# Como faço para rodar Kubernetes em servidores bare metal?

> Como rodar Kubernetes em servidores bare metal: k3s ou kubeadm em três nós, WireGuard entre eles, Services nos IPs dos nós. Sem KYC, pagamento em cripto.

- URL: https://lumenfer.com/pt/kubernetes-bare-metal/
- Última atualização: 2026-11-01
- Editor: Lumenfer (https://lumenfer.com)

Três nós alugados com apenas endereços públicos: o instalador, o tráfego privado entre nós e os Services em um IPv4 por servidor.

**Resposta rápida — Como faço para rodar Kubernetes em servidores bare metal?**

Para rodar Kubernetes em servidores bare metal na **Lumenfer**, alugue três máquinas idênticas na mesma cidade e instale k3s ou kubeadm no Debian ou Ubuntu. O tráfego entre nós passa por endereços públicos, então criptografe-o com WireGuard. Cada servidor tem um IPv4 e um IPv6 /64, então publique os Services nos IPs dos nós em vez de usar um pool do MetalLB. Um nó Lumen 8 custa US$ 109,37 por 30 dias, sem KYC, pago em cripto.

## Kubernetes em bare metal na Lumenfer: com o que você começa

| Atributo | Valor |
| --- | --- |
| Versão do Kubernetes no guia oficial do kubeadm | v1.37 (kubernetes.io, lido em 1 de novembro de 2026) |
| Sistemas no checkout | Debian 13, Debian 12, Ubuntu 24.04 LTS, AlmaLinux 10, Rocky Linux 10 e Proxmox VE 9 |
| Acesso | You log in as root over SSH. Paste a public key when ordering and password logins stay disabled, or skip it and receive a temporary root password with the server, to replace on your first login |
| Endereços e tráfego | Um endereço IPv4 dedicado e um IPv6 /64 vêm com cada servidor. Cada plano informa sua velocidade de porta e seu tráfego mensal, contado sobre os dados de saída por 30 dias; ultrapassar nunca gera cobrança automática |
| Rede privada entre servidores | Não faz parte dos planos: os nós se comunicam pelos endereços públicos |
| Console | Não há console IPMI nem KVM-over-IP para clientes: você solicita reinicializações e reinstalações no painel e a equipe as executa |
| Backups | Backups não estão incluídos: mantenha cópias dos seus dados em outro lugar |
| Localizações | Amsterdã (Países Baixos), Reykjavik (Islândia), Zurique (Suíça) e Bucareste (Romênia): todos os cinco planos nas quatro cidades, um preço em todo lugar |
| Entrega | Poucos minutos depois que o pagamento é confirmado, e nunca mais de uma hora |
| Preço | Lumen 6 $91,65, Lumen 8 $109,37, Lumen 16 $205,27, Lumen 24 $356,25, Lumen 32 $749,67 a cada 30 dias |

## O que preciso antes de instalar Kubernetes em bare metal?

**Três máquinas na mesma cidade, Linux em cada uma e as portas do cluster abertas apenas entre elas.** O guia do kubeadm pede 2 GB de RAM por máquina e 2 CPUs por máquina de control plane. Ele exige conectividade total entre os nós, em uma rede pública ou privada.

O hardware não é a parte difícil: o menor plano da Lumenfer tem 6 núcleos / 12 threads e 32 GB DDR5 ECC. Estas são as restrições reais:

- **Três nós de control plane.** O guia de alta disponibilidade do Kubernetes pede pelo menos três, porque cada um carrega um membro do etcd.
- **Baixa latência.** O guia de hardware do etcd chama discos rápidos de fator mais crítico e quer os membros no mesmo data center. Todos os planos têm NVMe; peça todos os nós na mesma cidade.
- **Sem swap**, ou um kubelet configurado para aceitá-lo: por padrão ele se recusa a iniciar quando o swap está ativado.
- **Um endereço de API estável desde o primeiro dia.** O kubeadm não consegue tornar um cluster de control plane único altamente disponível depois sem `--control-plane-endpoint`. Aponte um nome DNS para o nó 1 agora.

## kubeadm, k3s ou Talos: qual instalador combina com bare metal alugado?

**Escolha k3s pelo caminho mais curto, kubeadm pelos componentes upstream e Talos aqui apenas dentro de VMs.**

### Três formas de instalar Kubernetes, segundo a documentação de cada uma

|  | k3s | kubeadm | Talos Linux |
| --- | --- | --- | --- |
| Instala em | Debian, Ubuntu, AlmaLinux ou Rocky, via SSH | Hosts baseados em Debian ou Red Hat | Seu próprio ISO, PXE ou imagem de disco |
| Control plane altamente disponível | etcd embutido em um número ímpar de servidores, três ou mais | Três nós de control plane, etcd empilhado ou externo | Definido na configuração da máquina |
| Rede de pods | Flannel embutido; `wireguard-native` criptografa | Uma CNI que você instala, como Cilium | Definido na configuração da máquina |
| Services do tipo LoadBalancer | ServiceLB embutido, nos IPs dos nós | Nenhum até você adicionar um | Nenhum até você adicionar um |
| Encaixa em um servidor Lumenfer como entregue | Sim | Sim | Não: é preciso uma imagem de boot que não oferecemos |

**O Talos não instala a partir de um sistema Linux em execução via SSH.** A documentação dele oferece uma ISO, um script iPXE e imagens de disco brutas, e depois recebe a configuração por uma API. Sem console e sem imagem do Talos aqui, rode o Talos como VMs no Proxmox VE. Nossa comparação de [Kubernetes em bare metal ou em VMs](https://lumenfer.com/pt/kubernetes-bare-metal-vs-vms/ "Should I run Kubernetes on bare metal or on VMs?") cobre esse design.

## Como monto um cluster k3s de três nós em servidores alugados, passo a passo?

Montado a partir das páginas do k3s sobre requisitos, etcd embutido e rede (lido em 1 de novembro de 2026), para Debian 13 ou Ubuntu 24.04 LTS como root.

1. **Peça três servidores idênticos na mesma cidade** — Mesmo plano, mesma cidade, mesmo sistema, com sua chave SSH no checkout. Entrega: Poucos minutos depois que o pagamento é confirmado, e nunca mais de uma hora.
2. **Meça a latência entre cada par** — Rode ping -c 100 de cada nó para os outros dois. Se os tempos dispararem, pergunte ao suporte antes.
3. **Abra as portas do cluster só para os pares** — Permita TCP 6443, 2379-2380 e 10250 e UDP 51820 a partir dos outros dois nós, além das faixas de pods e serviços do k3s.
4. **Inicie o primeiro servidor com etcd embutido** — Rode o primeiro comando abaixo no nó 1. --cluster-init inicia o etcd; wireguard-native criptografa o tráfego de pods entre os nós.
5. **Junte os outros dois servidores** — Rode o segundo comando nos nós 2 e 3 com o mesmo token. Cada um vira um nó de control plane e um membro do etcd.
6. **Verifique o cluster e publique um Service** — kubectl get nodes deve listar três nós Ready. Um Service do tipo LoadBalancer na porta 443 passa a responder no IP de cada nó: liste os três no DNS.

*k3s com etcd embutido e WireGuard, mais um firewall só entre pares (ufw)*

```bash
# firewall on every node (apt install ufw); PEER1_IP and PEER2_IP = the two other nodes
ufw allow 22/tcp
ufw allow 80,443/tcp
ufw allow from 10.42.0.0/16 to any   # k3s pods
ufw allow from 10.43.0.0/16 to any   # k3s services
for p in PEER1_IP PEER2_IP; do
  ufw allow from $p to any port 6443,2379:2380,10250 proto tcp
  ufw allow from $p to any port 51820 proto udp
done
ufw allow from YOUR_ADMIN_IP to any port 6443 proto tcp
ufw enable

# node 1
curl -sfL https://get.k3s.io | K3S_TOKEN=CHANGE_ME sh -s - server \
  --cluster-init \
  --flannel-backend=wireguard-native \
  --tls-san=k8s.example.com

# nodes 2 and 3
curl -sfL https://get.k3s.io | K3S_TOKEN=CHANGE_ME sh -s - server \
  --server https://NODE1_IP:6443 \
  --flannel-backend=wireguard-native \
  --tls-san=k8s.example.com

kubectl get nodes -o wide
```

## Como obtenho IPs de LoadBalancer em bare metal com um IPv4 por servidor?

**Use os endereços de nó que você já tem.** Sem um provedor de nuvem, o Kubernetes não tem load balancer de rede, e um Service do tipo LoadBalancer fica em Pending. O MetalLB preenche essa lacuna a partir de um pool de endereços que você fornece. **O MetalLB distribui endereços; ele não os inventa.**

- **Modo layer 2** faz um nó ser dono de cada endereço e responder ARP ou NDP por ele. O failover precisa de outros nós no mesmo segmento.
- **Modo BGP** faz peering de cada nó com roteadores que você controla. Os planos não incluem sessão BGP.

Um endereço IPv4 dedicado e um IPv6 /64 vêm com cada servidor. Cada plano informa sua velocidade de porta e seu tráfego mensal, contado sobre os dados de saída por 30 dias; ultrapassar nunca gera cobrança automática. Endereços IPv4 extras não são vendidos, então um pool de IPv4 ficaria vazio. Hosts que vendem blocos de IP ou VLANs privadas facilitam o MetalLB; Lumenfer não vende nenhum dos dois. Use uma destas alternativas:

1. **k3s ServiceLB**: um DaemonSet vincula cada porta de serviço com `hostPort`, então o Service responde no IP de cada nó.
2. **Um controller de ingress ou Gateway API** nas portas 80 e 443 de cada nó, roteando HTTP por nome de host.
3. **NodePort** para outros protocolos, na faixa padrão 30000-32767.

Depois publique um registro DNS por nó e remova o registro de um nó morto à mão ou por health check.

**O IPv6 é onde o MetalLB se encaixa.** Se seu /64 for on-link, o modo layer 2 pode distribuir seus endereços via NDP. Só o nó dono desse /64 pode responder por eles, então não há failover. Pergunte ao suporte se seu /64 é roteado ou on-link.

## Como mantenho o tráfego do cluster privado sem uma rede privada?

**Criptografe o tráfego de pods e abra as portas de controle só para os endereços dos pares.**

- **Tráfego de pods.** O backend `wireguard-native` do k3s precisa do módulo de kernel do WireGuard e de UDP 51820 entre os nós. No kubeadm, o modo WireGuard do Cilium criptografa o tráfego pod a pod sobre UDP 51871.
- **etcd e o API server.** O etcd escuta em TCP 2379-2380 e a API em 6443. Permita o etcd só dos pares de control plane e a API dos nós e do seu próprio endereço.
- **O kubelet** em TCP 10250 nunca deve ficar exposto à internet.
- **VXLAN do Flannel.** O k3s alerta que uma UDP 8472 exposta abre a rede do cluster para qualquer um.

## Qual plano Lumenfer devo usar para nós de Kubernetes?

**Dimensione os nós por memória e número de pods, depois mantenha um nó de folga.** O Kubernetes v1.37 foi projetado para no máximo 110 pods por nó. Uma máquina grande cheia de pods pequenos atinge esse limite antes de esgotar os núcleos. O guia do etcd diz que 8 GB de memória costumam bastar para ele.

Um nó de reposição não é instantâneo: Poucos minutos depois que o pagamento é confirmado, e nunca mais de uma hora. Rode três nós que aguentem a carga de dois e copie snapshots do etcd para fora do cluster.

**Na verificação de Lumenfer sobre a 30 October 2026, 95 de 229 planos comparáveis em hosts cripto sem KYC listavam memória DDR5.** Todos os planos Lumenfer têm apenas DDR5 e NVMe. Veja [se vale a pena pagar por DDR5](https://lumenfer.com/pt/ddr5-dedicated-server/ "Is DDR5 worth paying for on a rented dedicated server?") e [quantos núcleos um nó precisa](https://lumenfer.com/pt/how-many-cores-dedicated-server/ "How many CPU cores do I need on a rented dedicated server?"). Todos os cinco planos estão em [quanto custa um servidor Lumenfer](https://lumenfer.com/pt/pricing/ "Lumenfer bare-metal plans and prices per 30 days").

### Planos Lumenfer como nós de Kubernetes

| Plano | CPU | Núcleos | RAM | Preço por 30 dias | Função em um cluster |
| --- | --- | --- | --- | --- | --- |
| Lumen 6 | AMD EPYC 4244P | 6 núcleos / 12 threads | 32 GB DDR5 ECC | $91.65 | Cluster de laboratório ou control plane pequeno |
| Lumen 8 | AMD Ryzen 7 9700X | 8 núcleos / 16 threads | 64 GB DDR5 | $109.37 | Cluster inicial de três nós |
| Lumen 16 | AMD Ryzen 9 9950X | 16 núcleos / 32 threads | 128 GB DDR5 | $205.27 | Nós gerais: aplicações web, builds |
| Lumen 24 | AMD EPYC 9254 | 24 núcleos / 48 threads | 256 GB DDR5 ECC | $356.25 | Nós stateful para bancos de dados |
| Lumen 32 | AMD EPYC 9354 | 32 núcleos / 64 threads | 384 GB DDR5 ECC | $749.67 | Pods com muita memória |

**Três nós de control plane em uma cidade vencem cinco espalhados pela Europa**, porque o etcd quer baixa latência. Para uma segunda região, rode um segundo cluster. Para a parte financeira, leia [se bare metal sai mais barato que a nuvem](https://lumenfer.com/pt/bare-metal-vs-cloud-cost/ "Is bare metal cheaper than the cloud?").

## Kubernetes em servidores bare metal: FAQ

### Posso rodar Kubernetes em um único servidor bare metal?

Sim. Um servidor k3s roda o control plane e seus workloads juntos. Não há alta disponibilidade: se a máquina falhar, o cluster para.

### Preciso do MetalLB em bare metal?

Só com um pool de endereços sobrando. Cada servidor Lumenfer tem um IPv4, então o k3s ServiceLB ou um controller de ingress nos IPs dos nós é mais simples. O MetalLB ainda pode servir IPv6 de um /64 on-link, em um único nó.

### Posso instalar o Talos Linux em um servidor Lumenfer?

Não diretamente. O Talos dá boot a partir da própria ISO, script PXE ou imagem de disco, e aqui não há imagem do Talos nem console remoto. Peça Proxmox VE 9 e rode o Talos como VMs.

### Posso misturar planos em um mesmo cluster?

Sim. Mantenha os três nós de control plane em um só plano para que cada um aguente a carga dos outros. Workloads stateful combinam com os planos EPYC com memória ECC.

### Como faço para pagar por três servidores sem KYC?

Faça um único depósito em cripto (BTC, USDT, USDC, ETH, SOL, LTC, XMR, mínimo de US$ 1) e contrate cada servidor usando o saldo. Sem KYC: nunca pedimos um documento de identidade, uma selfie, documentos, um cartão ou um número de telefone.

**Alugue os nodes para o seu cluster** Três máquinas idênticas em uma cidade, cada uma sua com acesso root. Pague com cripto, sem KYC. [Pedir Lumen 8](https://lumenfer.com/app/checkout/?plan=lumen-8&lang=pt) · [Comparar planos](https://lumenfer.com/pt/pricing/ "Quanto custa um servidor bare-metal Lumenfer?")

## Fontes

1. [Instalando o kubeadm (requisitos do Kubernetes v1.37, swap)](https://kubernetes.io/docs/setup/production-environment/tools/kubeadm/install-kubeadm/) — Kubernetes documentation (read 2026-11-01)
2. [Criando um cluster com kubeadm (endpoint do control plane)](https://kubernetes.io/docs/setup/production-environment/tools/kubeadm/create-cluster-kubeadm/) — Kubernetes documentation (read 2026-11-01)
3. [Options for Highly Available Topology](https://kubernetes.io/docs/setup/production-environment/tools/kubeadm/ha-topology/) — Kubernetes documentation (read 2026-11-01)
4. [Portas e protocolos](https://kubernetes.io/docs/reference/networking/ports-and-protocols/) — Kubernetes documentation (read 2026-11-01)
5. [Considerations for large clusters (110 pods per node)](https://kubernetes.io/docs/setup/best-practices/cluster-large/) — Kubernetes documentation (read 2026-11-01)
6. [Hardware recommendations](https://etcd.io/docs/v3.6/op-guide/hardware/) — etcd documentation (read 2026-11-01)
7. [Requisitos (hardware, regras de entrada, observações sobre firewall)](https://docs.k3s.io/installation/requirements) — K3s documentation (read 2026-11-01)
8. [High Availability Embedded etcd](https://docs.k3s.io/datastore/ha-embedded) — K3s documentation (read 2026-11-01)
9. [Serviços de rede (ServiceLB)](https://docs.k3s.io/networking/networking-services) — K3s documentation (read 2026-11-01)
10. [Opções básicas de rede (backends do flannel)](https://docs.k3s.io/networking/basic-network-options) — K3s documentation (read 2026-11-01)
11. [MetalLB: por quê e requisitos](https://metallb.io/) — MetalLB (read 2026-11-01)
12. [MetalLB no modo layer 2](https://metallb.io/concepts/layer2/) — MetalLB (read 2026-11-01)
13. [Criptografia transparente com WireGuard](https://docs.cilium.io/en/stable/security/network/encryption-wireguard/) — Cilium documentation (read 2026-11-01)
14. [Boot Assets (Talos v1.14)](https://docs.siderolabs.com/talos/v1.14/platform-specific-installations/boot-assets) — Sidero Labs documentation (read 2026-11-01)

---

Lumenfer: A Lumenfer aluga servidores bare-metal de geração atual em Amsterdã, Reykjavik, Zurique e Bucareste, pagos com cripto e sem KYC: sem documento, sem selfie, sem papelada. Cada máquina tem uma CPU lançada em 2022 ou depois, memória DDR5 e unidades NVMe, e é alugada inteira para um único cliente com acesso root. É operada pela DomaineGoat LLC, uma empresa do Panamá que ignora notificações DMCA, responde apenas à lei panamenha, permite Tor exit relays e não mantém logs. No prazo de 30 dias, cada plano custa pelo menos 25% menos que um servidor comparável de geração atual, nomeado, de 13 hosts cripto sem KYC, consultados em 30 de outubro de 2026.