conntrack

生产环境 Linux 网络抖动全链路排查手册（TCP 重传 → conntrack 表满 → MTU 黑洞 → DNS 抖动）+ 一键诊断 Bash 脚本 + 3 个脱敏线上案例 一、现象或背景 做运维 3 年，网络抖动是我踩坑最多的方向—

背景 10 年网络工程，现保一个 K8s 1.28 集群（12 节点、Calico VXLAN IPIP 模式、双口 25G、内核 5.15.0-91、containerd 1.7）。业务侧是 Go 1.21 无状态 API（HTTP/1.

背景 3 年网络工程，负责一批 K8s iptables 模式集群（12 个节点，内核 5.10，nf_conntrack_max 维持默认 262144，没改过）。业务以 HTTP/1.0 短连接 + 一个上游重试风暴入口为主，单节点稳态

【背景】 我是一名有 8 年经验的云原生架构师，目前在维护一个自建 K8s 1.28（containerd 1.6 + Calico v3.26，IPIP 模式，3 控制面 + 12 工作节点，64C/256G 规格）的集群，上面跑着约 4

«结论先行：K8s 上有一类故障长得很像「服务挂了」，其实服务、Pod、Service 全活，只是节点的内核连接跟踪表（conntrack）满了——新连接被内核直接丢弃，已建连的长连接还能跑。它的特点是按节点分布、只影响新建连接、"kube