k8s高并发瓶颈主因是宿主机内核参数未调优，需在worker节点配置并持久化：net.core.somaxconn=65535、net.ipv4.tcp_max_syn_backlog=65535、net.core.netdev_max_backlog=5000～10000、fs.file-max≥2097152、vm.swappiness=0，并同步优化containerd（启用systemd_cgroup）和kubelet（开启supportpodpidslimit）。
在K8s环境下，Docker容器（实际由Containerd运行）出现并发瓶颈，往往不是容器本身的问题，而是宿主机Linux内核参数未适配高并发场景。这类问题通常表现为连接拒绝、新建Pod延迟高、大量TIME_WAIT堆积或网络吞吐骤降——根本原因在于内核网络栈、文件句柄、进程调度等默认值过于保守。
重点调优的内核参数
以下参数需在所有Worker节点上配置，并持久化生效：
- net.core.somaxconn：TCP全连接队列上限。默认128，在高QPS服务下极易丢连接。建议设为 65535；
- net.ipv4.tcp_max_syn_backlog：半连接队列大小。应 ≥ somaxconn，推荐 65535；
- net.core.netdev_max_backlog：网卡接收队列长度。突发流量时防丢包，建议 5000～10000；
- fs.file-max：系统级最大文件句柄数。K8s节点常运行数十Pod，每个Pod可能开数百连接，建议 ≥ 2097152（200万）；
- vm.swappiness：避免内存压力下频繁swap。容器环境应禁用swap，设为 0（同时需在kubelet中禁用--fail-swap-on=false）；
容器运行时层同步优化
仅调内核不够，Containerd和Kubelet必须与之对齐：
- 在/etc/containerd/config.toml中启用
systemd_cgroup = true，确保cgroup v2路径一致； - Kubelet启动参数加入
--feature-gates=SupportPodPidsLimit=true，并在Pod spec中设置securityContext.pidsLimit（如1024），防fork炸弹耗尽PID资源； - 避免在Pod中使用
hostNetwork: true，否则绕过CNI和内核连接限制，导致节点级失控；
验证与持续监控
调参后必须验证是否真正生效，且不引发副作用：
- 用
sysctl -n net.core.somaxconn确认节点值已更新； - 部署一个压力测试Pod（如
fortio），发起1000+并发连接，观察ss -s输出中tcp项的inuse和orphan是否稳定； - 通过
kubectl top node和node_exporter指标检查node_filefd_allocated和node_netstat_Tcp_CurrEstab趋势； - 若仍见大量
TIME_WAIT，可补充net.ipv4.tcp_tw_reuse = 1（仅对客户端有效）或调整net.ipv4.ip_local_port_range扩大端口池。
不复杂但容易忽略：内核参数调优必须在集群初始化阶段完成，上线后再改需逐台滚动重启，且要配合K8s组件版本兼容性检查（如v1.28+才完整支持cgroup v2）。
