K3s Server 需要开放 6443 端口供节点访问。

使用 Flannel VXLAN 时，这些节点需要能够通过 UDP 端口 8472 访问其他节点。节点不应侦听其他端口。K3s 使用反向隧道，建立节点与服务器的出站连接，所有 kubelet 通信都通过该隧道进行。但是，如果您不使用 Flannel，而是使用自定义的 CNI，则 K3s 不需要 8472 端口。

如果要使用指标服务器（Metrics Server），则需要在每个节点上开放端口 10250。

Rancher Server 节点的入站规则

通常情况下，可以允许全部出站流量。

Rancher 节点的出站规则

Rancher 节点的入站规则

Rancher 节点的出站规则

下游 Kubernetes 集群可运行您的业务应用。本节介绍需要在下游集群中的节点上开放哪些端口，以便 Rancher 可以与它们进行通信。

集群节点需要开放的端口会根据集群的启动方式而变化。下面列出了需要为不同集群创建类型开放的端口。

下表描述了在中创建节点用于Rancher 启动 Kubernetes的端口需求。

import PortsIaasNodes from ‘@theme/PortsIaasNodes’;

自定义节点的端口要求

下表描述了带有自定义节点的的端口要求。

import PortsCustomNodes from ‘@theme/PortsCustomNodes’;

下表描述了托管集群的端口要求。

import PortsImportedHosted from ‘@theme/PortsImportedHosted’;

导入集群的端口要求

下表描述了导入集群的端口要求。

通常情况下，可以将这些端口在 Kubernetes 节点上开放，无论它是哪种类型的集群。

本地节点流量

标记为（即: 9099 TCP）的端口用于 Kubernetes 健康检查(livenessProbe 和readinessProbe)。这些健康检查在节点本身上执行。在大多数云环境中，默认情况下会允许此本地流量。

但是在以下情况下，此流量可能会被阻止：

• 您已在节点上应用了严格的主机防火墙策略。

在使用AWS EC2 主机驱动在 Rancher 中配置集群节点时，您可以选择让 Rancher 创建一个名为 rancher-nodes 的安全组。以下规则将自动添加到此安全组。