #

根据日志信息，你可以重点排查这些方向：

• etcd连接失败：apiserver完全依赖etcd存储数据，如果etcd没起来或者连不上，apiserver就启动失败。先查etcd状态：

  systemctl status etcd
  

  看看etcd是不是正常运行，有没有报错。
• 证书问题：重启master后，可能证书过期、路径配置错误或者权限不对，日志里会有类似certificate、tls相关的错误提示。可以检查证书路径（kubeadm部署的话默认在/etc/kubernetes/pki/）的文件权限和有效性。
• 配置文件错误：如果是静态Pod，检查/etc/kubernetes/manifests/kube-apiserver.yaml里的配置，比如--bind-address有没有设对，端口是不是被改成别的了，或者挂载的证书路径是否正确。
• 资源不足：master节点的内存、CPU不够的话，apiserver可能启动失败。用free -h看看内存剩余，top看看CPU使用率。
• 防火墙/SELinux拦截：CentOS默认开了firewalld，重启后可能重置了规则，检查6443端口是否放行：

  firewall-cmd --list-ports | grep 6443
  

  如果没放行，添加永久规则：

  firewall-cmd --add-port=6443/tcp --permanent
  firewall-cmd --reload
  

  另外SELinux如果是Enforcing状态，也可能影响服务启动，可以临时改成Permissive试试：

  setenforce 0
  

  之后再启动apiserver，看是否正常。

先按照这个思路排查，重点先确认apiserver的状态和日志，应该能找到问题所在。

备注：内容来源于stack exchange，提问作者Gopi