必须满足两个硬性前提：KVM宿主机已开启嵌套虚拟化支持，且虚拟机内核启用br_netfilter并统一cgroup驱动为systemd；否则kubelet会卡在cgroup初始化或网络插件无法启动。
可以，但必须满足两个硬性前提：KVM宿主机已开启嵌套虚拟化支持，且虚拟机内核启用 br_netfilter 并正确配置 cgroup 驱动。否则 kubelet 会卡在 cgroup 初始化或网络插件无法启动。
确认 KVM 宿主机是否开启嵌套虚拟化
这是最常被忽略的底层依赖。没有它，虚拟机内部的 containerd 或 kubelet 启动时会报 cgroup controller "memory" is not enabled 或直接 panic。
- 在宿主机上运行：
cat /sys/module/kvm_intel/parameters/nested（Intel）或cat /sys/module/kvm_amd/parameters/nested（AMD），输出应为Y或1 - 若为
N，需在宿主机 BIOS 中开启 VT-x/AMD-V，并在 KVM 启动参数中显式添加：<cpu mode="host-passthrough" check="none"></cpu>或使用qemu-system-x86_64 -cpu host,... - 创建虚拟机时确保未禁用
vmx或svm标志（例如 libvirt XML 中不要有<feature policy='disable' name='vmx'/>）
虚拟机内必须关闭 swap 并统一 cgroup 驱动为 systemd
哪怕只跑单节点，kubeadm init 也会因 swap 未关闭而拒绝执行；而 containerd 和 kubelet 若 cgroup 驱动不一致，会表现为 Pod 始终 ContainerCreating 或 kubelet 日志反复报 failed to run Kubelet: failed to create kubelet: misconfiguration: cgroup driver: "cgroupfs" is different from docker。
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 执行
sudo swapoff -a并注释/etc/fstab中所有 swap 行 - 检查 containerd 配置：
sudo grep SystemdCgroup /etc/containerd/config.toml，必须为true - 检查 kubelet 默认驱动：
cat /var/lib/kubelet/config.yaml | grep cgroupDriver，若为cgroupfs，需在/var/lib/kubelet/kubeadm-flags.env中追加--cgroup-driver=systemd - 重启服务：
sudo systemctl restart containerd && sudo systemctl restart kubelet
Flannel 或 Calico 在嵌套环境中的适配要点
默认的 Flannel host-gw 模式在 KVM 虚拟机里大概率失败，因为虚拟机网卡（如 ens3）的 MTU 通常为 1500，而 Flannel 会尝试设置 veth 设备为 1450，导致 ARP 不通、Pod 间 ping 不通。
- 部署 Flannel 时务必指定
--iface=ens3（替换成你虚拟机实际主网卡名），避免它选错接口 - 更稳妥的做法是改用
vxlan后端并调低 MTU：kubectl apply -f https://raw.githubusercontent.com/coreos/flannel/master/Documentation/kube-flannel.yml，然后编辑 ConfigMap：kubectl edit cm kube-flannel-cfg -n kube-system，在net-conf.json中加入"mtu": 1400 - Calico 对嵌套环境兼容性更好，但需确保
calico/node镜像版本 ≥ v3.25，旧版会因无法读取/proc/sys/net/ipv4/conf/all/rp_filter而 CrashLoopBackOff
真正卡住人的地方往往不是 kubeadm 命令本身，而是嵌套环境下 iptables 规则被 KVM 宿主机或虚拟机内 SELinux/ufw 层层拦截，导致 kube-proxy 的 NAT 规则不生效。建议初始化前先在虚拟机内临时关掉 ufw（如有）并确认 getenforce 返回 Permissive。做完验证后，再逐步打开安全策略。
