Linux MicroK8s 的 add-on 与高可用集群搭建模板

microk8s add-on enable 失败主因是镜像未预拉取、节点角色冲突及存储校验缺失，常见于 dns/storage/ingress；ha 集群需禁用 auto-healing、确保网络/主机名/时间同步，并注意 add-on 作用域与 etcd 成员状态。

MicroK8s add-on enable 失败：常见卡点和绕过方式

加插件失败不是因为命令写错，而是 MicroK8s 默认不自动拉镜像、不处理节点角色冲突、也不校验本地存储就直接报 failed to apply。最常卡在 dns、storage、ingress 这三个 add-on 上。

实操建议：

• 先确认集群状态：microk8s status --wait-ready，别在 NotReady 时硬启 add-on
• microk8s enable dns 失败？大概率是 CoreDNS 镜像没提前拉下来——手动执行：microk8s ctr images pull ghcr.io/canonical/microk8s-core-dns:1.10.1（版本号按 microk8s version 输出对齐）
• microk8s enable storage 在单节点默认用 hostpath，但若你改过 /var/snap/microk8s/common/default-storage 或删过 PVC，会静默失败；删掉残留 PV：microk8s kubectl get pv -o name | xargs -r microk8s kubectl delete
• 所有 add-on 启用后，检查对应命名空间的 Pod 是否 Running：microk8s kubectl get po -n kube-system，别只信终端输出的 “enabled”

MicroK8s 高可用集群必须关掉 auto-healing

MicroK8s 自带的 cluster 模式默认启用 auto-healing，它会在节点失联 30 秒后自动驱逐该节点上的所有 Pod 并重调度——这对跨机房或临时网络抖动极不友好，反而导致服务雪崩。

实操建议：

• 初始化集群前，先在每台节点上编辑配置：/var/snap/microk8s/current/args/kube-apiserver，追加 --feature-gates=SelfHosting=false 和 --disable-admission-plugins=PodDisruptionBudget,NodeRestriction
• 加入集群时禁用自动恢复：microk8s add-node --no-auto-heal（注意：这个参数仅在 v1.28+ 支持，旧版需手动 patch）
• 高可用下 etcd 不是主从，而是多成员 raft；节点加入后立刻验证：microk8s etcd list-members，输出里每个节点的 status 必须是 started，不能是 unstarted 或空
• 不要复用单节点的 microk8s config 去连 HA 集群——HA 的 kubeconfig 默认绑定到 localhost，需用 microk8s config > kubeconfig.yaml 导出，并替换其中的 server: 地址为 VIP 或 LB 地址

HA 集群中 add-on 的作用域陷阱

MicroK8s 的 add-on 不是全局生效的。比如你在 node1 上 microk8s enable ingress，只会在 node1 上部署 nginx-ingress-controller 的 DaemonSet，其他节点不会同步——除非你用 --scope=cluster 显式声明（v1.27+ 才支持）。

实操建议：

• 所有 add-on 必须在控制平面节点（即运行 microk8s enable 的节点）上执行，且该节点需是 control-plane 角色（查角色：microk8s kubectl get nodes -o wide 看 LABELS 列）
• 确认 add-on 是否跨节点部署：microk8s kubectl get ds -A | grep ingress，如果只有 1 个副本且 NODE-SELECTOR 是空，说明没生效到其他节点
• storage add-on 的 microk8s-hostpath StorageClass 默认只绑定到本机路径，跨节点 PVC 绑定会 Pending；如需共享存储，必须换用 microk8s-ceph 或外部 CSI 驱动，不能依赖默认 hostpath
• dns add-on 的 CoreDNS ConfigMap 是集群级的，但它的 Endpoints 只注册在本节点的 kube-proxy 规则里；若某节点没运行 kube-proxy（比如被误停），该节点 DNS 就会超时——检查：microk8s kubectl get endpoints -n kube-system kube-dns

用 microk8s join 搭建 HA 模板时的网络假设

MicroK8s 的 microk8s join 默认假设所有节点能直通 udp 6443（kube-apiserver）、TCP 25000（etcd）、TCP 25001（dqlite）端口，且主机名可解析。一旦用了 NAT、防火墙或容器网络桥接，join 就会卡在 “Waiting for service to start…”。

实操建议：

• join 命令里传的地址必须是其他节点能直接访问的 IP，不是 localhost 或 docker 网桥地址；例如：microk8s join 192.168.1.10:25000/abcdef...，而不是 microk8s join 127.0.0.1:25000/...
• etcd 成员通信依赖主机名；若 hostname 返回的是 ubuntu-server，但 DNS 解析不到该名，就会失败；统一设静态主机名并写入 /etc/hosts：192.168.1.10 node1
• 云厂商 VPC 内默认禁 UDP，必须显式放行 etcd 的 25000 端口；否则 microk8s etcd list-members 会显示部分节点状态为 unstarted
• 节点时间不同步会导致 etcd raft 报 clock skew detected；强制同步：sudo timedatectl set-ntp on && sudo systemctl restart systemd-timesyncd

HA 模板最难调的永远不是命令拼写，而是各节点间 TCP/UDP 连通性、主机名解析、时间一致性这三件事同时成立——少一个，集群就处于“看起来正常，其实随时脑裂”的状态。