Rancher添加主机报错:tls: failed to verify client's certificate: x509: certificate has expired or is not ye...

本文详细解析了在Rancher中添加主机时遇到的Failed to bring up Etcd Plane错误,揭示了时间不同步对证书校验的影响,并提供了两台服务器间时间同步的解决方案,以及清除容器和镜像历史数据的命令。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

Rancher添加主机报错

[etcd] Failed to bring up Etcd Plane: etcd cluster is unhealthy: hosts [192.168.100.179] failed to report healthy. Check etcd container logs on each host for more information

 

 

卡住没动静了,后来百度得知两台服务器之间时间没有同步的原因,但是时间不同步会有啥影响呢,往下看

 

在node机器上看到etcd的容器,查看日志发现报错信息了

 

 

 

报错信息如下:

2020-09-08 17:11:10.741954 I | embed: rejected connection from "192.168.100.179:47288" (error "tls: failed to verify client's certificate: x509: certificate has expired or is not yet valid", ServerName "")

 

生成证书后,立即使用,报以上错误,原因是生成证书的机器时间要比服务器时间快,导致服务器验证时,证书超出了时间使用范围。

解决办法:

1、服务器和生成证书机器进行时间同步更新

2、或者直接调整生成证书的机器时间,小于服务器的时间

 

总结一下两台服务器的时间不一致,会导致证书校验出问题,从而导致报错:Failed to bring up Etcd Plane


 

还不行就执行下面命令,清空所有容器、镜像、存储的历史数据等

docker stop $(docker ps -aq)
docker system prune -f
docker volume rm $(docker volume ls -q)
docker image rm $(docker image ls -q)
rm -rf /etc/ceph \
       /etc/cni \
       /etc/kubernetes \
       /opt/cni \
       /opt/rke \
       /run/secrets/kubernetes.io \
       /run/calico \
       /run/flannel \
       /var/lib/calico \
       /var/lib/etcd \
       /var/lib/cni \
       /var/lib/kubelet \
       /var/lib/rancher/rke/log \
       /var/log/containers \
       /var/log/pods \
       /var/run/calico

 

### TLS证书验证失败的原因分析 该问题的核心在于TLS连接过程中无法验证服务器端提供的SSL/TLS证书的有效性。具体表现为`x509: certificate signed by unknown authority`错误消息,这通常意味着客户端未能找到用于签名目标证书的信任根证书。 #### 可能原因 1. **缺少信任的CA证书** 客户端环境中未包含签发目标证书的CA(Certificate Authority)的公钥证书[^1]。 2. **环境差异导致的证书缺失** 在不同运行环境下(如ARM板子或Docker容器),可能由于基础镜像或操作系统配置的不同,导致默认的信任链不一致[^2]。 3. **自定义CA证书未导入** 如果使用的是一份由私有CA签发的证书,则需要手动将此CA证书添加到客户端的信任库中[^3]。 4. **Harbor或其他私有仓库的情况** 对于Harbor等私有仓库场景下拉取镜像时报此类错误,通常是因Harbor使用的是内部签发而非公共可信机构颁发的证书所致[^4]。 --- ### 解决方案 以下是几种常见的解决方案: #### 方法一:更新系统的CA证书存储 确保目标平台上的受信CA列表是最新的。可以通过安装最新的操作系统的CA包来实现这一点。例如,在基于Debian/Ubuntu的Linux发行版上执行如下命令: ```bash apt-get update && apt-get install -y ca-certificates ``` 对于Alpine Linux为基础的Docker镜像,可采用以下方式同步最新CA证书: ```bash apk add --no-cache ca-certificates ``` 如果是在特定硬件设备(比如ARM架构开发板)上遇到问题,确认其固件或者软件栈已预置标准CA集合;必要时手工复制通用CA文件至对应位置并刷新缓存。 #### 方法二:加入自定义CA到应用层 当涉及非公开认证中心所发放的安全凭证时,需把相应CA追加进应用程序能够识别的位置。以Go语言为例,可通过设置环境变量指定额外路径加载这些资料: ```go import ( "crypto/tls" "crypto/x509" "io/ioutil" ) func loadCertPool() (*x509.CertPool, error) { certPool := x509.NewCertPool() pemData, err := ioutil.ReadFile("/path/to/custom-ca.crt") // 替换为实际CA文件地址 if err != nil { return nil, err } ok := certPool.AppendCertsFromPEM(pemData) if !ok { return nil, errors.New("failed to append custom CA certificates") } return certPool, nil } // 创建TLS配置实例,并关联上述池对象 config := &tls.Config{ RootCAs: loadCertPool(), } ``` 通过这种方式动态扩展程序内的信任链条。 #### 方法三:跳过证书校验 (仅限测试用途!) 虽然强烈反对在生产环境中关闭安全性检查机制,但在某些特殊调试阶段确实有必要暂时忽略这类警告信息。仍以前述Golang案例说明如何绕开验证流程: ```go transport := &http.Transport{ TLSClientConfig: &tls.Config{InsecureSkipVerify: true}, } client := &http.Client{Transport: transport} response, _ := client.Get("https://your-server-address/") defer response.Body.Close() bodyText, _ := ioutil.ReadAll(response.Body) fmt.Println(string(bodyText)) ``` 注意这种方法存在极大安全隐患,请谨慎对待! #### 方法四:针对Kubernetes/K3S中的Harbor集成调整 如果是面对类似k3s访问harbor私服遭遇相同状况的情形,考虑修改节点配置文件(/etc/rancher/k3s/config.yaml),增加参数指示接受未经证实的身份证明材料: ```yaml registries: mirrors: harbor.net.com: endpoint: - "https://harbor.net.com" config: authn: insecure_skip_tls_verify: true ``` 重启服务使更改生效即可消除困扰。 --- ### 总结 以上提供了四种应对策略分别适用于不同的业务需求和技术背景。推荐优先尝试方法一和方法二保持原有安全框架的同时解决问题;而最后两种则作为权宜之计供参考选用。
评论 3
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值