国内容器平台与运维面板总览

定位：本批 6 本平台分册的入口文档，同时也是"国内环境特有坑"的集中速查。 覆盖：1Panel / 宝塔面板 / KubeSphere / Sealos / KubeKey·KubeOperator·kubeasz·Kuboard·Rainbond / ACK·TKE·CCE·VKE·ACR·TCR·SWR 约定：本文只做导航、选型、对照与共性坑；具体命令一律回到各分册。 更新时间：2026-11（版本事实核对至 2026-11-05）

目录

1. 本批手册清单
2. 国内容器生态分层图
3. 需求 → 翻哪本
4. 选型决策：五条主线
5. 两套运维面板深度对照
6. 部署器对照
7. 管理平台与 PaaS 对照
8. 国内公有云托管集群对照
9. ★ 国内环境共性问题
10. 命令速查对照表
11. 路径与端口速查
12. 版本日历汇总（2026-11）
13. 跨平台故障速查
14. 通用避坑二十条
15. 与其他手册的配合

1. 本批手册清单

与上一批 容器平台常规运维指令手册 的关系：那一批讲通用技术栈（Docker / Podman / containerd / Kubernetes / Harbor），这一批讲国内产品与交付环境。前者是原理与命令，后者是产品、CLI 与国内特有的坑。

2. 国内容器生态分层图

┌──────────────────────────────────────────────────────────────┐
│ 第 6 层  公有云托管服务                                        │
│   ACK / TKE / CCE / VKE  ·  ACR / TCR / SWR  ·  SLS/CLS/LTS   │
│   → 控制面托管，没有 etcd 快照，版本 EOS 由云厂商决定          │
├──────────────────────────────────────────────────────────────┤
│ 第 5 层  应用平台 / PaaS                                       │
│   Rainbond v6 · Sealos Cloud · KubeSphere 应用商店              │
│   → 面向开发者，屏蔽 K8s；你管应用，平台管运行时                │
├──────────────────────────────────────────────────────────────┤
│ 第 4 层  集群管理平台 / 控制台                                  │
│   KubeSphere v4 · Kuboard v4 · DCE 5.0 · ACP · KubeCube        │
│   → 纳管已有集群，给 UI / 多租户 / RBAC / 审计                  │
├──────────────────────────────────────────────────────────────┤
│ 第 3 层  部署器                                                 │
│   KubeKey · kubeasz · KubeOperator · Sealos · kubeadm           │
│   → 把裸机变成集群，部署完可离场（管理平台才是常驻）            │
├──────────────────────────────────────────────────────────────┤
│ 第 2 层  编排与运行时                                           │
│   Kubernetes · containerd · Docker / Podman · CNI / CSI         │
│   → 见上一批通用分册                                            │
├──────────────────────────────────────────────────────────────┤
│ 第 1 层  单机运维面板                                           │
│   1Panel（容器化）  ·  宝塔（原生安装）                         │
│   → 一台机器上的网站 / 数据库 / 容器 / 备份 / 防火墙            │
├──────────────────────────────────────────────────────────────┤
│ 第 0 层  OS 与国产化底座                                        │
│   Ubuntu / RHEL 系 / 麒麟 / 统信 / openEuler / Anolis            │
│   → 见操作系统分册；信创、等保、国密在此层落地                  │
└──────────────────────────────────────────────────────────────┘

分层判断法：先问"这套东西是装集群的、管集群的、还是在集群上跑应用的"。答案决定你翻哪本，也决定了排障时该看哪一层的日志。

3. 需求 → 翻哪本

4. 选型决策：五条主线

4.1 单机面板：1Panel 还是宝塔？

已有大量传统 PHP 站点 / 需要精细改 nginx 模块 / 机器内存 < 2G
    → 宝塔
需要多版本环境隔离 / 应用批量交付 / 与容器生态对齐 / 现代化 UI
    → 1Panel

二者不要装在同一台机器：都抢 80/443、都写 /etc/docker/daemon.json、都托管防火墙规则。迁移窗口可短暂并存，但要在同一维护窗口完成切换。

4.2 部署器

4.3 管理平台

4.4 自建还是云托管

4.5 常见组合

5. 两套运维面板深度对照

5.1 迁移时最容易错的三条

1. 反代目标地址：宝塔 nginx 在宿主机，反代容器写 http://127.0.0.1:8080 是对的；1Panel 的 OpenResty 在容器里，127.0.0.1 指它自己，必须写宿主内网 IP 或 host.docker.internal。这条不改，全站 502。
2. 配置文件位置：宝塔 /www/server/panel/vhost/nginx/*.conf；1Panel /opt/1panel/www/。伪静态、证书、自定义 include 全部要重做。
3. 数据库：宝塔是宿主 MySQL（/www/server/data），1Panel 是 MySQL 容器（$PANEL_DIR/apps/mysql/mysql/data）。用 mysqldump 逻辑导出再导入，不要拷数据目录——跨版本/跨存储引擎必坏。

5.2 面板通用红线

• 面板以 root 运行，Web 终端/文件管理/脚本任务都是 root；账号泄露 = 服务器失守。
• 面板不暴露公网：VPN / 跳板机 / 堡垒机 + IP 白名单 + MFA。
• 救援命令（1pctl reset *、bt 13/24/26）用完必须把安全配置逐项恢复。
• 异地备份 + 恢复演练，别只在本机存一份。

6. 部署器对照

共性：重装前必须全节点清残留——/etc/kubernetes/manifests、systemd 单元、cni0/flannel.1/cali*、iptables/IPVS 规则。kubeadm reset 和 sealos reset 都不清这些。

7. 管理平台与 PaaS 对照

v3 → v4 都是"迁移项目"不是"升级操作"：KubeSphere 从 ClusterConfiguration 单体变成 Helm + Extension 微内核；Kuboard 从内嵌数据变成外部数据库 + 缓存。都不要排进半小时维护窗口。

8. 国内公有云托管集群对照

⚠️ 以 2026-11-05 计，TKE 1.30 的 EOS 是 2026-11-20，只剩约两周；ACK 只有最近 3 个 minor（1.34/1.35/1.36）可建。版本台账要做三级到期提醒。

9. ★ 国内环境共性问题

9.1 镜像拉取（最高频）

# 只配 1 主力 + 最多 1 备用；串行回退，配多了反而更慢
cat /etc/docker/daemon.json
curl -I --connect-timeout 5 https://<你的专属地址>/v2/
crictl pull <内网仓库>/library/nginx:alpine

别抄别人的加速地址：https://abc123.mirror.aliyuncs.com 属于某个具体账号，要么解析不到，要么被对方限流，账号注销后直接失效。

9.2 离线交付的六类物料

判据只有一个：在完全断网的测试机上从零跑通全流程。只同步"部署器要用的镜像"、不同步"部署完之后平台与业务要跑的镜像"，是离线交付返工第一名。

9.3 网段规划

• VPC / Pod / Service 三段互不重叠，且不与办公网、VPN、线下 IDC、其他集群冲突。
• 云上 VPC 网段创建后不能改，Pod 网段同理，规划错了只能重建集群。
• 常见安全选择：Pod 用 100.64.0.0/10 内的一段。
• 重装集群前清掉 cni0 / flannel.1 / cali* 与残留路由，否则同 IP 重建会网段冲突。

9.4 时间同步

• 证书校验、OIDC、集群同步、License 校验都对时间敏感。
• 内网要有可达的 NTP/chrony 源；所有节点 timedatectl + chronyc sources 核对。

9.5 信创与国产化

9.6 合规与供应链

• 官方安装脚本分发的二进制可能包含需 License 激活的专业版代码（1Panel 官方明确说明）；有审计要求时走源码构建或记录授权来源。
• 第三方公共镜像代理不是可信供应链，生产交付必须同步到自有仓库并做校验值管理。
• 商业平台的组件不要照社区教程改，走厂商 SOP，否则可能失去支持。

10. 命令速查对照表

10.1 面板救援

10.2 集群部署与生命周期

10.3 平台与云

11. 路径与端口速查

12. 版本日历汇总（2026-11）

版本日历变动频繁，升级前一律重新查对应厂商官方文档，本表只作盘点基线。

13. 跨平台故障速查

14. 通用避坑二十条

1. 两套面板不要同机安装，抢 80/443、抢 daemon.json、抢防火墙规则。
2. 面板账号 = root，Web 终端与脚本任务都是 root 权限，账号泄露即失守。
3. 救援命令用完要恢复：1pctl reset * / bt 13|24|26 是一层层拆安全闸门。
4. 改 SSH 端口要同步防火墙 + SELinux 端口标签 + 保留带外通道。
5. 反代面板必带 WebSocket Upgrade，否则终端、日志全黑。
6. 1Panel 反代容器写宿主 IP，宝塔写 127.0.0.1，迁移站点时不改就是 502。
7. 跨面板迁数据库用逻辑导出（mysqldump/pg_dump），别拷数据目录。
8. 快照/备份要异地：1Panel 快照只支持第三方账号，宝塔 /www/backup 默认在本机。
9. docker system prune -a --volumes 不要写进计划任务，停机的数据库卷正好是"未引用"。
10. 跨大版本换数据库镜像 tag 会起不来，数据目录格式不兼容。
11. registry-mirrors 是串行回退，只配 1~2 个可用地址，别堆一串。
12. 别抄别人的加速地址，那是别人账号的。
13. 离线交付要在断网环境从零跑通全流程才算完成。
14. 网段一次规划到位：VPC/Pod/Service 与内网、VPN、其他集群不重叠，云上创建后难改。
15. 重装集群前清 CNI 网桥与 iptables，kubeadm reset / sealos reset 都不管这些。
16. K8s 一次只升一个 minor，不能跳级、不能降级；先迁废弃 API 再升控制面。
17. PDB 会卡住节点 drain，升级前先盘 minAvailable: 100% 的策略。
18. 托管集群没有 etcd 快照，灾备靠 Velero + GitOps 清单 + 数据备份 + 镜像跨地域复制。
19. 块存储云盘不能跨可用区挂载，节点池跨 AZ + 单副本 StatefulSet = 永久 Pending。
20. 把 AI/MCP 入口限账号、留审计、设人工审批，它本质是能用自然语言触发 root/集群写操作的通道。

15. 与其他手册的配合

维护建议：国内产品版本迭代与厂商策略变化比上游开源项目更快，本文的版本表核对至 2026-11-05。把「平台版本 + EOS 日期 + 安装目录 + 备份账号 + 镜像仓库地址 + 第三方账号凭据位置」沉淀为团队的内部 SOP/CMDB 字段，并在每次升级窗口前复核一遍。