CentOS 与 Kubernetes 兼容性要点与对策
一 版本矩阵与关键限制
- 下表汇总常见 CentOS 版本与 Kubernetes 的兼容边界与推荐做法（以内核与特性为主）：
| CentOS 版本 |
默认内核 |
建议的 K8s 上限/范围 |
关键限制与说明 |
| CentOS 7.9 |
3.10.0-1160.el7 |
稳定可用至 1.23.x；1.24+ 需升级内核；1.28+（尤其 1.31） 在 3.10 上存在明显网络性能/稳定性问题 |
3.10 缺少现代网络特性（如完备 eBPF、IPVS 高级优化、conntrack 优化），高并发/Overlay 场景性能显著下降 |
| CentOS 8.x / Stream 8 |
4.18+ |
可覆盖 1.24–1.28 的主流版本 |
自 1.24 起内置 Dockershim 已移除，需使用 containerd 等 CRI；注意防火墙/端口放行 |
| CentOS 9 Stream |
5.x（cgroups v2 默认） |
可运行 1.28+ 等新版本 |
若使用较老组件（如 1.20 级别）可能不兼容 cgroups v2，需显式启用 cgroups v1 或升级组件版本 |
- 重要版本分界与特性依赖：
- Kubernetes 1.24：移除内置 Dockershim，默认使用 containerd 等 CRI 运行时。
- Kubernetes 1.24+：依赖更高版本内核以启用/优化 eBPF、IPVS 高级特性 等。
- Kubernetes 1.26+：更推荐 内核≥5.10 以获得 io_uring 等性能优化。
- Kubernetes 1.27+：在 CentOS 7 上可能因内核特性不足而不再完全受支持。
二 常见兼容性问题与根因
- 内核过旧导致网络性能劣化（CentOS 7.9 + K8s 1.28/1.31）
- 现象：跨节点 iperf3 仅 百 KB/s～几 MB/s、偶发 CPU 僵死、探针超时、服务启动缓慢。
- 根因：3.10 内核缺少/限制 eBPF、IPVS conn_reuse_mode 等关键优化，VXLAN/Overlay 开销大，nf_conntrack 效率低，导致高并发连接下性能急剧下降。
- 运行时与版本分界（K8s 1.24+ 与 Docker）
- 现象：kubelet 无法与 Docker 通信或报 CRI 不匹配。
- 根因：自 1.24 起移除 Dockershim，需改用 containerd（或 CRI-O）；若坚持 Docker，需经由 cri-dockerd 适配，但更推荐直接使用 containerd。
- cgroups v2 与旧组件不兼容（CentOS 9）
- 现象：kubelet 启动失败或 Pod 无法创建。
- 根因：CentOS 9 默认启用 cgroups v2；部分旧版本 K8s/容器运行时对其支持不完善，需切换为 cgroups v1 或升级组件版本。
- 基础系统配置不当
- 现象：节点 NotReady、Service 不通、Pod 无法调度。
- 根因：未禁用 Swap、未加载 br_netfilter/overlay、未开启 ip_forward、未放行防火墙端口、未统一 cgroup driver（kubelet 与容器运行时不一致）。
三 推荐版本选择与升级路径
- CentOS 7.9
- 保守稳定：优先选择 Kubernetes 1.23.x（默认内核 3.10 可满足基本需求）。
- 需要 1.24+：先升级内核至 ≥4.19（推荐 ≥5.10），再部署；或直接迁移至 CentOS Stream 8/9、Rocky Linux 8/9、AlmaLinux 8/9、Ubuntu 22.04 等更新内核平台。
- 已遇到 1.28+/1.31 性能问题：在 7.9 上升级内核通常能显著改善（见下一节操作要点）。
- CentOS 8.x / Stream 8
- 推荐覆盖 1.24–1.28 的稳定版本；使用 containerd 作为运行时，注意端口放行与防火墙策略。
- CentOS 9 Stream
- 适合 1.28+；若使用较老组件（如 1.20 级别）需启用 cgroups v1 或升级组件；生产上更推荐与 1.28+ 的新组件配套。
四 快速排查与修复清单
- 内核与网络性能
- 检查内核：uname -r（CentOS 7.9 默认 3.10；升级后应为 ≥4.19/≥5.10）。
- 升级内核（ELRepo，示例为 5.4 LTS）：
- 导入 GPG：rpm --import https://www.elrepo.org/RPM-GPG-KEY-elrepo.org
- 安装仓库：yum install -y https://www.elrepo.org/RPM-GPG-KEY-elrepo.org https://www.elrepo.org/elrepo-release-7.el7.elrepo.noarch.rpm
- 安装 LTS 内核：yum --enablerepo=elrepo-kernel install kernel-lt -y
- 设置默认启动：grub2-set-default 0 && grub2-mkconfig -o /boot/grub2/grub.cfg && reboot
- 验证网络：节点间 iperf3 应恢复到接近物理带宽（如千兆网卡可达 ~940 Mb/s）。
- 运行时与 cgroup 驱动
- 确认运行时：crictl info | grep runtime（应为 containerd）。
- 统一 cgroup：确保 kubelet 与 containerd 均使用 systemd cgroup driver（/etc/containerd/config.toml 中 SystemdCgroup=true）。
- 系统与安全配置
- 必做项：swapoff -a 并注释 /etc/fstab；modprobe br_netfilter overlay；/etc/sysctl.d/k8s.conf 设置 bridge-nf-call-iptables/ip6tables=1、ip_forward=1；systemctl --system 生效。
- 防火墙：生产环境建议按端口放行而非直接关闭（6443、2379-2380、10250、10251、10252、30000-32767/TCP；Flannel 需 8472/UDP）。
- CNI 与 kube-proxy 模式
- 高并发/大规模建议采用 IPVS 模式（需内核支持）或基于 eBPF 的 CNI（如 Cilium），以替代低效的 iptables/Overlay 路径。
