4. 缓存未命中根因分析：缓存过期策略、缓存容量不足、缓存污染、缓存一致性失效

CNI 缓存未命中是导致容器网络路径变长、延迟增加、CPU 开销飙升的核心诱因。当 kubelet 或网络插件（如 Calico、Cilium、Flannel）在本地缓存中查找 Pod 网络配置、路由规则或 ARP 条目失败时，必须回退到 API Server 查询或通过 etcd 重新同步，这一过程会引入毫秒级甚至秒级的延迟。本章深入剖析缓存未命中的四大根因：缓存过期策略、缓存容量不足、缓存污染和缓存一致性失效，并提供对应的诊断与优化方法。

4.1 缓存过期策略：TTL 与驱逐机制

CNI 缓存通常为每个条目设置 TTL（生存时间），过期后自动失效。若 TTL 设置过短，频繁的过期与重建会大幅降低命中率；若 TTL 设置过长，则可能导致数据陈旧，引发路由错误。

4.2 缓存容量不足：驱逐与抖动

缓存容量受限于内存或条目数上限。当集群规模增长或 Pod 频繁创建/销毁时，缓存可能被填满，触发 LRU（最近最少使用）或 LFU（最不经常使用）驱逐策略。被驱逐的条目在后续访问中必然未命中，形成“缓存抖动”。

• 症状：缓存命中率周期性下降，CPU 使用率同步波动。
• 常见瓶颈：Linux 内核 neigh/default/gc_thresh 系列参数（ARP 缓存上限）；Cilium 的 bpf-map-dynamic-size-ratio；Flannel 的 subnet-file 缓存。
• 优化手段：增大缓存容量上限、调整驱逐阈值、使用更高效的数据结构（如 BPF map 替代哈希表）。

# 查看当前阈值
sysctl net.ipv4.neigh.default.gc_thresh1
sysctl net.ipv4.neigh.default.gc_thresh2
sysctl net.ipv4.neigh.default.gc_thresh3

# 调大阈值（适用于大规模集群）
sysctl -w net.ipv4.neigh.default.gc_thresh1=2048
sysctl -w net.ipv4.neigh.default.gc_thresh2=4096
sysctl -w net.ipv4.neigh.default.gc_thresh3=8192

4.3 缓存污染：无效条目与错误数据

缓存污染指缓存中存储了错误、过期或无效的数据，导致查询命中但返回错误结果，进而引发网络故障。污染通常由以下原因引起：

• IP 冲突：两个 Pod 被分配了相同的 IP，缓存中同时存在两条冲突记录。
• 残留条目：Pod 已删除但缓存未及时清理，后续新 Pod 使用相同 IP 时仍指向旧 MAC 地址。
• 并发写入：多个 goroutine 或进程同时更新同一缓存条目，导致数据覆盖或损坏。

# 检查 ARP 表中是否存在重复 IP
arp -an | awk '{print $2}' | sort | uniq -d

# 检查 Calico 的 etcd 缓存是否与本地路由一致
calicoctl get workloadEndpoint -o wide | grep -E "Duplicate|Conflict"

# 使用 bpftool 查看 Cilium BPF map 中的异常条目
bpftool map dump name cilium_lb4_services_v2 | grep -E "invalid|error"

4.4 缓存一致性失效：数据源变更未同步

当 API Server 中的资源（如 Pod、Service、EndpointSlice）发生变更时，CNI 缓存必须及时更新。若同步机制存在延迟或失败，缓存将处于“陈旧”状态，导致查询命中但返回过时数据。

一致性失效的典型场景：

1. Watch 断连：CNI 组件与 API Server 的 Watch 连接因网络抖动或 etcd 压力中断，丢失部分变更事件。
2. 增量同步失败：增量更新（Informer 的 DeltaFIFO）处理异常，导致缓存未应用最新变更。
3. 全量重同步周期过长：全量重新 List 的间隔（如 5 分钟）内，缓存与真实状态不一致。

4.5 根因对比与诊断矩阵

下表汇总了四种根因的典型症状、诊断命令和优化方向，帮助 SRE 快速定位问题。

4.6 综合优化策略

针对上述根因，推荐以下组合优化方案：

• 动态 TTL 调整：根据缓存命中率监控数据，自动缩短或延长 TTL。例如，在 Pod 频繁创建阶段缩短 TTL 以减少陈旧数据，在稳定阶段延长 TTL 以提高命中率。
• 缓存容量规划：基于集群最大 Pod 数、Service 数和节点数，预留 2-3 倍余量的缓存空间。使用 BPF map 时，通过 bpftool map show 监控实际使用率。
• 污染防御：在 CNI 插件中实现 IP 冲突检测（如 Calico 的 ipipConflictCheck），并在缓存写入前校验数据合法性。
• 一致性增强：缩短全量重同步周期（如从 5 分钟改为 1 分钟），并为 Watch 连接添加重试和退避机制。在 Cilium 中启用 k8s-watcher-endpoint-selector 以减少不必要的事件。