云外主机接入OCI部署的k3s集群失败，卡在k3s-agent启动环节

核心配置调整点 #

• 修正k3s Server的绑定与通告地址
  默认k3s Server仅绑定127.0.0.1，外部Agent无法建立连接。启动Server时必须指定可被外部访问的IP（OCI实例公网IP或VPC内可穿透的IP），同时设置--advertise-address保持一致：

  k3s server --bind-address=你的OCI实例公网IP --advertise-address=你的OCI实例公网IP
  

  若Server已部署，修改/etc/systemd/system/k3s.service中的启动命令，添加上述参数后执行：

  systemctl daemon-reload
  systemctl restart k3s
  

• Agent启动命令必须指定公网Server地址与有效Token
  安装Agent时不能使用内网IP，必须明确指向Server的公网地址，同时携带集群有效Token：

  curl -sfL https://get.k3s.io | K3S_URL=https://你的OCI实例公网IP:6443 K3S_TOKEN=你的集群token sh -
  

  Token可在Server节点的/var/lib/rancher/k3s/server/node-token文件中获取。

额外排查步骤 #

• 验证6443端口的外部连通性
  在家用电脑上执行以下命令，确认端口可访问：

  nc -zv 你的OCI实例公网IP 6443
  

  若不通，除VPC安全组外，需检查OCI实例的网络安全列表（NSG），确保入站规则允许你家电脑的公网IP段访问6443端口。

• 查看Agent启动日志定位具体错误
  卡在启动环节时，直接查看systemd实时日志：

  journalctl -u k3s-agent -f
  

  常见问题包括Token无效、Server地址不可达、证书验证失败。若为证书问题，需在Server启动时添加--tls-san参数将公网IP加入证书SAN列表，再重启Server：

  k3s server --bind-address=公网IP --advertise-address=公网IP --tls-san=公网IP
  

• 排查家用网络限制
  部分家庭网络存在NAT或运营商端口屏蔽问题，可尝试通过VPN接入VPC后再部署Agent，或在Server节点将6443端口转发至443等常用端口。

内容的提问来源于stack exchange，提问作者404NotFound