一、问题背景与核心矛盾

在Kubernetes集群中部署flannel作为CNI插件时，开发者常遇到容器无法拉取镜像的异常情况，具体表现为：

• kubectl describe pod 显示 Failed to pull image 错误
• 容器日志中出现 net/http: TLS handshake timeout 或 connection refused
• 镜像仓库访问日志无请求记录

此类问题本质上是容器网络平面与镜像仓库通信链路断裂，需从网络配置、DNS解析、安全策略三个维度进行系统性排查。

二、基础环境验证

1. 网络连通性测试

执行跨节点ping测试验证基础网络：

# 在Node1上测试Node2的容器网络
ping <Node2-Pod-IP>
# 测试镜像仓库可达性（以Docker Hub为例）
curl -v https://registry-1.docker.io/v2/

若出现超时，需检查：

• 物理网络设备（交换机、防火墙）是否放行UDP 8472端口（VXLAN隧道）
• 云服务商安全组是否限制出站流量
• 节点间路由表是否完整（ip route show table all）

2. DNS解析验证

在问题节点执行：

# 测试集群内部DNS解析
nslookup <镜像仓库域名>
# 测试外部DNS解析
dig +short registry-1.docker.io

解析失败时需检查：

• CoreDNS配置文件（/etc/coredns/Corefile）是否包含正确的forward规则
• 节点/etc/resolv.conf是否被覆盖（常见于云主机环境）
• 节点网络模式是否为host-local导致IP冲突

三、flannel专项排查

1. 配置文件校验

检查/etc/cni/net.d/10-flannel.conflist配置：

{
  "name": "cbr0",
  "cniVersion": "0.3.1",
  "plugins": [
    {
      "type": "flannel",
      "delegate": {
        "hairpinMode": true,
        "isDefaultGateway": true
      }
    },
    {
      "type": "portmap",
      "capabilities": {"portMappings": true}
    }
  ]
}

关键参数说明：

• isDefaultGateway：必须设为true以确保Pod流量通过flannel网关
• hairpinMode：允许容器访问自身Service IP

2. 运行状态诊断

执行诊断命令：

# 检查flanneld服务状态
systemctl status flanneld
# 查看VXLAN隧道状态
ip link show flannel.1
# 抓取网络包分析（需安装tcpdump）
tcpdump -i flannel.1 -nn port 8472

异常表现及解决方案：
| 现象 | 可能原因 | 解决方案 |
|———|—————|—————|
| VXLAN接口不存在 | flannel未正确创建网络设备 | 重启flannel服务并检查日志 |
| 收到但未回复ARP请求 | 节点间时间不同步 | 配置NTP服务同步时间 |
| 封装包长度超过MTU | 网络设备限制 | 调整--mtu参数（默认1450） |

四、镜像仓库访问优化

1. 私有仓库配置

在Kubernetes中配置imagePullSecrets：

apiVersion: v1
kind: Secret
metadata:
  name: regcred
data:
  .dockerconfigjson: <base64-encoded-config>
type: kubernetes.io/dockerconfigjson

验证命令：

kubectl get secret regcred --output=yaml

2. 镜像加速方案

配置国内镜像源（以阿里云为例）：

// /etc/docker/daemon.json
{
  "registry-mirrors": ["https://<your-id>.mirror.aliyuncs.com"]
}

重启服务后验证：

systemctl restart docker
docker info | grep Mirror

五、高级故障排除

1. 网络策略冲突

检查NetworkPolicy配置：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-registry
spec:
  podSelector: {}
  policyTypes:
  - Egress
  egress:
  - to:
    - ipBlock:
        cidr: 52.72.0.0/16  # Docker Hub IP范围
    ports:
    - protocol: TCP
      port: 443

2. 容器运行时日志

收集cri-o/containerd日志：

# 对于containerd
journalctl -u containerd -f
# 对于cri-o
crictl logs <container-id>

常见错误码：

• ERR_IMAGE_PULL：镜像不存在或权限不足
• ERR_NETWORK：CNI插件返回错误
• ERR_OPERATION_TIMEOUT：网络延迟过高

六、预防性维护建议

1. 定期更新组件：

   # 升级flannel
   kubectl set image deployment/kube-flannel-ds \
   -n kube-system \
   kube-flannel=quay.io/coreos/flannel:v0.20.2

2. 监控告警配置：
   ```yaml

   Prometheus监控示例

• record: jobrate5m
  expr: rate(flannel_packet_loss_total[5m]) > 0.01
  ```

1. 网络拓扑优化：

• 避免跨可用区部署（增加延迟）
• 启用BGP模式替代VXLAN（需支持BGP的路由器）
• 调整--ip-masq参数优化NAT性能

七、典型案例解析

案例1：跨云环境镜像拉取失败

• 问题：阿里云ECS无法访问GCR镜像
• 解决：配置镜像转换服务+私有仓库中转
• 命令示例：

  # 使用skopeo转换镜像格式
  skopeo copy docker://gcr.io/project/image:tag docker://registry.example.com/project/image:tag

案例2：VXLAN封装导致MTU碎片

• 问题：物理网络MTU=1500，flannel默认1450
• 解决：调整节点MTU并重启flannel
  ```bash

  修改节点MTU

  ip link set dev eth0 mtu 1400

重启flannel

systemctl restart flanneld
```

通过上述系统化的排查流程，开发者可快速定位flannel环境下镜像无法使用的根本原因。建议建立标准化的问题处理SOP，结合监控告警系统实现问题预判，最终构建稳定可靠的容器网络环境。