### 解决方案 当遇到 `connection refused` 错误时，通常是因为 kubelet 和 Docker 使用的 cgroup 驱动不一致导致的问题[^1]。以下是具体的分析和解决方案： #### 1. 检查并同步 cgroup 驱动 Kubernetes 中的 kubelet 组件依赖于容器运行时接口 (CRI)，而 Docker 是一种常见的 CRI 实现之一。如果 kubelet 和 Docker 的 cgroup 驱动不同，则可能导致连接失败。 - **确认当前使用的 cgroup 驱动** ```bash docker info | grep -i cgroup ``` 上述命令会显示 Docker 当前正在使用的 cgroup 驱动（通常是 systemd 或 cgroupfs）。记录下该驱动类型。 - **修改 kubelet 配置以匹配 Docker 的 cgroup 驱动** 编辑 `/var/lib/kubelet/config.yaml` 文件中的 `cgroupDriver` 参数，使其与 Docker 的设置保持一致。例如： ```yaml apiVersion: kubeadm.k8s.io/v1beta3 kind: KubeletConfiguration cgroupDriver: systemd ``` - **重启 kubelet 和 Docker 服务** 修改完成后，执行以下操作来应用更改： ```bash systemctl restart docker systemctl restart kubelet ``` #### 2. 确认 cri-dockerd 是否正常工作 cri-dockerd 是 Kubernetes 官方推荐的一个工具，用于将 Docker 转换为支持 CRI 接口的服务。如果此组件未正确启动或配置错误，也可能引发类似的 `connection refused` 错误。 - **验证 cri-dockerd 状态** 执行以下命令检查 cri-dockerd 的状态： ```bash sudo systemctl status cri-docker.service ``` 如果发现异常，请尝试重新启动服务： ```bash sudo systemctl start cri-docker.service ``` - **测试连接到 socket** 可以手动测试是否可以成功访问 cri-dockerd 提供的 Unix Socket： ```bash curl --unix-socket /run/cri-dockerd.sock http://localhost/runtime_versions ``` 此命令应返回 JSON 数据结构，表示 cri-dockerd 已经就绪。 #### 3. DNS 配置校验 在某些情况下，DNS 配置不当也会间接影响节点间的通信能力。尽管这不是直接原因，但仍需注意其潜在作用[^2]。 - **确保节点名可被解析** 对于每台参与集群构建的工作节点，在宿主机层面添加必要的静态映射条目至 `/etc/hosts` 文件中。例如： ```plaintext 192.168.x.y master-node 192.168.a.b worker-node-1 ``` - **启用 IP 转发功能** 同样重要的是开启 Linux 内核对于网桥设备的支持以及 IPv4 流量转发选项： ```bash echo "net.bridge.bridge-nf-call-ip6tables = 1" >> /etc/sysctl.d/k8s.conf echo "net.bridge.bridge-nf-call-iptables = 1" >> /etc/sysctl.d/k8s.conf echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.d/k8s.conf sysctl --system ``` 完成上述调整之后再次观察问题是否存在改善迹象。 --- ### 总结 通过对 kubelet 和 Docker 的 cgroup 驱动一致性进行排查，并确保 cri-dockerd 的健康状况良好，基本能够消除因 `connection refused` 导致的功能障碍。同时兼顾网络层面上诸如 DNS 设置或者内核参数调优等方面细节有助于进一步提升系统的稳定性。