MicroK8s在WSL2环境下的网络策略问题排查指南

背景概述

在Windows Subsystem for Linux 2(WSL2)环境中部署MicroK8s时，网络连接问题是一个常见挑战。特别是在启用Calico网络策略后，系统重启往往会导致网络连接变得不稳定甚至完全中断。本文将深入分析这一问题的根源，并提供系统化的解决方案。

问题现象

当在WSL2中运行Ubuntu 22.04 LTS并安装MicroK8s 1.29版本后，部署Prometheus Operator等组件并启用网络策略后，系统重启会导致以下症状：

1. Pod间网络通信变得不稳定
2. 网络策略规则在重启后无法正确恢复
3. iptables规则出现混乱

根本原因分析

经过深入排查，发现问题的核心在于以下几个方面：

1. 内核模块缺失

WSL2默认内核缺少关键的netfilter/iptables模块，特别是-m recent模块未编译进内核。这导致kube-proxy在执行iptables-restore时崩溃。

2. iptables版本冲突

系统中存在多个iptables版本：

• 主机系统自带的iptables 1.8.7
• MicroK8s自带的iptables 1.8.6
• 部分组件可能直接使用NETLINK接口配置规则

这种版本混杂导致了规则管理的不一致性。

3. 转发策略配置不当

FORWARD链的默认策略可能未正确配置，影响了容器间的网络通信。

解决方案

1. 内核模块修复

需要重新编译WSL2内核，确保包含以下关键模块：

• 所有netfilter相关模块
• conntrack模块
• bpfilter模块
• 特别是-m recent模块

2. iptables统一配置

建议统一使用nftables后端：

update-alternatives --set iptables /usr/sbin/iptables-nft
update-alternatives --set ip6tables /usr/sbin/ip6tables-nft

同时确保Calico Felix配置为使用nftables模式。

3. 转发策略修正

检查并确保FORWARD链的默认策略为ACCEPT：

iptables -P FORWARD ACCEPT

最佳实践建议

1. 部署前检查：使用microk8s inspect时，建议增加以下检查项：

   • 当前使用的iptables变体(nft/legacy)
   • FORWARD链的默认策略
   • Felix的后端配置
   • 关键内核模块的可用性

2. 版本一致性：确保系统中只使用一个版本的iptables工具，避免混合使用不同版本。

3. 日志监控：定期检查系统日志，特别是kube-proxy的相关消息，可以早期发现问题迹象。

总结

WSL2环境下的MicroK8s网络问题通常源于内核模块缺失和iptables配置混乱。通过重新编译包含完整网络模块的内核，统一iptables版本和配置，以及正确设置网络转发策略，可以显著提高系统稳定性。对于生产环境，建议考虑使用完整的Linux虚拟机而非WSL2，以获得更稳定的网络支持。