Bottlerocket OS 1.20.0升级后Cilium-agent启动失败问题分析

问题背景

在Bottlerocket OS从1.19.5版本升级到1.20.0版本后，用户发现Cilium-agent组件无法正常启动。该问题主要影响使用IPv6-only EKS集群的环境，其中采用了VPC CNI与Cilium的链式模式(chaining mode)部署方案。

环境配置

• 操作系统: Bottlerocket OS 1.20.0 (aws-k8s-1.29)
• 镜像ID: ami-04a970ca64c4cc6a8
• 构建版本: bottlerocket-aws-k8s-1.29-aarch64-v1.20.0-fcf71a47
• 相关组件版本:
  • Cilium: 1.14.6 (通过Helm安装)
  • VPC CNI: v1.18.0-eksbuild.1 (作为EKS插件安装)

错误现象

Cilium-agent启动过程中出现关键错误信息：

level=warning msg="iptables modules could not be initialized. It probably means that iptables is not available on this system" error="could not load module iptable_raw: exit status

根本原因分析

通过对比Bottlerocket OS 1.19.5和1.20.0版本的内核模块加载情况，发现关键差异：

1. 1.19.5版本正常加载了以下IPv6相关模块：

   • ip6table_raw
   • ip6table_filter
   • ip6table_nat
   • ip6table_mangle

2. 1.20.0版本默认缺少ip6table_raw模块加载，导致Cilium-agent初始化失败。

临时解决方案

在受影响的节点上手动加载缺失的内核模块可以临时解决问题：

modprobe ip6table_raw

执行后检查模块加载情况：

lsmod | grep ip6table_raw

确认模块已加载且被使用后，重启Cilium-agent即可恢复正常。

技术影响分析

ip6table_raw模块是Linux内核中Netfilter框架的重要组成部分，专门用于处理IPv6数据包的"raw"表规则。在IPv6网络环境中，特别是使用Cilium这类网络插件时，该模块对于实现以下功能至关重要：

1. 原始数据包处理
2. 连接跟踪(conntrack)机制
3. 网络策略的早期过滤
4. 特殊标记数据包的处理

缺少此模块会导致网络插件无法正确建立基础的网络规则链，进而影响整个Pod网络的正常运行。

长期解决方案建议

1. 操作系统层面：建议Bottlerocket OS在后续版本中恢复默认加载ip6table_raw模块，或至少确保在IPv6环境下自动加载所需模块。

2. 部署前检查：在升级操作系统前，建议通过自动化工具验证所有必需内核模块的可用性。

3. 启动脚本增强：可以在Cilium的初始化脚本中加入模块加载检查逻辑，在模块缺失时尝试自动加载。

总结

此问题凸显了在容器化环境中操作系统内核配置与网络插件之间的紧密依赖关系。特别是在IPv6和CNI插件链式部署等复杂场景下，系统组件的微小变更都可能引发连锁反应。建议用户在升级关键基础设施组件时，充分测试网络功能的兼容性，并建立完善的回滚机制。