单机启动超500容器引发网络挂起，本质是内核网络栈与cni资源耗尽，需从conntrack表、cni插件、netns开销、socket限制及cgroup v2兼容性等底层机制系统性优化。
单机启动超过五百个容器时引发系统网络挂起，本质是内核网络栈与 cni 资源耗尽所致，不是单纯“容器太多”这么简单，而是网络命名空间、iptables 规则、conntrack 表、veth 设备和路由缓存等关键资源被撑爆。解决需从底层机制入手，而非只调高 ulimit 或重启服务。
检查并清理 conntrack 连接跟踪表
大量容器会生成海量 NAT 连接条目，超出默认 conntrack 限制（通常 65536），导致新连接被丢弃、ping 不通、DNS 解析失败等“网络挂起”假象。
- 查看当前使用量：sudo conntrack -C（显示总数）与 sudo conntrack -L | wc -l
- 临时扩容（按内存比例设置）：sudo sysctl -w net.netfilter.nf_conntrack_max=524288
- 持久化配置：在 /etc/sysctl.conf 中添加 net.netfilter.nf_conntrack_max = 524288，再执行 sudo sysctl -p
- 必要时清空无效连接：sudo conntrack -F（慎用，会中断已有连接）
优化 CNI 插件与网络命名空间开销
默认 bridge 或 calico 等 CNI 在数百容器下会创建同等数量的 veth pair、网桥端口和 iptables 链，造成内核调度压力与 netns 切换延迟。
- 禁用非必需的 CNI 功能：如关闭 calico 的 policy 和 ipam 冗余检查；或改用轻量级 CNI（如 macvlan 或 ipvlan）绕过宿主机网络栈
- 合并 iptables 规则：使用 iptables-legacy 替代 nftables（部分 kernel 版本下更稳定），并启用 iptables --wait 避免并发写冲突
- 限制每个容器的 netns 创建频率：在 containerd config.toml 中设置 [plugins."io.containerd.grpc.v1.cri".containerd.runtimes.runc.options] 下的 systemd_cgroup = false（避免 systemd 拖慢 netns 初始化）
释放网络相关内核资源上限
除 conntrack 外，socket 数、文件描述符、路由缓存、邻居表也易成为瓶颈。
- 扩大 socket 与 fd 限制：echo '* soft nofile 1048576' | sudo tee -a /etc/security/limits.conf，并确保 containerd 启动时继承该值
- 调大邻居缓存：sudo sysctl -w net.ipv4.neigh.default.gc_thresh1=4096、gc_thresh2=8192、gc_thresh3=16384
- 降低路由缓存压力：若未用复杂策略路由，可关闭 sudo sysctl -w net.ipv4.route.max_size=262144 并禁用 net.ipv4.conf.all.forwarding=0（除非真需转发）
规避内核命名空间与 cgroup v2 兼容性问题
某些内核版本（尤其是 5.10–5.15）在 cgroups v2 + 大量 netns 场景下存在 lockup 风险，表现为 ping 响应极慢或彻底无响应。
- 确认当前模式：cat /proc/1/cgroup | head -1 — 若含 unified 即为 cgroup v2
- 临时回退到 v1（仅测试用）：systemd.unified_cgroup_hierarchy=0 加入内核启动参数，重启生效
- 升级至内核 ≥6.1 或使用 LTS 5.15.142+（已修复多个 netns 锁竞争缺陷）
- 对 containerd 配置强制使用 v1：[plugins."io.containerd.grpc.v1.cri".containerd] set_default_runtime = "runc"，并在 runc options 中显式设 cgroup_parent = "/system.slice"
