1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

你的 Mac（macOS，没有 Linux 内核）
   │  k8s 是纯粹的 Linux 技术，macOS 上跑不了
   ▼
需要一个"电脑里的电脑" = 虚拟机
   │  Lima：开源虚拟机工具（brew 安装），底层用 macOS 自带的虚拟化框架
   ▼
虚拟机开机需要两样东西：
   ① 系统盘镜像 = 一个"装好 Rocky 9 系统的硬盘文件"（qcow2，约 496MB）
   ② 规格说明书 = 模板文件 lima/rocky-9-ustc.yaml（用哪个镜像、几张网卡、挂什么目录）
   ▼
limactl start 读模板 → 校验镜像 → 复制扩容成 30G 系统盘 → 开机 → 自动配好 SSH
   ▼
limactl shell 进去，就是一台标准的 Rocky Linux 9 服务器

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

# ① 安装 Lima（开源虚拟机工具）
brew install lima

# 验证安装：版本号 ≥ 2.0.0 即满足模板门槛（minimumLimaVersion: 2.0.0）
brew info lima | head -2
# 预期输出：==> lima ✔: stable 2.2.0 (bottled), HEAD
# 注：Caveats 里提到的 lima-additional-guestagents 是给"跨架构模拟"用的
#（M 系列芯片跑 x86 虚拟机才需要），aarch64 虚拟机 + Apple Silicon 是同架构，不用装。

# ② 从中科大镜像站手动下载 Rocky 9.8 镜像（约496MB，1~2分钟）
curl -o lima/images/rocky-9.8-aarch64.qcow2 \
  https://mirrors.ustc.edu.cn/rocky/9/images/aarch64/Rocky-9-GenericCloud-Base-9.8-20260525.0.aarch64.qcow2

# （可选）校验镜像完整性：输出必须等于模板里的 digest
shasum -a 256 lima/images/rocky-9.8-aarch64.qcow2
# 预期输出：24692a444f1f0b8bb95375c38c8b43f8099a115347623691be2c330b40c8a1fe

# ③ 创建并启动虚拟机（4核/6GB内存/30GB磁盘），模板 lima/rocky-9-ustc.yaml 指向上面的本地镜像
limactl start --name=k8s-rocky --cpus=4 --memory=6 --disk=30 --tty=false lima/rocky-9-ustc.yaml

1

INFO[...] READY. Run `limactl shell k8s-rocky` to open the shell.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

# 第一看状态：STATUS 是 Running，且规格符合预期（4核/6GiB/30GiB）
limactl list
# 预期输出：
# NAME        STATUS    SSH               VMTYPE    ARCH      CPUS    MEMORY    DISK
# k8s-rocky   Running   127.0.0.1:xxxxx   vz        aarch64   4       6GiB      30GiB

# 第二看系统：能读出 Rocky Linux 9 的系统信息
limactl shell k8s-rocky -- cat /etc/os-release | head -2
# 预期输出：NAME="Rocky Linux" / VERSION="9.8 (Blue Onyx)"

# 第三看架构：aarch64（与模板 arch 一致）
limactl shell k8s-rocky -- uname -m
# 预期输出：aarch64

1
2

# ⑤ 进入虚拟机（之后所有操作都在虚拟机里执行）
limactl shell k8s-rocky

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

# Lima 虚拟机模板：Rocky Linux 9 (aarch64)
minimumLimaVersion: 2.0.0

images:
- location: "/Users/wyf/work/agentproject/k8study/lima/images/rocky-9.8-aarch64.qcow2"
  arch: "aarch64"
  digest: "sha256:24692a444f1f0b8bb95375c38c8b43f8099a115347623691be2c330b40c8a1fe"

mounts:
- location: "~"

mountTypesUnsupported: [9p]

# 使用 macOS Virtualization.framework 的 NAT 网络（vzNAT）
networks:
- vzNAT: true

1
2

shasum -a 256 lima/images/rocky-9.8-aarch64.qcow2
# 输出应等于 24692a444f1f0b8bb95375c38c8b43f8099a115347623691be2c330b40c8a1fe

1

limactl shell k8s-rocky hostname -I    # 取 192.168.64.x 那个

1
2
3
4

limactl stop k8s-rocky
limactl delete k8s-rocky
# 镜像已下载在 lima/images/，重建只需 2~3 分钟：
limactl start --name=k8s-rocky --cpus=4 --memory=6 --disk=30 --tty=false lima/rocky-9-ustc.yaml

1

sudo -i

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20

# ① 先清理可能残留的代理配置——代理软件关着、配置却还指向它，
#    会造成"假性网络故障"，先排除这个干扰项：
grep proxy /etc/dnf/dnf.conf
# 有输出（proxy=http://...）则删掉：
sed -i '/^proxy=/d' /etc/dnf/dnf.conf

env | grep -i proxy
# 有输出（http_proxy=... 等）则清掉：
unset http_proxy https_proxy

# ② 确认 Mac 上的代理软件状态（在 Mac 终端执行，空输出=没在运行）：
ps aux | grep -iE 'clash|verge|mihomo' | grep -v grep

# ③ 直连测试（虚拟机里执行。不用 -s：成功显示响应头，失败显示明确报错）：
curl -I -m 8 https://mirrors.ustc.edu.cn/rocky/
# 看到 HTTP/2 200 等响应头     → 直连正常，继续往下
# 看到 curl: (28) 超时等报错   → 直连出网被拦（常见于 Mac 装有企业安全软件），
#                                打开 Mac 上的 Clash（需开启"允许局域网连接"），
#                                然后去「附录 A.3」配好代理再回来
# 想看更详细过程时用 curl -v -m 10 <URL>，能看清卡在 DNS / TCP / TLS 哪一步

1
2

# 动手前先确认目标文件的真实格式，顺便验证待会儿 sed 的模式能不能匹配上：
grep -nE '^(metalink|mirrorlist|#?baseurl)' /etc/yum.repos.d/rocky.repo | head -6

1
2
3
4
5
6

13:mirrorlist=https://mirrors.rockylinux.org/mirrorlist?arch=$basearch&repo=BaseOS-$releasever$rltype
14:#baseurl=http://dl.rockylinux.org/$contentdir/$releasever/BaseOS/$basearch/os/
23:mirrorlist=https://mirrors.rockylinux.org/mirrorlist?arch=$basearch&repo=BaseOS-$releasever-debug$rltype
24:#baseurl=http://dl.rockylinux.org/$contentdir/$releasever/BaseOS/$basearch/debug/tree/
32:mirrorlist=https://mirrors.rockylinux.org/mirrorlist?arch=source&repo=BaseOS-$releasever-source$rltype
33:#baseurl=http://dl.rockylinux.org/$contentdir/$releasever/BaseOS/source/tree/

1

sed -e 's|^metalink=|#metalink=|g' -e 's|^mirrorlist=|#mirrorlist=|g' -e 's|^#baseurl=https\?://dl.rockylinux.org/$contentdir|baseurl=https://mirrors.ustc.edu.cn/rocky|g' -i.bak /etc/yum.repos.d/rocky*.repo

1
2
3
4
5
6
7

grep -E '^baseurl' /etc/yum.repos.d/rocky.repo | head -3
# 必须看到输出：baseurl=https://mirrors.ustc.edu.cn/rocky/$releasever/BaseOS/$basearch/os/ 等

grep -cE '^(metalink|mirrorlist)' /etc/yum.repos.d/rocky.repo
# 必须是 0（动态源全部被注释）

dnf -y update

1
2
3
4
5

swapoff -a
# 永久关闭：注释掉 /etc/fstab 中含 swap 的行
sed -i '/swap/s/^/#/' /etc/fstab
# 验证：应输出空行
swapon --show

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# 学习环境：直接关闭防火墙，避免端口问题干扰学习
#（Rocky 云镜像默认未安装 firewalld，报 "Unit could not be found" 属正常，跳过即可）
systemctl stop firewalld
systemctl disable firewalld

# SELinux 设为宽容模式（容器运行时需要，云镜像默认 Enforcing，必须改）
setenforce 0
sed -i 's/^SELINUX=enforcing/SELINUX=permissive/' /etc/selinux/config

# 验证：应输出 Permissive
getenforce

1
2
3
4
5
6

第1层  VM → 网关（Mac）        ping -c 2 -W 3 192.168.5.2
第2层  DNS 解析               getent hosts mirrors.ustc.edu.cn
第3层  VM → 外网纯 IP         ping -c 2 -W 3 223.5.5.5        # 阿里DNS，绕过域名
第4层  VM → 外网 TCP          curl -k --connect-timeout 6 https://110.242.68.66/
第5层  Mac → 外网             curl -I -m 8 https://mirrors.ustc.edu.cn/rocky/   # Mac 终端执行
第6层  VM 借 Mac 代理出网     curl -x http://192.168.5.2:7897 https://mirrors.ustc.edu.cn/rocky/ -sI

1
2
3
4
5

ip route                                    # default via 192.168.64.1 (lima0, vzNAT, metric 100 优先)
                                            # default via 192.168.5.2  (eth0, usernet, metric 200)
curl --interface eth0  ...                  # 强制走 usernet 出口
curl --interface lima0 ...                  # 强制走 vzNAT 出口
# 两个都 000 → 不是单条链路问题，是系统级拦截

1
2
3
4
5
6

# Mac 终端执行：列出所有系统扩展
systemextensionsctl list

# 实测发现两个 activated+enabled 的企业安全组件：
#   cn.threatbook.Cardinal.net-extension   ← 微步在线（上网行为/威胁情报）
#   com.sangfor.auem.sfservice.extension   ← 深信服（终端安全/零信任）

1
2
3
4

ps aux | grep -iE 'clash|verge|mihomo' | grep -v grep   # 确认代理软件进程是否退干净
networksetup -getwebproxy Wi-Fi                          # 看系统代理开关状态
netstat -rn -f inet | head -8                            # 看默认路由是否被 VPN/TUN 劫持
/usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate   # macOS 应用防火墙状态

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# 虚拟机里，root 执行：

# dnf 走代理（dnf 不读环境变量，必须写配置；永久生效）
echo 'proxy=http://192.168.5.2:7897' >> /etc/dnf/dnf.conf

# curl 等命令行工具走代理（仅当前终端有效）
export http_proxy=http://192.168.5.2:7897
export https_proxy=http://192.168.5.2:7897

# 验证 → 显示响应头即通
curl -I -m 8 https://mirrors.ustc.edu.cn/rocky/

1
2
3
4
5
6
7
8

┌─ 物理网（家里/公司 Wi-Fi，Mac 的 en0）—— 这层会随地点变
│
├─ Lima usernet（192.168.5.0/24，Lima 内置默认，无需配置）
│   虚拟机 eth0 = 192.168.5.15，网关/DNS = 192.168.5.2（= Mac）
│
└─ macOS vzNAT（192.168.64.0/24，模板里 vzNAT: true 开启）
    虚拟机 lima0 = 192.168.64.2，网关 = 192.168.64.1（= Mac）
    ← Mac 浏览器访问 NodePort/Ingress 用这个 IP

1
2
3
4
5
6
7
8
9

# 区分"我在 Mac 还是虚拟机里"：看提示符或问 hostname
#   wyf@MacBook-Pro %        → Mac（zsh，%）
#   [wyf@lima-k8s-rocky ~]$  → 虚拟机普通用户
#   [root@lima-k8s-rocky ~]# → 虚拟机 root
hostname                    # lima-k8s-rocky = 虚拟机

# Mac 上 Lima 的可选网络定义（shared/bridged/host，本教程未使用）：
cat ~/.lima/_config/networks.yaml
# 注意：里面没有 192.168.5.x —— usernet 网段是编译进 Lima 源码的出厂默认值