K8s IPVS模式下部署Consul出现iptables nat表报错如何解决

consul-connect-inject-init 容器初始化Sidecar流量重定向规则时，需要调用宿主机iptables创建nat表转发规则，当前环境存在两个核心问题：

• 集群节点未加载iptables nat表依赖的完整内核模块，且init容器默认未挂载宿主机/lib/modules目录，无法自动加载对应内核模块，直接触发nat表初始化失败报错。
• 手动仅加载ip_tables模块时，缺少iptable_nat、nf_nat等nat表核心依赖，即使Pod能启动，流量拦截规则也无法正常下发，服务功能完全不可用。

注意：kube-proxy使用IPVS模式不代表可以脱离iptables工作，IPVS仅负责四层负载均衡逻辑，Consul Sidecar的流量拦截、Kubernetes Service的SNAT转发都依赖iptables nat表实现。

• 所有集群节点（Master+Worker）加载完整依赖内核模块，并配置开机自动加载
  逐节点执行以下命令加载即时生效的模块：

modprobe br_netfilter
modprobe ip_tables
modprobe iptable_nat
modprobe iptable_filter
modprobe nf_nat
modprobe nf_conntrack
modprobe ip_vs
modprobe ip_vs_rr
modprobe ip_vs_wrr
modprobe ip_vs_sh

配置开机自动加载模块，避免节点重启后失效：

cat > /etc/modules-load.d/consul-k8s.conf <<EOF
br_netfilter
ip_tables
iptable_nat
iptable_filter
nf_nat
nf_conntrack
ip_vs
ip_vs_rr
ip_vs_wrr
ip_vs_sh
EOF

执行lsmod | grep -E 'iptable_nat|nf_nat'验证模块加载，输出对应模块信息即为加载成功。

• 调整Consul Helm部署配置，给init容器开放足够权限、挂载宿主机模块目录
  修改Consul部署的values.yaml对应配置段：

connectInject:
  enabled: true
  initContainer:
    securityContext:
      privileged: true
      capabilities:
        add: ["NET_ADMIN", "NET_RAW"]
    volumeMounts:
      - name: host-modules
        mountPath: /lib/modules
        readOnly: true
  volumes:
    - name: host-modules
      hostPath:
        path: /lib/modules

如果使用命令行直接升级，补充对应--set参数即可，原有其他部署配置保持不变：

helm upgrade consul hashicorp/consul --version 0.44.0 \
  --set connectInject.initContainer.securityContext.privileged=true \
  --set connectInject.initContainer.securityContext.capabilities[0]=NET_ADMIN \
  --set connectInject.initContainer.securityContext.capabilities[1]=NET_RAW

• 统一节点iptables后端为legacy版本，避免nftables兼容问题
  CentOS 8默认可能切换到nftables作为iptables后端，和Consul 1.12.0版本使用的iptables规则存在兼容问题，逐节点执行以下命令切换到legacy后端：

update-alternatives --set iptables /usr/sbin/iptables-legacy
update-alternatives --set ip6tables /usr/sbin/ip6tables-legacy

• 滚动重启业务Pod触发Sidecar重新注入
  执行以下命令重启对应命名空间下的业务工作负载：

kubectl rollout restart deployment -n wrs

等Pod重建完成后，查看consul-connect-inject-init容器日志，无流量重定向相关报错即为初始化成功，再验证服务访问连通性即可。

不要通过关闭connectInject的默认流量拦截功能绕过该问题，该操作会直接导致Consul Service Mesh的mTLS认证、流量治理策略功能全部失效。

内容的提问来源于stack exchange，提问作者GuanghuaHUang