K3s集群中Worker节点Pod与API Server通信超时问题分析与解决

问题现象

在K3s集群环境中，当部署包含1个Master节点和1个Worker节点的架构时，发现Worker节点上的Pod无法与API Server建立正常通信。典型表现为：

• 任何需要访问API Server的Pod都会出现连接超时
• DNS解析服务出现异常（如CoreDNS日志显示查询超时）
• 跨节点服务发现失效（如示例中NVIDIA设备插件的Worker组件无法连接Master组件）

根本原因分析

经过技术排查，这类问题通常由以下因素导致：

1. 网络插件兼容性问题
   K3s默认使用Flannel作为CNI插件，而Flannel依赖vxlan内核模块。在ARM架构设备（如示例中的NVIDIA Jetson）或定制化内核中，该模块可能未默认加载。

2. 硬件校验和卸载冲突
   在虚拟化环境中，网卡硬件加速功能可能与Flannel的vxlan隧道产生兼容性问题，导致封包校验失败。

3. 网络策略限制
   基础防火墙规则（如iptables/ufw）可能阻断了K3s所需的通信端口（通常为6443 API端口和Flannel的8472 UDP端口）。

解决方案

方案一：验证并加载vxlan模块

在Worker节点执行以下命令：

# 检查vxlan模块是否加载
lsmod | grep vxlan

# 若未加载则手动加载
sudo modprobe vxlan
echo "vxlan" | sudo tee /etc/modules-load.d/vxlan.conf

方案二：禁用硬件校验和卸载（适用于虚拟化环境）

在出现问题的节点上执行：

# 检查现有隧道接口
ip link show | grep flannel

# 禁用硬件校验（假设接口名为flannel.1）
sudo ethtool -K flannel.1 tx-checksum-ip-generic off

方案三：网络策略调整

确保以下通信畅通：

1. Master节点的6443/tcp端口对Worker开放
2. 所有节点的8472/udp端口（Flannel VXLAN）互通
3. 关闭默认防火墙（如ufw）或添加放行规则

预防措施

1. 节点预检清单
   部署前应验证：

• 内核模块：vxlan、bridge、nf_conntrack等
• 网络连通性：节点间双向ping测试
• 端口可用性：telnet测试关键端口

2. 替代网络插件
   当Flannel出现兼容性问题时，可选用Calico或Cilium等CNI插件：

curl -sfL https://get.k3s.io | sh -s - --flannel-backend=none --disable-network-policy
# 然后手动安装其他CNI

3. 日志收集策略
   建议同时检查以下日志来源：

• K3s服务日志：journalctl -u k3s
• 容器运行时日志：crictl logs
• 内核日志：dmesg | grep vxlan

典型问题扩展

对于ARM架构设备（如示例中的Jetson Nano），还需注意：

• 内核版本兼容性（建议4.19+）
• 架构镜像匹配（使用k3s-arm64版本）
• 存储驱动配置（可能需调整cgroup设置）

通过系统化的排查和验证，可以确保K3s集群中跨节点通信的稳定性，为上层应用提供可靠的运行环境。