不能用 apt/yum 直接装 Consul，因官方仓库版本严重滞后（如 Ubuntu 22.04 默认 1.10.x），而 HashiCorp 自 2024 年起已终止对 v1.12 前所有版本的安全支持；v1.13+ 引入 Protocol 2、ACL 默认启用、verify_outgoing 默认 true 等关键变更，旧版二进制无法解析新版配置，导致静默失败或报 ACL token not found、TLS 初始化卡死等错误。
为什么不能用 apt/yum 直接装 consul
你执行 apt install consul 或 yum install consul，大概率会装到 1.10.x 这类已停止安全更新的旧版。HashiCorp 自 2024 年起终止对 v1.12 之前所有版本的支持；v1.13+ 引入了 Protocol 2、ACL 默认启用、verify_outgoing 默认为 true 等关键变更——旧二进制根本无法解析新版配置，轻则静默失败，重则报 ACL token not found 或卡在 tls: failed to find any PEM data。
- 必须手动下载官方 ZIP 包（不是 .rpm/.deb），例如：
wget https://releases.hashicorp.com/consul/1.19.4/consul_1.19.4_linux_amd64.zip - 解压后用
sudo install -m 0755 consul /usr/local/bin/安装，它比cp更可靠（自动处理权限和覆盖） - 验证：运行
consul version，输出中必须含Protocol 2和有效Revisioncommit hash
三节点集群启动失败常见原因
systemd 启动 Consul 后很快退出，日志只显示模糊的 failed to join cluster，实际往往不是配置错，而是启动时机或依赖没兜住：
- 缺
Restart=on-failure和RestartSec=5：进程一崩就停，不会重试 - 没加
Wants=network-online.target和After=network-online.target：网卡刚 up 就急着 join，DNS 或其他节点还没就绪 -
bootstrap_expect = 3写了但只启了 2 个 server：Raft 卡在等待第 3 个节点，整个集群不形成 quorum -
advertise_addr和bind_addr混用：比如bind_addr = "0.0.0.0"+advertise_addr = "192.168.1.10"没配齐，其他节点连不上你
gossip 加密与 TLS 必须分开配置
很多人以为配了 gossip 就等于安全了，其实 gossip 加密只保护 LAN 流量（端口 8301），而 server 间 RPC（8300）和跨 DC WAN（8302）仍走明文——生产环境必须额外启用 TLS：
- gossip 密钥用
consul keygen生成，存为/etc/consul.d/encrypt.key，并在配置里设encrypt = "xxx" - TLS 需要自签或 CA 签发的证书+私钥，配置中必须显式开启：
"tls": { "ca_file": "/path/ca.pem", "cert_file": "/path/server.pem", "key_file": "/path/server-key.pem", "verify_outgoing": false } -
verify_outgoing = false不可省：否则 server 间互连会因证书校验失败而中断，尤其当所有节点共用同一 CA 时 - ACL 必须显式关闭（若不用）：
"acl": { "enabled": false }，漏掉会导致进程挂住
防火墙和端口暴露最容易被忽略
Consul 不是只开 8500 就能跑起来的单端口服务。三节点集群至少要放开 5 个端口，且必须区分 TCP/UDP：
- TCP/8300：server 间 RPC 通信（必须）
- TCP/UDP/8301：LAN gossip（必须，UDP 用于健康检查广播）
- TCP/UDP/8302：WAN gossip（跨 DC 时才需，单 DC 可关）
- TCP/8500：HTTP API 和 Web UI（仅限内网访问，严禁
-client=0.0.0.0暴露到公网） - TCP/8600：DNS 接口（如用 DNS 发现服务，必须开）
- CentOS/RHEL 上用：
firewall-cmd --permanent --add-port=8300-8302/tcp+--add-port=8301-8302/udp+--add-port=8500-8600/tcp
配置写完别急着启动，先用 ss -tuln | grep ':830' 确认端口监听地址是否符合预期——比如 192.168.1.10:8300 而不是 *:8300，后者意味着绑定到了所有网卡，存在暴露风险。
