1. 课程导论：CNI缓存命中率的重要性、课程目标与学习路径、前置知识要求
1.1 为什么CNI缓存命中率是容器网络性能的“隐形瓶颈”
在Kubernetes集群中，每个Pod的网络命名空间通过CNI（Container Network Interface）插件与宿主机网络栈连接。CNI插件在创建/删除Pod时，需要频繁查询集群的节点路由、Pod IP分配、网络策略规则等元数据。这些元数据通常存储在etcd或API Server中，每次查询都会产生网络开销和序列化/反序列化延迟。
CNI缓存正是为了减少这些重复查询而设计的本地内存副本。当缓存命中率不足时，CNI插件会退化为“每次创建Pod都走完整查询路径”，导致：
- Pod启动延迟增加：从数百微秒飙升至数十毫秒，影响HPA弹性伸缩和批处理作业效率。
- API Server压力上升：大量CNI查询请求冲击控制面，可能引发级联故障。
- 网络策略生效滞后：缓存未命中导致策略规则重新加载，造成安全窗口期。
关键指标：生产环境中，CNI缓存命中率低于95%时，Pod创建P99延迟通常超过500ms；命中率提升至99.9%以上，P99延迟可稳定在50ms以内。
1.2 课程目标与学习路径
本课程旨在帮助SRE和容器平台工程师系统性地诊断CNI缓存命中率问题，并给出可落地的容器网络环境配置方案。完成本课程后，学员将具备以下能力：
| 能力维度 | 具体目标 | 对应章节 |
|---|---|---|
| 诊断能力 | 使用eBPF、perf、CNI插件内置指标识别缓存未命中根因 | 第4-7章 |
| 配置能力 | 优化CNI缓存大小、TTL、预填充策略，适配不同容器网络模型 | 第8-12章 |
| 架构能力 | 设计高命中率的CNI缓存拓扑，减少控制面依赖 | 第13-16章 |
| 运维能力 | 建立缓存命中率监控看板、告警规则与混沌工程演练 | 第17-20章 |
学习路径分为四个阶段，建议按顺序推进：
- 基础夯实（第1-3章）：理解CNI缓存架构、核心数据结构与缓存一致性模型。
- 瓶颈定位（第4-7章）：掌握缓存未命中的典型模式与诊断工具链。
- 优化实战（第8-16章）：针对Flannel、Calico、Cilium等主流CNI插件进行缓存配置调优。
- 持续运营（第17-20章）：构建自动化缓存健康管理体系与故障自愈能力。
学习建议：每章末尾的“动手实验”环节请务必在测试集群中完成。缓存优化效果高度依赖集群规模与工作负载特征，纸上谈兵无法获得真实手感。
1.3 前置知识要求
本课程面向有一定经验的Kubernetes运维人员。为确保学习效果，建议学员在开课前掌握以下知识：
| 知识领域 | 具体要求 | 推荐学习资源 |
|---|---|---|
| Kubernetes网络基础 | 理解Pod网络模型、Service、NetworkPolicy、CNI插件工作原理 | 《Kubernetes in Action》第13-15章 |
| Linux网络栈 | 熟悉netfilter、iptables、ipvs、路由表、网络命名空间 | 《Linux Networking Cookbook》 |
| 性能分析工具 | 能使用perf、bpftrace、tcpdump进行基础性能采样 | Brendan Gregg《BPF Performance Tools》 |
| Go语言基础 | 能阅读CNI插件源码中的缓存相关逻辑（非必须，但有助于深度调试） | Go官方Tour |
注意：如果对CNI插件的基本安装与配置尚不熟悉，建议先完成Kubernetes官方文档中“Cluster Networking”章节的实践，再进入本课程。
1.4 课程配套环境说明
本课程所有实验基于以下标准环境，建议学员提前准备：
- Kubernetes版本：v1.28+（支持CriDockerd与containerd运行时）
- CNI插件：Calico v3.27+ / Cilium v1.15+（二选一，课程会覆盖两者差异）
- 节点规格：至少3个工作节点，每节点4C8G，操作系统Ubuntu 22.04 LTS
- 监控栈：Prometheus + Grafana + Node Exporter + kube-state-metrics
- 诊断工具：bpftrace v0.20+、perf、tcpdump、curl、jq
快速验证命令：在已有集群中执行以下命令，检查当前CNI缓存命中率基础状态（以Calico为例）：
# 查看Calico felix缓存统计
kubectl exec -n kube-system ds/calico-node -- calicoctl node status | grep -i cache
# 查看Cilium缓存命中率（如果使用Cilium）
kubectl exec -n kube-system ds/cilium -- cilium bpf lb list | wc -l