开启iptables情况下Swarm、kubernetes等组件正常工作的配置

在测试环境下安装Swarm、Kubernetes集群时，一般都是把防火墙、iptables关闭的，这样做是为了避免不必要的问题，以便顺利完成部署和测试。

然而。。到了正式环境下，防火墙、iptables都是开启的，那么在Swarm、Kubernetes这类集群的互通上就会出现一些问题，各个节点之间的访问可能会被阻隔。

我采用的解决方式时在iptables表中添加一些配置规则，以便能够允许集群的请求通过，不知道安不安全，最终集群时互通了。。

在每个节点的iptables配置文件中添加以下配置：

打开文件：vim /etc/sysconfig/iptables

-A INPUT -p tcp -m state --state NEW -m tcp --dport 6443 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 443 -j ACCEPT

-A INPUT -i flannel0 -j ACCEPT
-A FORWARD -i flannel0 -j ACCEPT

-A INPUT -i docker0 -j ACCEPT
-A FORWARD -i docker0 -j ACCEPT

-A INPUT -s 10.233.0.0/0 -j ACCEPT
-A FORWARD -s 10.233.0.0/0 -j ACCEPT

-A INPUT -s 10.254.0.0/0 -j ACCEPT
-A FORWARD -s 10.254.0.0/0 -j ACCEPT

1、添加flannel0、docker0网卡的过滤配置。通过实验发现，如果去掉这两个配置，那么Swarm集群就无法识别节点及节点的信息，加上之后就正常了。。所以就添加上了。

2、 10.233.0.0这个网段是我在flannel上配置的kubernetes集群的网段（就是添加到etcd中的网段，各个node节点通过key进行分配获取），大家可以根据自己配置的值进行配置。

3、10.254.0.0是kubernetes apiserver、controller中配置的--service-cluster-ip-range网段，包裹kubernetes service、dns等都在这个网段中处理，如果不添加-A INPUT(FORWARD) -s 10.233.0.0/0 -j ACCEPT则无法访问node节点，如果不添加-A INPUT(FORWARD) -s 10.254.0.0/0 -j ACCEPT，kubernetes内部的访问请求就会被拦截。。不知道理解的对不对。。我测试了添加和不添加这两个网段的请求，发现只有添加了才能正常访问。。

4、开启6443、443端口的请求，因为我这里安装部署的kubernetes集群是通过https请求处理的，所以需要开启这两个端口，否则https通过这两个端口的请求就会被拦截。

相关文章：

Swarm – 搭建Docker集群

Harbor – 搭建Docker私有仓库

Portainer – Docker可视化管理工具的安装配置及使用

Kubernetes1.8.3 集群环境搭建（CentOS）

Kubernetes dashboard1.8.0 WebUI安装与配置

Heapster – Kubernetes Dashboard集成Heapster