ubuntu 22.04 上用 kubeadm 搭 k8s 集群必须先禁用 swap、关闭 ufw、配好 /etc/hosts 和内核参数，否则 kubeadm init 必失败或节点 notready；因 swap 未关会触发 [error swap]，ufw 会拦截 calico vxlan 流量，hosts 解析错误导致 kubelet 自连失败，内核参数缺失则桥接流量不通、cgroup driver 不匹配（containerd 未设 systemdcgroup=true）将使 kubelet 拒绝启动。
直接说结论：Ubuntu 22.04 上用 kubeadm 搭 K8s 集群，**必须先关 swap、关 ufw、配好 /etc/hosts 和内核参数，否则 kubeadm init 必失败或节点卡在 NotReady**。这不是可选项，是硬性前提。
为什么 kubeadm init 会报 “cgroup driver mismatch” 或直接卡住
Ubuntu 22.04 默认用 systemd cgroup driver，但 containerd 若没显式配置，可能 fallback 到 cgroupfs；kubelet 启动时发现不一致就拒绝工作。
- 检查当前 kubelet 使用的 driver：
sudo systemctl cat kubelet | grep "cgroup-driver"，若没输出，说明没显式指定 - 确认 containerd 实际使用的 driver：
sudo ctr version不显示 driver，得看 config：sudo cat /etc/containerd/config.toml | grep systemd - 正确做法：编辑
/etc/containerd/config.toml，确保有[plugins."io.containerd.grpc.v1.cri".containerd.runtimes.runc.options]下的SystemdCgroup = true - 改完必须重启：
sudo systemctl restart containerd && sudo systemctl restart kubelet
kubeadm init 失败常见错误信息与对应动作
看到这些提示别急着重装，多数是环境没清理干净或配置漏项：
Kubernetes Security Posture Scorecard
下载
评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……
-
[ERROR Swap]: running with swap on is not supported→ 执行sudo swapoff -a后，**必须注释掉/etc/fstab中 swap 行**，否则 reboot 后复活 -
[ERROR FileContent--proc-sys-net-bridge-bridge-nf-call-iptables]: /proc/sys/net/bridge/bridge-nf-call-iptables does not exist→ 缺少内核模块，运行sudo modprobe br_netfilter并写入/etc/modules-load.d/k8s.conf -
failed to load KubeConfig: stat /etc/kubernetes/admin.conf: no such file or directory→kubeadm init根本没跑成功，先查sudo kubeadm init --dry-run -v 5看前置检查哪步挂了 - init 卡在
[wait-control-plane] Waiting for the kubelet to boot up the control plane→ 很可能是containerd没拉到 pause 镜像，手动试：sudo crictl pull registry.k8s.io/pause:3.9
Calico 安装后 Node 仍是 NotReady 的关键排查点
不是 Calico yaml 下载下来 kubectl apply 就完事。Ubuntu 22.04 默认启用 ufw，它会拦截 Calico 节点间 VXLAN 流量（UDP 8472），导致 BGP 无法建连。
- 确认 ufw 状态：
sudo ufw status verbose，即使显示 inactive，也建议执行sudo ufw disable彻底关闭 - 检查 Calico pod 是否都 Running：
kubectl get pods -n kube-system -l k8s-app=calico-node，若有 CrashLoopBackOff，进日志：kubectl logs -n kube-system -l k8s-app=calico-node - 常见日志错误：
Failed to get node "<hostname>" (k8s): connection refused</hostname>→ kubelet 未就绪，回退检查sudo systemctl status kubelet - Calico 默认使用
bird做 BGP，它依赖主机路由表。Ubuntu 22.04 的 netplan 可能生成多余路由规则，用ip route show table all查是否有冲突
最易被忽略的一点：所有节点的 hostname 必须和 kubeadm join 时自动注册的 Node 名字完全一致——也就是 kubectl get nodes 显示的名字。如果用了 hostnamectl set-hostname 但没同步更新 /etc/hosts 里的解析，kubelet 启动时会连不上自己，Node 状态永远卡在 NotReady。
