Podman v6.0.0 发布，网络栈全面转向 Netavark 与 nftables

上周看到 Podman 6.0.0 正式发了，趁周末升了个级，记录一下踩到的坑和变化。

最大的变化：CNI 彻底拜拜，Netavark 上位

从 v4.0 开始 Podman 就引入了 Netavark 作为实验性的网络栈，到了 v6.0 终于把老的 CNI 支持完全砍掉了。现在默认网络后端就是 Netavark + nftables，不再依赖 iptables 或 dnsmasq。

如果你的系统还在用 CNI 插件（比如 bridge、macvlan 之类的），升级后容器网络会直接挂掉。需要手动切到 Netavark。

升级前检查

先看看当前用的是哪个网络栈：

podman info --format '{{.Host.NetworkBackend}}'

如果是 cni，升级前最好先切到 netavark 试试：

# 修改配置文件 /etc/containers/containers.conf
[network]
network_backend = "netavark"

或者设环境变量：

export CONTAINERS_NETWORK_BACKEND=netavark

升级后验证

升级完重启 Podman 服务（或者重启机器），跑个容器看看网络是否正常：

podman run --rm -d --name test-nginx -p 8080:80 nginx:alpine
curl localhost:8080

如果不通，大概率是 nftables 规则没自动生成。可以手动检查：

nft list ruleset | grep podman

正常应该能看到类似 chain podman_netavark 的规则链。

可能踩的坑

1. --network=host 不再自动加 iptables 规则

以前用 CNI 时，--network=host 会自动创建一些 iptables 转发规则。Netavark 下这部分没了，如果你依赖这个特性，可能需要自己写 nftables 规则。

2. 桥接网络需要手动创建 Netavark 网络

旧版 CNI 的 podman network create 创建的桥接网络，升级后可能不兼容。建议删掉重建：

podman network rm old-bridge-network
podman network create new-bridge-network

3. 如果系统没有 nftables

有些老系统（比如 CentOS 7）默认没装 nftables，需要先安装：

# Debian/Ubuntu
apt install nftables

# RHEL/CentOS 8+
dnf install nftables

其他值得关注的变化

兼容性

• 彻底移除 CNI 支持（包括 cni-config-dir 配置项）
• 移除 --cni-config-dir 命令行参数
• 旧的 podman network ls 输出格式有变化（以前显示 CNI 插件名，现在显示 Netavark 驱动类型）

性能

官方说 Netavark 比 CNI 快 30% 左右，特别是大量容器创建/删除的场景。我试了试同时启动 50 个容器，确实感觉快了点（没精确测）。

日志

podman events 现在会输出更多网络相关事件，比如 network_connect、network_disconnect，调试网络问题方便多了。

升级建议

• 生产环境：先在一台测试机器上升级，跑一遍所有容器，确认网络正常再批量升
• 个人开发机：直接升，最多花半小时切一下配置
• 老项目：如果用了自定义 CNI 插件（比如 flannel、calico），需要先看看 Netavark 是否支持同等功能（目前看大部分常见场景都能覆盖）

总结

这次升级核心就一件事：CNI -> Netavark + nftables。如果你之前已经切到了 Netavark，那就只是去掉了 CNI 兼容层，基本无感。如果还在用 CNI，这次升级会有点痛，但长痛不如短痛，早切早省心。

最后贴一下我的升级命令（Arch Linux）：

sudo pacman -Syu podman
# 重启服务
systemctl --user restart podman.socket

完事。有问题欢迎留言交流。