RKE2项目中CNI插件重启导致网络中断问题的分析与解决

问题背景

在RKE2集群环境中，当使用Canal作为CNI插件时，用户报告了一个关键的网络连接问题。具体表现为：在rke2-canal Pod重启过程中，集群节点会暂时失去外部网络连接能力。这一问题在v1.30.13+rke2r1版本中被确认并修复。

技术分析

该问题的核心在于CNI插件重启时的网络规则处理机制。RKE2使用Canal作为默认CNI插件，它实际上是Flannel和Calico的组合。当Canal Pod重启时，关键的iptables规则FLANNEL-POSTRTG会被临时移除，导致节点无法正确路由外部流量。

FLANNEL-POSTRTG是Flannel网络插件设置的一个关键NAT规则链，负责处理容器到外部网络的流量转发。在旧版本中，这个规则链在Pod重启过程中会被完全删除，然后重新创建，造成了短暂但明显的网络中断。

解决方案

开发团队通过升级Flannel组件版本解决了这个问题。具体修复内容包括：

1. 将hardened-flannel镜像从v0.26.3升级到v0.27.0版本
2. 改进了CNI插件重启时的iptables规则处理逻辑
3. 确保FLANNEL-POSTRTG规则链在Pod重启过程中保持稳定

新版本实现了平滑的规则更新机制，避免了网络规则在更新过程中的完全删除和重建，从而消除了网络中断现象。

验证方法

为了验证修复效果，可以采用以下测试方案：

1. 部署一个包含网络测试工具(如multitool)的Pod
2. 在该Pod中持续测试外部网络连接
3. 监控FLANNEL-POSTRTG规则链的状态
4. 主动重启Canal Pod
5. 观察网络连接是否保持稳定

测试结果表明，在修复后的版本中，即使Canal Pod重启，外部网络连接也能保持稳定，FLANNEL-POSTRTG规则链不会出现中断现象。

影响范围

该问题主要影响以下环境：

• 使用RKE2 v1.30.x版本
• 采用Canal作为CNI插件
• 需要稳定外部网络连接的生产环境

对于已经部署的集群，建议升级到包含修复的版本以获得稳定的网络表现。对于网络稳定性要求高的场景，这一修复尤为重要。