containerd 1.5开始引入config_path方式，也就是子配置文件的方式
对比项
老方式（config.toml 内联）
新方式（config_path + certs.d）
配置组织
所有仓库堆在一个 config.toml
每仓库一个目录，拆成独立 hosts.toml
生效方式
改完必须重启 containerd
读取时生效，不需重启
故障半径
改坏一个字节 → 整个 containerd 起不来
改坏只影响对应仓库，其余照常
配置粒度
tls/证书按仓库全局配
每个 host 块独立配证书、skip_verify
capabil...
在默认情况下，kubespray会使用默认路由的网卡作为集群节点的IP。如果没有特别留意的情况下，业务网卡192是默认路由，导致k8s集群搭建后使用业务网卡作为集群节点IP如果后续需要加入新的worker节点，且节点只有188网段网卡，就需要进行调整否则kubelet按kubelet.conf连192段的apiserver就会失败（kubelet 校验 apiserver 证书时，按 kubeconfig 里 server 的地址对 SAN）关于iptables相关知识回顾：https://akemi.zj.cn/2026/02/11/Linux-iptables/
1234567891...