K8s集群CRI-O跨節(jié)點網(wǎng)絡協(xié)同適配調優(yōu)實操技術棧Kubernetes v1.32.13 Rocky Linux 8.6 CRI-O v1.30.x runc 1.1.x CNI Plugins v1.4.x操作環(huán)境 / 對接原理 / 詳細步驟 / 完整命令 / 配置文件 / 驗證流程 / 排錯方案K8s集群CRI-O跨節(jié)點網(wǎng)絡協(xié)同適配調優(yōu)實操操作環(huán)境K8s 集群 3 節(jié)點k8s-master(192.168.1.10), k8s-node1(192.168.1.11), k8s-node2(192.168.1.12)CRI-O 作為容器運行時部署于所有節(jié)點節(jié)點最低配置 2C4G系統(tǒng)盤預留 50GB 以上容器數(shù)據(jù)目錄 /var/lib/containers/storage 建議獨立掛載預留 100GB 以上操作系統(tǒng) Rocky Linux 8.6內核版本 4.18已關閉 swap 分區(qū)已配置可用的 Yum 軟件源CRI-O 版本與 Kubernetes v1.32.13 兼容已加載 overlay 和 br_netfilter 內核模塊對接原理CRI-O 是 Kubernetes 容器運行時實現(xiàn)通過 CRIContainer Runtime Interface接口與 kubelet 通信。kubelet 通過 Unix 域套接字 /var/run/crio/crio.sock 調用 CRI-O 的 CRI 接口CRI-O 負責鏡像拉取、容器生命周期管理、存儲管理和網(wǎng)絡配置。容器的實際運行由 OCI 運行時 runc 完成網(wǎng)絡配置由 CNI 插件完成。配置文件為 /etc/crio/crio.conf數(shù)據(jù)存儲在 /var/lib/containers/storage。 CRI-O 由 Red Hat 主導開發(fā)專為 K8s 設計架構精簡僅包含 K8s 所需最小功能集使用 containers/image 庫拉取鏡像containers/storage 庫管理存儲與 Podman 共享存儲后端。詳細步驟1. 性能基線采集與瓶頸分析# 1. 當前配置采集 crio --version cat /etc/crio/crio.conf 2/dev/null | head -50 ? # 2. 資源使用基線 ps aux --sort-%cpu | grep -E crio|runc | head -10 free -h df -h /var/lib/containers/storage 2/dev/null ? # 3. 容器數(shù)量與密度 crictl ps -q 2/dev/null | wc -l crictl pods -q 2/dev/null | wc -l ? # 4. 鏡像拉取速度基線 time crictl pull nginx:1.25 21 | tail -5 ? # 5. 容器啟動速度基線 time crictl runp --runtimerunc (echo {metadata:{name:test,namespace:default,uid:test}}) 212. 關鍵參數(shù)調優(yōu)配置# 備份配置 cp /etc/crio/crio.conf /etc/crio/crio.conf.bak.tuning.$(date %Y%m%d) ? # 1. 并發(fā)拉取調優(yōu)根據(jù)運行時調整配置項 # 2. 存儲驅動調優(yōu)overlay2 性能參數(shù) # 3. 網(wǎng)絡調優(yōu)連接數(shù)、超時參數(shù) # 4. 資源限制調優(yōu)文件句柄、進程數(shù)、內存 # 5. 日志級別調整生產(chǎn)環(huán)境 info調試 debug ? # systemd 資源限制 mkdir -p /etc/systemd/system/crio.service.d cat /etc/systemd/system/crio.service.d/tuning.conf EOF [Service] LimitNOFILE1048576 LimitNPROCinfinity LimitCORE0 TasksMaxinfinity EOF ? systemctl daemon-reload systemctl restart crio3. 調優(yōu)效果驗證與對比# 1. 服務狀態(tài) systemctl is-active crio ? # 2. 資源占用對比 ps -o pid,%cpu,%mem,rss -p $(pgrep -x crio 2/dev/null | head -1) 2/dev/null ? # 3. 鏡像拉取速度對比 time crictl pull alpine:latest 21 | tail -3 ? # 4. 并發(fā)測試同時拉取多個鏡像 for i in $(seq 1 5); do crictl pull busybox:latest done wait echo 并發(fā)拉取完成 ? # 5. 容器密度測試 crictl pods -q 2/dev/null | wc -l echo 當前 Pod 數(shù)量 ? # 6. 穩(wěn)定性驗證持續(xù)運行觀察 crictl info | grep status echo 調優(yōu)驗證完成驗證流程# 1. 服務狀態(tài)驗證 systemctl is-active crio systemctl is-enabled crio # 預期active / enabled ? # 2. 版本驗證 crio --version # 預期顯示對應版本號 ? # 3. CRI 接口驗證 crictl info | grep -E status|runtimeType|runtimeVersion # 預期statusREADY ? # 4. 配置驗證 grep -E cgroup|systemd|storage|driver /etc/crio/crio.conf 2/dev/null || echo 配置文件檢查 # 預期cgroup 驅動為 systemd ? # 5. 鏡像拉取測試 crictl pull busybox:latest crictl images | grep busybox # 預期鏡像拉取成功 ? # 6. Socket 驗證 ls -la /var/run/crio/crio.sock # 預期socket 文件存在排錯方案服務啟動失敗執(zhí)行 journalctl -u crio -n 100 查看日志常見為配置文件語法錯誤或數(shù)據(jù)目錄權限問題使用配置校驗命令檢查CRI 接口連接超時檢查 /var/run/crio/crio.sock 是否存在確認 crio 服務已啟動檢查 /etc/crictl.yaml 的 runtime-endpoint 配置是否正確鏡像拉取失敗檢查網(wǎng)絡連通性和 DNS 解析配置鏡像加速源確認 registries 配置正確離線環(huán)境需提前導入鏡像cgroup 驅動不匹配K8s 節(jié)點必須使用 systemd cgroup 驅動與 kubelet 的 cgroupDriversystemd 一致修改配置后重啟服務CNI 網(wǎng)絡插件缺失檢查 /opt/cni/bin 目錄是否有 CNI 插件確認 /etc/cni/net.d 目錄有網(wǎng)絡配置文件數(shù)據(jù)目錄權限錯誤確保容器存儲目錄權限正確root:rootSELinux 可能阻止訪問執(zhí)行 setenforce 0 測試或配置 SELinux 策略資源不足導致 OOM查看 dmesg | grep -i oom檢查內存和磁盤空間適當增加資源或調整容器資源限制配置變更不生效修改配置后需重啟服務systemctl restart確認修改的是正確的配置文