如何修改Kubernetes Pod的tcp_keepalive默认配置参数

目前官方和业内主流的实现方案根据集群版本、使用场景不同分为以下几类，优先选择排序从高到低：

1. Pod 安全上下文配置（官方首推方案，适用于 K8s 1.23+ 版本集群） #

tcp_keepalive_time、tcp_keepalive_intvl、tcp_keepalive_probes三个参数属于K8s官方定义的安全sysctl参数，默认不会被集群禁用，仅作用于Pod独立的网络命名空间，不会影响宿主机和其他Pod，无需给容器分配额外特权权限，是当前最推荐的实现方式。
配置示例：

apiVersion: v1
kind: Pod
metadata:
  name: tcp-keepalive-demo
spec:
  securityContext:
    sysctls:
    - name: net.ipv4.tcp_keepalive_time
      value: "300" # 单位秒，配置空闲300秒后开始发送探测包
    - name: net.ipv4.tcp_keepalive_intvl
      value: "10" # 单位秒，探测包发送间隔10秒
    - name: net.ipv4.tcp_keepalive_probes
      value: "3" # 连续3次探测失败判定连接断开
  containers:
  - name: business-container
    image: nginx:alpine

2. 低版本集群适配方案 #

如果你的集群版本低于1.23，不支持securityContext的sysctls字段，可以根据需求选择以下方案：

• 节点全局配置：如果需要集群所有Pod默认使用统一的tcp_keepalive规则，直接修改所有节点的/etc/sysctl.conf文件添加对应参数，执行sysctl -p生效即可，Pod默认会继承节点的网络参数配置。

注意：该方案会同时影响宿主机和节点上所有Pod的网络栈，改动前需要做全业务兼容性评估。

• 特权Init容器配置：如果不希望修改节点全局配置，可以给Pod添加特权Init容器，在业务容器启动前修改当前Pod网络命名空间的参数：

apiVersion: v1
kind: Pod
metadata:
  name: tcp-keepalive-init-demo
spec:
  initContainers:
  - name: adjust-sysctl
    image: busybox:1.36
    command: ["sysctl", "-w", "net.ipv4.tcp_keepalive_time=300", "net.ipv4.tcp_keepalive_intvl=10", "net.ipv4.tcp_keepalive_probes=3"]
    securityContext:
      privileged: true
  containers:
  - name: business-container
    image: nginx:alpine

注意：该方案需要给Init容器开启特权权限，对安全管控严格的集群需要提前评估权限风险。

3. 应用层配置（兼容性最高方案） #

如果集群管理员禁止修改Pod级sysctl参数，也不允许使用特权容器，可以直接在业务代码中建立TCP连接时，通过socket选项单独配置该连接的keepalive参数，不需要调整任何集群侧配置，不受集群版本、安全策略限制。

内容的提问来源于stack exchange，提问作者Conundrum