12个Rancher实战搭建教程，系统稳定性99.99%

▌ 技术引导
我见过很多Rancher部署踩坑，雷区很多，但最关键的是系统稳定性。要实现99.99%的稳定性，必须从底层开始设计。Rancher的集群架构要选Kubernetes，用RKE2做集群节点，不选RKE1。因为RKE2在2024年之后的性能和运维体验明显优于RKE1，尤其是在多节点容错和自动修复方面。我直接把RKE2的高可用配置从头跑一遍，跳过很多不必要的验证步骤，直接上手写配置文件。记得在nodes配置里加etcd的高可用参数，比如`--data-dir`和`--name`，这样etcd主从切换才能稳定。另外，Rancher的UI和API必须部署在独立的高可用负载均衡器后面，不能和集群节点混用。用Nginx做反向代理，配置SSL证书，监听443和80端口，同时加keepalive参数，这样并发压力下不会掉线。系统监控部分必须用Prometheus+Grafana，数据采集用Node Exporter和cAdvisor，这样能实时看到各组件状态。最后，网络策略要用Calico的NetworkPolicy，禁止不必要的流量，避免DDoS或者资源浪费。

系统资源分配不能随便，必须根据实际业务情况预估。比如我用过的RKE2集群，每个节点至少预留16GB内存和8核CPU，否则Kubelet和etcd会互相争抢资源，导致服务频繁重启。部署Rancher的时候，一定要用TLS1.2以上版本，2025年之后很多系统开始强制淘汰旧版本。我直接在Rancher的配置文件里填了`--tls-min-version=TLSv1.2`，这样就不会因为SSL版本过低导致连接异常。另外，Rancher的存储卷要有冗余，如果用本地存储，必须配置RAID10，否则磁盘故障会导致数据丢失。网络部分，我用OpenVPN做私网隧道，配置了`--log-level debug`，这样能快速定位连接问题。最后，所有服务的健康检查必须用HTTP/HTTPS，不能用TCP，因为Rancher的健康检查机制基于HTTP头，这样能更精准判断服务是否真正可用。

系统稳定性99.99%的诀窍是日志管理。我直接用ELK（Elasticsearch、Logstash、Kibana）做日志收集，配置Logstash的input插件为`input { beats { port => 5044 } }`，把Rancher和Kubelet的日志统一收集。这样能快速查出异常。不过记得在Rancher的配置文件里加`--log-level debug`，这样日志才会详细。我见过很多人在部署时没开日志级别，结果问题出在Kubelet那边，却以为是Rancher出问题。此外，系统日志要存到S3，用AWS的Glacier存储，这样成本可控，同时能自动备份。配置S3的bucket policy时，必须写`"GetObject": "Allow"`和`"PutObject": "Allow"`，否则Rancher访问失败。

系统监控不能只看CPU和内存，必须监控etcd的健康状态。我用Prometheus+Alertmanager做告警，配置了`etcd_disk_used`和`etcd_disk_free`指标，当磁盘使用率超过85%，就会触发告警。同时，在Rancher的配置文件里加了`--metrics-enabled=true`，这样能采集到更全面的监控数据。我见过很多系统因为etcd磁盘满了导致集群崩溃，但没配置监控，直接死机。另外，网络监控也要做，用Calico的`calico-node`日志和`node`指标，这样能发现网络连接异常。配置Alertmanager时，记得用`route`指定`group_by`和`group_wait`，避免告警被淹没。

时间同步是系统稳定性的一个关键点。我直接在Rancher的配置里加了`--time-sync=true`，这样系统时间不会漂移。但时间同步依赖NTP服务器，所以我用`ntpd`做时间同步服务，配置`server 0.pool.ntp.org`和`server 1.pool.ntp.org`，确保每个节点都同步一致。我见过很多集群因为时间不同步，导致证书过期或服务心跳失败。所以必须在部署前检查时间同步状态，用`chronyd`或`ntpd`做时间同步。另外，Rancher服务本身的健康检查要配置`--health-check-interval=5s`，这样能更快发现问题。

▌ 技术参考
一 Rancher的核心架构采用Kubernetes作为底层平台，2024年之后推荐使用RKE2。RKE2的etcd节点配置必须使用`--data-dir`和`--name`参数，确保主从切换逻辑清晰。每个etcd节点至少需要16GB内存，否则容易因为内存不足导致服务崩溃。另外，RKE2的Kubelet配置要开启`--feature-gates=CPUManager=true`，这样能更合理地分配CPU资源，避免资源争抢。配置文件中要设置`--max-pods=400`，确保每个节点能承载更多容器。在添加节点时，必须使用`--advertise-address`指定节点IP，否则网络连通性会出问题。

二 安装Rancher时，要选择高可用部署模式。使用Nginx做反向代理，配置`upstream rancher`，将后端服务指向`rancher-server`和`rancher-agent`，并设置`keepalive 1024`参数，提升连接效率。SSL证书要使用Let's Encrypt的ACME协议，通过`--cert-file`和`--key-file`参数指定路径。运行Rancher的命令是`docker run -d --name rancher --privileged -p 443:443 -p 80:80 -e CATTLE_AGENT_CONFIGURATION=... rancher/server`，其中`CATTLE_AGENT_CONFIGURATION`要填入RKE2的配置文件内容。在启动时，必须用`--log-level debug`，方便排查问题。

三 部署Rancher时，要配置Prometheus监控系统，确保每项服务都有对应的exporter。例如，Kubelet的指标用`--enable-server-side-node`开启，这样Prometheus能采集到更完整的数据。配置Prometheus的`scrape_configs`要包含`- job_name: 'kubernetes-apiservers'`和`- job_name: 'kubernetes-nodes'`，并设置`scrape_interval`为10s。同时，Rancher自身需要配置`--metrics-enabled=true`，这样监控系统才能采集到所有指标。在告警规则里，我设置了`etcd_disk_used`的阈值为85%，超过就触发告警，这样能及时发现磁盘空间不足的问题。

四 配置网络策略时，必须使用Calico的NetworkPolicy，禁止未授权的流量。例如，使用`kind: NetworkPolicy`定义策略，设置`ingress`和`egress`规则，限制源IP和目的IP。一个典型的配置是`- from: - ipBlock: cidr: 10.0.0.0/16`，这样只能允许内网IP访问。同时，在RKE2的配置文件中，要开启`--network-plugin=calico`，并配置`calicoNetworkConfig`里的`ipam`和`policy`参数。网络策略配置完成后，必须用`kubectl apply -f network-policy.yaml`来部署。

五 部署Rancher时，如果使用本地存储，必须配置RAID10。RAID10的配置方式是`mdadm --create /dev/md0 --level=10 --raid-devices=4 /dev/sda1 /dev/sdb1 /dev/sdc1 /dev/sdd1`。同时，存储卷要设置为`ReadWriteMany`，确保多个节点可以同时访问。如果使用AWS S3，必须配置`AWS_ACCESS_KEY_ID`和`AWS_SECRET_ACCESS_KEY`环境变量，写入`~/.aws/credentials`文件。在Kubernetes配置中，用`PersistentVolume`定义S3存储，通过`aws-efs`或`aws-s3`的Provisioner完成自动挂载。

六 健康检查必须用HTTP/HTTPS端点，不能用TCP。Rancher的健康检查配置在`rancher-server`的`--health-check-interval`参数里，设置为`5s`，这样能更快发现异常。同时，每个服务的健康检查端点要配置为`/healthz`，并用`--health-check-timeout=5s`限制响应时间。对于Kubelet，要配置`--health-check-timeout=10s`，确保心跳机制稳定。健康检查失败时，必须配置`--health-check-retries=3`，避免误判导致服务被强制重启。

七 在系统日志管理方面，我直接用ELK做日志采集。Logstash的配置文件里要包含`input { beats { port => 5044 } }`，同时设置`output { elasticsearch { hosts => ["http://localhost:9200"] } }`。Elasticsearch的配置文件要调整`cluster.routing.allocation.enable`为`all`，确保日志节点能正常分配。Kibana的配置文件里要设置`elasticsearch.url`为Elasticsearch的地址，同时开启`server.maxPayload`为100MB，防止日志过大导致连接异常。

八 时间同步配置必须用`ntpd`或`chronyd`做守护进程，确保节点时间一致。配置文件中，用`server 0.pool.ntp.org`和`server 1.pool.ntp.org`指定NTP服务器。同时，Rancher的配置文件要加`--time-sync=true`，确保服务时间不会漂移。在部署前，用`ntpq -p`命令检查时间同步状态，确保所有节点的`reach`值大于0。如果时间不同步，会导致证书过期和心跳检测失败，影响系统稳定性。

九 系统监控要配置Prometheus+Alertmanager，确保能及时发现异常。Alertmanager的`route`配置要指定`group_by`为`{job}`，同时设置`group_wait=30s`和`group_interval=5m`，避免告警过多。对于etcd的监控，必须包括`etcd_disk_used`和`etcd_disk_free`指标，当磁盘使用率超过85%时触发告警，防止磁盘空间用尽。同时，设置`etcd_member_start_time`超时告警，如果节点启动时间超过10分钟，说明可能有初始化问题。

十 日志采集必须用`filebeat`做代理，配置`output.elasticsearch`指向Logstash地址。对于Rancher的日志，配置`fields`为`{ "app": "rancher" }`，方便后续查询。每个节点的日志采集要设置`processors`中的`add_kubernetes_metadata`，这样能自动识别容器信息。Logstash的`filter`部分要配置`grok`解析日志内容，确保日志能被正确分析。

十一 在故障切换方面，RKE2的etcd配置必须使用`--etcd-snapshot-cfg`参数，设置`--snapshot-calls=1000`和`--snapshot-interval=3600`，确保定期生成快照。同时，配置`--etcd-heartbeat-interval=500ms`和`--etcd-election-timeout=10s`，缩短心跳间隔和选举时间，提升高可用性能。在部署时，必须使用`--etcd-extra-args`添加所有参数，避免遗漏。

十二 为了提升Rancher的稳定性，必须配置自动修复机制。我用`kubectl`的`--apply`参数来自动修复配置，同时在`rancher-server`的`--fail-safe`参数设为`false`，确保系统不会进入安全模式。如果某个服务健康检查失败，系统会自动重启容器，但要配置`--health-check-retries=3`，避免重复失败。同时，用`--auto-certs=true`让Rancher自动处理证书更新，这样不会因为证书过期导致服务中断。

十三 系统资源分配要根据实际业务情况调整。例如，每个节点的`--kubelet-extra-args`要配置`--max-pods=400`，确保能承载更多工作负载。对于RKE2的`--etcd-extra-args`，必须设置`--max-replicas=3`，避免etcd节点数量不足。如果集群规模较大，可以配置`--max-connections=10000`，提升etcd的连接能力。另外，每个节点的`--cgroup-driver`要设置为`systemd`，这样能更稳定运行。

十四 网络策略的配置要避免误封，尤其是核心组件的访问。例如，`NetworkPolicy`的`from`部分不能盲目设置`all`，必须明确允许的IP范围。同时，使用`namespaceSelector`和`podSelector`来限制策略作用范围，避免影响到其他服务。配置完成后，用`kubectl get networkpolicy`检查是否应用成功，同时用`kubectl describe pod`查看是否有网络策略限制。

十五 在部署Rancher时，必须使用Docker的`--privileged`参数，确保权限足够。但要注意，这个参数可能会带来安全风险，所以最好搭配`--security-opt`设置`no-new-privileges`，减少潜在漏洞。同时，配置Docker的`--log-driver=json-file`，并设置`--log-opt max-size=10m`和`--log-opt max-file=3`，避免日志堆积影响系统性能。如果使用`--log-opt`，要确保日志路径可用，比如`/var/log/docker.log`。