CRI

滚动更新时出现 502/504 错误，旧 Pod 收到 SIGTERM 后立即关闭端口，但 iptables 规则还没更新完。排查过程串联 Pod 的完整生命周期：从 Pending 到 Running 的每一步、三种 Probe 的设计哲学、优雅终止的并行竞态、以及 CRI 容器运行时的调用链。