Kubernetes节点升级时必须主动禁用swap而非依赖临时关闭，需验证swapon/free输出、/etc/fstab注释、systemd-swap禁用，并屏蔽zram/zswap内核模块，最后通过脚本校验与监控告警确保生效。
在Kubernetes物理节点升级过程中，维持swap关闭状态不是“顺便保留”，而是必须主动加固的安全策略。系统重启或内核更新后，若未固化配置，swap可能被自动重新启用，导致kubelet启动失败或集群调度异常。
升级前确认swap已彻底禁用
不能只依赖swapoff -a的临时效果。需同时验证三处：
- 运行
swapon --show和free -h，确认Swap行全为0 - 检查
/etc/fstab中所有swap相关行（如/swapfile、/dev/zram0、/dev/sda2）均已注释（开头加#） - 排查systemd-swap等第三方服务：
systemctl is-enabled systemd-swap，若为enabled，需执行sudo systemctl disable systemd-swap并stop
升级中防止swap被内核模块自动挂载
某些Linux发行版（如Ubuntu 22.04+、RHEL 9）在内核更新后会默认启用zram或zswap模块，它们不依赖/etc/fstab，却能动态创建swap。需显式屏蔽：
- 创建
/etc/modprobe.d/disable-swap.conf，写入：blacklist zramblacklist zswapblacklist swap - 执行
sudo update-initramfs -u（Debian/Ubuntu）或sudo dracut -f（RHEL/CentOS）刷新initramfs
升级后自动化校验与告警
单靠人工检查不可靠。建议在节点升级脚本末尾嵌入校验逻辑：
- 添加退出检查：
if [ $(swapon --show | wc -l) -gt 0 ]; then echo "ERROR: Swap detected after upgrade" >&2; exit 1; fi - 将该检查集成进CI/CD流水线或Ansible playbook的post-task中
- 在监控系统（如Prometheus+Node Exporter）中设置告警规则：
node_memory_SwapTotal_bytes > 0，触发时立即通知SRE
特殊场景：云厂商镜像或托管节点的处理
AKS、EKS、GKE等托管服务通常默认禁用swap，但自建节点若使用厂商预装镜像（如Azure Ubuntu Pro），需额外注意：
- 检查是否存在
/etc/cloud/cloud.cfg.d/99-disable-swap.cfg类配置，确认其内容未被覆盖 - 若使用Packer构建自定义AMI，确保在provisioner中执行
swapoff -a并修改fstab，而非仅依赖基础镜像设置 - 对ARM64节点（如Graviton），特别验证zram是否被内核强制启用——部分ARM内核版本默认开启，需通过
kernel command line追加zswap.enabled=0
