MicroK8s集群在停止后重启无法访问的问题分析与解决方案

问题现象

在使用MicroK8s v1.32.2版本时，用户发现一个关键性问题：当执行microk8s stop命令停止集群，随后执行microk8s start重新启动后，集群变得无法通过公共IP地址访问。这一现象在MicroK8s v1.31.6版本中并未出现，表明这是一个新引入的问题。

深入分析

通过详细的排查，发现问题的根源在于iptables规则的异常变化：

1. 正常状态：在系统完全重启后，iptables的nat表中存在2条DNAT规则，此时集群访问正常
2. 异常状态：执行停止和启动操作后，DNAT规则数量增加到4条，此时集群访问失败
3. 规则内容：这些规则都与"microk8s-flannel-network"相关，涉及80和443端口的转发

进一步的技术分析表明，这个问题是在#4755变更引入的，该变更影响了CNI网络插件的规则管理逻辑。当MicroK8s停止时，旧的DNAT规则没有被正确清理，而在启动时又添加了新的规则，导致规则冲突和重复。

解决方案

目前有两种可行的解决方案：

1. 临时解决方案：在停止MicroK8s后，手动执行以下命令清理DNAT规则：

   sudo iptables-legacy -t nat -F CNI-HOSTPORT-DNAT
   

2. 长期解决方案：等待官方发布包含修复的新版本MicroK8s。该修复已经提交并将在后续版本中发布。

技术背景

MicroK8s使用CNI(Container Network Interface)插件来管理容器网络，其中flannel是默认的网络插件。当Pod需要暴露服务时，CNI会创建相应的iptables规则来实现端口转发。这些规则在正常情况下应该随着Pod的生命周期被动态管理。

在v1.32.2版本中，规则清理机制出现了问题，导致：

• 停止时旧规则未被移除
• 启动时新规则被重复添加
• 最终导致规则冲突，网络流量无法正确转发

最佳实践建议

对于生产环境用户，建议：

1. 暂时停留在v1.31.6版本以避免此问题
2. 如需使用v1.32.2版本，应在变更窗口安排系统重启而非简单的stop/start操作
3. 密切关注MicroK8s的版本更新，及时升级到包含修复的版本

总结

这个问题展示了Kubernetes网络栈中规则管理的重要性。即使是轻量级的MicroK8s发行版，其网络组件也需要精确的规则生命周期管理。用户在使用过程中应当注意版本变更可能带来的网络行为变化，并掌握基本的网络诊断技能，如检查iptables规则等。

对于开发者而言，这个问题也提醒我们在网络相关的变更时需要特别谨慎，确保规则的添加和清理逻辑完全对称，避免残留规则影响系统行为。