OpenYurt边缘节点加入失败问题分析与解决

问题背景

在使用OpenYurt v1.4.4和Kubernetes v1.28.0环境时，边缘节点通过yurtadm join命令加入集群时遇到了连接拒绝的问题。错误信息显示kubelet无法连接到本地127.0.0.1:10261端口，导致节点注册失败。

错误现象

执行yurtadm join命令时，主要报错信息为：

error execution phase kubelet-start: error uploading crisocket: Get "http://127.0.0.1:10261/api/v1/nodes/gm-system-product-name?timeout=10s": dial tcp 127.0.0.1:10261: connect: connection refused

kubelet日志中也有大量类似的连接拒绝错误：

Failed to ensure lease exists, will retry" err="Get \"http://127.0.0.1:10261/apis/coordination.k8s.io/v1/namespaces/kube-node-lease/leases/gm-system-product-name?timeout=10s\": dial tcp 127.0.0.1:10261: connect: connection refused

根本原因分析

这个问题的核心在于Yurthub组件未能正常启动。Yurthub是OpenYurt的核心组件之一，负责在边缘节点上代理所有Kubernetes API请求。当kubelet尝试通过Yurthub(监听在127.0.0.1:10261)与API Server通信时，由于Yurthub没有正常运行，导致连接被拒绝。

深入分析日志发现，Yurthub Pod未能成功启动的原因是镜像拉取失败：

image: openyurt/yurthub:v1.4.0

这个指定版本的镜像无法从默认仓库拉取，导致Yurthub Pod处于ImagePullBackOff状态，进而使kubelet无法通过它连接到API Server。

解决方案

1. 手动拉取Yurthub镜像： 首先确认可用的Yurthub镜像版本，然后手动拉取到本地：

   docker pull registry.cn-hangzhou.aliyuncs.com/openyurt/yurthub:latest
   

2. 修改Yurthub部署配置： 编辑/etc/kubernetes/manifests/yurthub.yaml文件，将镜像地址改为本地可用的版本：

   image: registry.cn-hangzhou.aliyuncs.com/openyurt/yurthub:latest
   

3. 重新执行join操作： 清理之前失败的join操作残留文件后，重新执行yurtadm join命令。

预防措施

1. 在执行yurtadm join前，预先拉取所有必需的容器镜像
2. 检查网络连接，确保能够访问容器镜像仓库
3. 考虑搭建本地镜像仓库缓存常用镜像
4. 在join命令中明确指定可用的镜像仓库地址

技术要点

1. Yurthub工作原理：作为边缘节点的代理，拦截所有kubelet的API请求，实现边缘自治能力
2. Kubelet通信流程：在OpenYurt中，kubelet不直接连接API Server，而是通过Yurthub代理
3. 镜像拉取策略：在生产环境中应该使用可靠的镜像仓库和适当的镜像拉取策略

总结

OpenYurt边缘节点加入失败通常与Yurthub组件未能正常启动有关。通过分析日志定位到镜像拉取问题后，手动解决镜像可用性问题即可恢复正常。这提醒我们在边缘计算环境中，容器镜像的可用性和分发是需要特别关注的基础设施问题。