K8S 集群 apiserver-advertise-address实例节点IP切换VIP

执行kubectl 时

报错现象：Unable to connect to the server: x509: certificate is valid for 10.96.0.1, 10.103.x.x, 192.168.0.x, 10.103.x.x, 10.103.x.x, 127.0.0.1, not 192.168.0.x

1、分析原因：

原因从报错信息可以看出来：是证书对访问的IP做了校验，解决的方法就是要重新制作证书（不用动集群）

2、解决方案：(操作步骤)

1.备份当前k8s 集群配置文件（3个master 都备份）

  cp -r /etc/kubernetes /etc/kubernetes.bak

2.删除当前k8s集群的apiserver的cert 和 key

 rm -rf /etc/kubernetes/pki/apiserver.*

3.生成新的apiserver的crt和key,cd 到pki 目录下

cd /etc/kubernetes/pki/

kubeadm init phase certs apiserver --apiserver-advertise-address 10.103.x.x --apiserver-cert-extra-sans 192.168.0.x --apiserver-cert-extra-sans 10.103.x.x --apiserver-cert-extra-sans 10.103.x.x --apiserver-cert-extra-sans 192.168.0.x

#kubeadm-config.yaml 初始化配置生成【需要先添加新的VIP】

kubectl -n kube-system get configmap kubeadm-config -o jsonpath='{.data.ClusterConfiguration}' > kubeadm-config.yaml

或者 kubeadm init phase  certs apiserver   --config=kubeadm-config.yaml

#查看apisever，新ip已经写入到 crt 证书里面

openssl x509 -noout -text -in  /etc/kubernetes/pki/apiserver.crt |grep  DNS

for  i in 1 2 3;do scp -rp apiserver.crt apiserver.key  root@1.1.1.$i:/etc/kubernetes/pki/;done

注意：--apiserver-advertise-address 的值，只需要填master的内网ip，不需要填k8s内部使用的 10.96.0.1

         --apiserver-cert-extra-sans # 外部ip

4.刷新admin.conf 把原来实例ip修改为vip ,再scp 到各个master

kubeadm certs renew admin.conf

for  i in 1 2 3;do scp -rp admin.conf root@1.1.1.$i:/etc/kubernetes/;done

5.重启apiserver(3个master节点都需要)

6.刷新.kube/config

cp /etc/kubernetes/admin.conf ~/.kube/config

注：这里生成的 admin.conf 文件，server填写的依然是master的内网IP，如果需要使用VIP，将这个IP改为VIP即可