10000-19999 注册端口49 条

10250 kubelet API 端口

Kubernetes 每个节点的 kubelet API：kubectl logs/exec 的底层通道，认证绕过漏洞（CVE-2018-1002105 类）曾让它成为接管集群的跳板。

kubelet 默认匿名访问已禁用，但通过 RBAC 授予的权限过宽（nodes/proxy）会绕过审计执行命令；审计时要单独盯这个权限。

权限审计

kubectl auth can-i create pods --as system:anonymous  # 应拒绝
curl -sk https://node01:10250/pods | head -c 200    # 未授权应返回 401/403

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌