Kubernetes 仿真后的连接与 IP 排查
按节点网络、API、证书、kubelet 与 Pod 网络定位仿真故障。
最后更新 2026-11-10版本 v2.0维护 DigiForensics查看历史 1
Kubernetes 检材在虚拟机中启动后，先确定故障发生在宿主网络、API Server、节点注册还是 Pod 网络。保留一份原始镜像；下面的修改与启动检查在仿真副本中进行。
恢复前记录
| 项目 |
查找位置 |
| 原节点 IP、主机名 |
/etc/hosts、系统网络配置、kubelet 参数、节点日志 |
| Kubernetes 与运行时版本 |
软件包记录、静态 Pod 镜像标签、kubeadm version、containerd --version |
| 客户端连接地址 |
kubeconfig 的 clusters[].cluster.server |
| API 监听、通告地址 |
kube-apiserver.yaml 的 --advertise-address、--bind-address 等参数 |
| etcd 地址与目录 |
etcd.yaml 的 listen/advertise/peer URL、证书路径、--data-dir |
| Pod 与 Service 网段 |
kubeadm 配置、controller-manager 参数、CNI 配置 |
| 网卡选择 |
默认路由、kubelet --node-ip、CNI 的接口选择设置 |
先保存相关配置和证书信息，再启动副本。三节点检材优先恢复到同一个隔离虚拟网络，按原地址建立通信；分析机通过另一张网卡访问。检查该隔离网络是否与物理网络、VPN 或其他实验网段冲突。
先检查节点系统
ip -br addr
ip route
getent hosts cp1 worker1 worker2
timedatectl status
systemctl status containerd kubelet --no-pager
journalctl -u kubelet -b --no-pager -n 100
journalctl -u containerd -b --no-pager -n 100
ss -lntp
原环境使用 Docker、CRI-O 或其他运行时时，改查对应服务，不能仅凭没有 containerd 服务就认定检材不
登录后阅读全文
本文已展示开头部分。成为社区成员，即可解锁全部电子数据取证知识库、参与讨论并累积积分。
登录即表示同意社区准则。
