必须启用 net.ipv4.ip_forward=1，否则跨网段容器通信将全面断流；需临时验证、永久配置并检查 iptables FORWARD 策略及 Docker 参数。
要防止容器间跨网段通信全面断流，核心是确保 Worker 节点的内核参数 net.ipv4.ip_forward=1 正确启用——这不是可选项，而是 Docker、Kubernetes（如使用 bridge 或 calico host-local 等 CNI）实现跨子网容器互通的硬性前提。
为什么 net.ipv4.ip_forward=0 会导致断流
当两个容器分别接入不同自定义网桥（例如 172.20.0.0/16 和 192.168.50.0/24），或 Pod 分属不同节点子网时，数据包需经宿主机路由转发。若 ip_forward=0，Linux 内核在完成路由查表后会直接丢弃非本机目的地址的数据包，不进入转发流程。此时：
- 容器 ping 不通同主机其他网段容器
- Pod 无法访问集群外服务（如数据库、API）
- Service ClusterIP 或 NodePort 在跨节点场景下异常
该问题常在节点重启、系统更新或安全加固后突然复现，因 /etc/sysctl.conf 未持久化或 sysctl -p 未执行。
必须完成的三项配置动作
-
确认当前值
sysctl net.ipv4.ip_forward # 或 cat /proc/sys/net/ipv4/ip_forward
输出为
0即处于关闭状态，需干预。 -
临时启用（验证用）
sudo sysctl -w net.ipv4.ip_forward=1
立即生效，但重启失效。适合快速验证是否为根因。
-
永久生效（生产必需）
编辑/etc/sysctl.conf，确保含以下行（无注释、无空格错误）：net.ipv4.ip_forward = 1
然后加载：
sudo sysctl -p
✅ 验证：
sysctl net.ipv4.ip_forward应返回1，且重启后仍保持。
配套关键项不能遗漏
仅开 ip_forward 不足以保证通信畅通，还需同步检查：
-
iptables FORWARD 链策略：若设为
DROP，即使转发开启，包也会被拦截sudo iptables -L FORWARD -n | grep "policy" # 应为 ACCEPT；若否，补充规则（按实际策略调整）： sudo iptables -P FORWARD ACCEPT
-
Docker daemon 启动参数：若使用
--ip-forward=false显式关闭，会覆盖内核设置，应移除该参数并重启 docker：sudo systemctl restart docker
-
云环境注意：部分云厂商（如阿里云 ACK Terway 模式）默认禁用
ip_forward，需在节点初始化脚本中显式设置，或通过节点池自定义镜像固化。
自动化校验建议（运维推荐）
在节点部署或巡检脚本中加入断言：
if [[ $(sysctl -n net.ipv4.ip_forward) -ne 1 ]]; then echo "ERROR: ip_forward disabled on $(hostname)" >&2 exit 1 fi
配合 Prometheus + Node Exporter 可监控该指标，避免人工疏漏。
不复杂但容易忽略
