如何基于特定端口入站TCP流量创建Kubernetes存活探针？

核心思路 #

存活探针需要周期性检测指定端口的近期入站TCP流量，无流量时触发容器退出。以下是几种从简洁性到灵活性的方案，优先推荐轻量直接的实现：

方案1：tcpdump+timeout极简单命令实现 #

这是最简洁的方式，无需额外脚本，直接用容器内已有的工具组合：

timeout 10 tcpdump -n -i any tcp dst port 1234 -q 2>/dev/null || exit 1

原理说明 #

• tcpdump -n -i any tcp dst port 1234 -q：监听所有网卡的目标端口为1234的TCP入站流量，-n跳过DNS解析提升速度，-q简化输出减少干扰
• timeout 10：限制tcpdump仅运行10秒，期间捕获到流量就提前退出（返回码0），无流量则超时返回非0
• || exit 1：若tcpdump超时（无流量），直接执行exit 1触发容器崩溃，完全匹配你的预期行为

方案2：极简bash脚本（适配自定义逻辑场景） #

如果需要更灵活的判断规则（比如统计流量包数阈值），可以用轻量脚本替代复杂逻辑：

#!/bin/bash
# 捕获10秒内端口1234的入站TCP包数量
PACKETS=$(timeout 10 tcpdump -n -i any tcp dst port 1234 -c 1 2>/dev/null | wc -l)
[ "$PACKETS" -eq 0 ] && exit 1

优势 #

• -c 1让tcpdump捕获到1个包就立刻退出，无需等满10秒，检测效率更高
• 可扩展调整包数阈值（比如要求至少2个包才判定存活）

方案3：结合容器编排平台的探针配置 #

如果使用Kubernetes等平台，可直接将上述命令配置为exec类型存活探针，无需在容器内常驻脚本：

livenessProbe:
  exec:
    command:
      - /bin/bash
      - -c
      - "timeout 10 tcpdump -n -i any tcp dst port 1234 -q 2>/dev/null || exit 1"
  initialDelaySeconds: 5
  periodSeconds: 10
  failureThreshold: 1

配置说明 #

• periodSeconds:10：每10秒执行一次检测，和你的时间窗口完全匹配
• failureThreshold:1：一次检测失败就触发容器重启，符合无流量崩溃的需求

注意事项 #

• 权限保障：容器运行时需具备NET_RAW能力，Docker可添加--cap-add=NET_RAW参数，Kubernetes可配置securityContext
• 性能优化：必须保留-n参数，避免tcpdump做DNS解析，减少资源消耗
• 资源占用：tcpdump短周期监听的资源消耗极低，不会对容器性能造成影响

内容的提问来源于stack exchange，提问作者Wiktor Kisielewski