启用Istio注入后Minikube中Pod无法启动（Mac M1环境）

AI 小北

2026-8-21

解决Istio注入时iptables-restore初始化nat表失败的问题

以下是针对该问题的排查和解决步骤：

检查并切换Minikube的iptables模式
Istio初始化容器对iptables的模式（legacy/nft）存在依赖，部分Minikube环境默认使用nft模式会引发兼容性问题。
1. 登录Minikube节点查看当前iptables模式：
```
minikube ssh -- iptables -V
```
  若输出包含nf_tables，说明当前是nft模式，需要切换到legacy。
2. 切换iptables到legacy模式：
```
minikube ssh -- update-alternatives --set iptables /usr/sbin/iptables-legacy
```
3. 重启Minikube使配置生效：
```
minikube stop && minikube start
```
确认istio-init容器的权限配置
istio-init需要NET_ADMIN和NET_RAW权限才能修改iptables规则，检查Istio的sidecar注入配置是否包含这些权限：
```
istioctl proxy-config sidecar-injector
```
确保输出的securityContext部分存在如下配置：
```
securityContext:
  capabilities:
    add: ["NET_ADMIN", "NET_RAW"]
```
若配置缺失，重新安装Istio时指定适合测试环境的demo profile：
```
istioctl install --set profile=demo -y
```
检查Minikube节点的内核模块
确认Minikube节点加载了iptable_nat模块，这是nat表初始化的必要条件：
```
minikube ssh -- lsmod | grep iptable_nat
```
若无输出，手动加载模块并重启Minikube：
```
minikube ssh -- modprobe iptable_nat
minikube stop && minikube start
```
适配Istio与Minikube版本
部分版本组合存在兼容性问题，可尝试升级Minikube到最新稳定版，或降级Istio到与当前Minikube兼容的版本（比如Istio 1.18.x搭配Minikube 1.30+）。