kubectl logs -f 卡住不输出日志或显示 “connection refused”

kubectl logs -f卡住或报connection refused，主因是客户端无法连接kubelet或容器运行时，即通信链路中断或配置异常；需检查Pod状态、kubelet运行及10250端口监听、API Server与kubelet证书和网络连通性。

ainerCreating、CrashLoopBackOff 或 Terminating 状态，kubectl logs 可能无法建立连接或找不到有效容器：

• 运行 kubectl get pod -n ，确认 STATUS 是 Running，且 READY 列显示 1/1（或对应容器数）
• 若为 0/1，说明容器未启动成功，先查 kubectl describe pod 中的 Events 和 Container Statuses
• 注意：Init 容器失败也会阻塞主容器启动，导致日志不可用

验证 kubelet 是否正常运行并监听 10250 端口

kubectl logs 实际通过 API Server 转发请求到节点上的 kubelet（默认使用 https + 10250 端口）。若 kubelet 崩溃、未启动或端口被防火墙拦截，就会出现 connection refused：

• 登录对应节点，执行 systemctl status kubelet，确保状态为 active (running)
• 检查端口监听：ss -tlnp | grep :10250 或 netstat -tuln | grep :10250
• 若端口未监听，查看 kubelet 日志：journalctl -u kubelet -n 100 --no-pager，常见原因包括证书过期、配置错误（如 --read-only-port=0 关闭了只读端口但未配好安全端口）、或磁盘/内存资源耗尽

确认 API Server 能与 kubelet 正常通信

即使 kubelet 在运行，API Server 也可能因证书、网络策略或代理设置无法访问它：

• API Server 需要 kubelet 的客户端证书（一般位于 /var/lib/kubelet/pki/）来建立 TLS 连接；证书过期或 CN/SAN 不匹配会导致握手失败
• 检查 kubelet 启动参数中是否含 --kubeconfig，且该 kubeconfig 中的 server 地址（通常是 https://127.0.0.1:6443）可通
• 若集群启用了 nodeRestriction 准入控制器，需确保 kubelet 使用的证书符合节点鉴权要求（如 CN 格式为 system:node:）
• 云环境（如 EKS、AKS）中，节点安全组/NSG 必须放行控制平面到节点 10250 端口的入向流量

尝试绕过 API Server 直连 kubelet（仅限调试）

当怀疑是 API Server → kubelet 链路问题时，可手动模拟请求，快速定位：

• 获取目标节点 IP 和 Pod 所在节点：kubectl get pod -o wide
• 在控制平面节点或能访问节点网络的机器上，执行（替换 NODE_IP、NODE_NAME、POD_Namespace、POD_NAME）：
  curl -k --cert /var/lib/kubernetes/kubelet-client-current.pem --key /var/lib/kubernetes/kubelet-client-current.pem "https://NODE_IP:10250/logs/?log=POD_NAMESPACE/POD_NAME"
  （路径和参数依 kubelet 版本略有差异，v1.20+ 推荐用 /logs/ 子路径）
• 若直连成功但 kubectl logs 失败，问题大概率出在 API Server 配置或其与 kubelet 的证书信任关系