说个可能得罪人的话Sealos 私有化部署真没大家吹得那么开箱即用。我最近帮几个客户做离线环境部署踩的坑比预想的多。今天不聊成功案例专门聊聊那些官方文档不会告诉你的风险点。离线镜像同步是个无底洞网上教程都说sealos pull 一下就行。现实是你得在一台能联网的机器上先把所有镜像拉下来打包再想办法搬到离线环境。问题来了镜像依赖链比你想象的长。你以为拉了 kubernetes 就够了ingress-nginx、coredns、metrics-server、各种 CRD operator……漏一个集群就跑不起来。我有次部署光补镜像就来回搬了三趟 U 盘。版本兼容是隐形炸弹Sealos 更新很快这本来是好事。但在离线环境这成了风险。你三个月前打的离线包今天拿出来用可能发现内核版本不匹配containerd 版本有 breaking change某个组件的 API 已经废弃建议离线包打完立刻在测试环境跑一遍。别等到现场才发现问题。DNS 和证书问题被严重低估内网环境没有公网 DNS这意味着你得自己搭 CoreDNS 并维护解析记录自签证书的信任链要手动配置到每个节点如果用了 DevBox 这类功能域名解析会更复杂我见过最离谱的 case客户内网有自己的 DNS和 K8s 的 CoreDNS 打架Pod 里解析外部域名正常解析 Service 就挂。排查了两天。我的真实建议别急着上生产先在完全隔离的测试环境把坑趟一遍镜像清单要穷举用sealos images导出完整列表一个都不能少文档要自己写官方文档是给联网环境的离线环境的特殊配置你得自己记录Sealos 本身是个好东西K8s 部署确实被简化了很多。但简化不等于无脑。离线环境的复杂度不会因为工具好用就消失。工具再好也得看谁用、怎么用。