1. 课程概述与目标
1.1 课程背景
在 Kubernetes 集群生命周期管理中，证书轮换与集群升级是两项高频且高风险的操作。当集群控制面证书（如 kube-apiserver、kube-controller-manager、kube-scheduler 及 kubelet 客户端证书）到达有效期或需要更换签发 CA 时，kube-proxy 作为集群网络代理组件，其依赖的 Service Account 令牌、kubeconfig 文件及证书信任链必须同步更新。若证书轮换后未对 kube-proxy 的规则迁移进行充分测试，可能导致 Service 负载均衡失效、NodePort 不可达、ClusterIP 转发异常等网络故障。
本课程聚焦于集群升级场景下证书轮换作业对 kube-proxy 规则迁移的影响，通过系统化的测试方法论与实操演练，帮助运维人员建立从证书更新到规则验证的完整闭环。
核心痛点：证书轮换后 kube-proxy 规则未自动迁移 → 存量 iptables/ipvs 规则指向过期证书 → 网络连通性中断 → 业务 Pod 无法对外服务。
1.2 学习目标
完成本课程后，学员应能够：
| 目标编号 | 具体能力 | 对应实操环节 |
|---|---|---|
| G1 | 理解 kube-proxy 规则与证书信任链的绑定关系 | 证书依赖分析 |
| G2 | 掌握证书轮换后 kube-proxy 规则迁移的触发条件 | 规则迁移触发实验 |
| G3 | 熟练使用 iptables/ipvs 规则对比工具进行迁移验证 | 规则差异比对 |
| G4 | 能够设计证书轮换后的 kube-proxy 回归测试用例 | 测试用例编写 |
| G5 | 独立完成集群升级中证书轮换的 kube-proxy 规则迁移测试报告 | 测试报告输出 |
1.3 前置知识要求
学员需具备以下基础能力：
- Kubernetes 基础运维：熟练使用
kubectl管理节点、Pod、Service、ConfigMap；了解 kube-proxy 三种工作模式（userspace/iptables/ipvs）。 - 证书与 PKI 基础：理解 X.509 证书结构、证书有效期、CA 签发流程；掌握
openssl或cfssl基本操作。 - 网络规则基础：熟悉 iptables 链/表结构或 ipvs 调度原理；能使用
iptables-save、ipvsadm -Ln查看规则。 - 集群升级经验：至少参与过一次 Kubernetes 小版本升级（如 1.24 → 1.25），了解
kubeadm upgrade流程。
建议：若对 iptables 规则不熟悉，建议先学习《Kubernetes 网络排错实战》中 kube-proxy 规则分析章节。
1.4 课程整体结构
本课程共分为 6 个模块，按“理论 → 实验 → 验证 → 报告”递进设计：
1.5 课程实验环境说明
本课程所有实验基于以下环境：
| 组件 | 版本/配置 | 说明 |
|---|---|---|
| Kubernetes | v1.28.3 | kubeadm 部署，3 控制面 + 3 工作节点 |
| kube-proxy 模式 | iptables（默认） | 部分实验切换 ipvs 模式对比 |
| 证书管理 | kubeadm certs renew | 手动触发证书轮换 |
| 规则快照工具 | iptables-save / ipvsadm -Ln | 配合 diff 命令比对 |
| 测试负载 | echoserver + nginx-ingress | 验证 ClusterIP 与 NodePort 转发 |
⚠️ 重要提示：证书轮换操作应在集群维护窗口内执行，且必须提前备份
/etc/kubernetes/pki 目录。本课程实验环境为隔离测试集群，请勿在生产环境直接执行。