Mac环境Docker容器内kubectl报"Unable to connect to the server: EOF"错误，Linux运行正常

• 验证MTU配置是否匹配：Docker Desktop for Mac 默认网桥MTU为1500，若Mac当前使用VPN、特殊封装WiFi等网络环境，容器出口实际可承载的MTU会更小，SSL握手阶段的大包被直接丢弃就会触发EOF报错。可在故障容器内执行ip link show eth0查看容器网卡当前MTU，再在Mac原生终端执行ping -D -s 1472 8.8.8.8测试当前网络可承载的最大包长，若1472字节的包不通，可逐步降低数值测试找到适配的MTU。
• 排查SSL链路具体故障点：在故障容器内执行curl -v https://<你的GKE集群访问端点>，观察SSL握手阶段的返回：如果client hello发出后直接返回EOF，基本可锁定为Docker网络层丢包或流量拦截问题；如果是证书校验失败，则需检查容器内的CA证书配置。
• 核对Docker代理配置：检查Docker Desktop的代理设置，若开启了系统代理/自动代理，部分代理工具对alpine镜像的TLS 1.3握手支持存在兼容问题，可临时关闭代理后重试验证。
• 对比kubectl版本兼容性：确认容器内kubectl版本与Mac原生运行的kubectl版本差异，跨大版本的kubectl与较新的GKE集群TLS配置不兼容也可能触发该类报错。

• 调整Docker Desktop MTU配置
  打开Docker Desktop设置页的「Docker Engine」 tab，在配置JSON中添加mtu参数，示例如下：

  {
    "debug": false,
    "experimental": false,
    "mtu": 1400
  }
  

  保存配置后重启Docker，重新构建镜像运行测试即可。
• 替换基础镜像规避alpine兼容问题
  你当前使用的是alpine版谷歌云SDK镜像，alpine使用的musl libc在旧版Docker Desktop for Mac中存在零星网络系统调用兼容问题，可将基础镜像替换为非alpine版：gcr.io/google.com/cloudsdktool/cloud-sdk:322.0.0，重新构建镜像后测试。
• 调整Docker Desktop版本
  3.3.1版本的Docker Desktop for Mac存在多个已知网络栈bug，可升级到最新稳定版，或降级到3.2.x之前的稳定版验证问题是否修复。
• 挂载本地kubectl绕过容器网络兼容问题
  若不想调整Docker配置，可在启动容器时将Mac本地的kubectl二进制和kubeconfig挂载到容器内，直接使用本地kubectl执行操作，启动命令示例：

  docker run -v ~/.kube:/root/.kube -v /usr/local/bin/kubectl:/usr/local/bin/kubectl <你的镜像名> kubectl get nodes
  

内容的提问来源于stack exchange，提问作者Jonas Andreasson