在 RHEL 7 上使用 Kubeadm 引导 Kubernetes 集群 - 防火墙问题

我正在尝试在 RHEL 7.8 上引导 Kubernetes 集群，但我的防火墙出现了一些问题。

nftablesKubernetes不支持，iptables-legacy必须安装。虽然该iptables-legacy软件包存在于 Debian Buster 等发行版中，但它似乎不适用于 RHEL 7。但是，本文提到了安装iptables-services、禁用firewalld和启用iptables。文章中的相关材料是：

yum install iptables-services.x86_64 -y
systemctl stop firewalld.service
systemctl disable firewalld.service
systemctl mask firewalld.service
systemctl start iptables
systemctl enable iptables
systemctl unmask iptables
iptables -F
service iptables save

在此之后，如果我iptables --version在服务器上运行，我可以看到它1.4.2已安装。由于这比上面链接的 GitHub 问题所暗示的 1.8 旧，所以这个版本应该没问题。

在kubeadm join从我的工作节点运行之前，以下 Ansible 任务针对我的主节点运行以配置iptables：

- iptables:
    chain: INPUT
    destination_port: "{{ port }}"
    jump: ACCEPT
    protocol: tcp
  loop:
    - 6443
    - 2379:2380
    - 10250:10252
  loop_control:
    loop_var: port

- command: service iptables save

- systemd:
    name: iptables
    state: restarted

这对我的节点进行配置iptables：

- iptables:
    chain: INPUT
    destination_port: "{{ port }}"
    jump: ACCEPT
    protocol: tcp
  loop:
    - 10250
    - 30000:32767
  loop_control:
    loop_var: port

- command: service iptables save

- systemd:
    name: iptables
    state: restarted

在此之后，我可以确认该规则存在于内存中：

$> iptables -S | grep 6443
-A INPUT -p tcp -m tcp --dport 6443 -j ACCEPT

然后，当我kubeadm join从工作节点运行时，它无法连接：

I0406 22:07:19.205714    5715 token.go:73] [discovery] Created cluster-info discovery client, requesting info from "https://192.168.50.10:6443"
I0406 22:07:19.206720    5715 token.go:78] [discovery] Failed to request cluster info: [Get https://192.168.50.10:6443/api/v1/namespaces/kube-public/configmaps/cluster-info?timeout=10s: dial tcp 192.168.50.10:6443: connect: no route to host]
I0406 22:07:19.206749    5715 token.go:191] [discovery] Failed to connect to API Server "192.168.50.10:6443": Get https://192.168.50.10:6443/api/v1/namespaces/kube-public/configmaps/cluster-info?timeout=10s: dial tcp 192.168.50.10:6443: connect: no route to host
I0406 22:07:24.207648    5715 token.go:188] [discovery] Trying to connect to API Server "192.168.50.10:6443

但是，如果我systemctl stop iptables在主节点上，那么工作节点可以毫无问题地加入。向我表明主服务器上的防火墙配置错误？