Cilium准入策略故障注入与修复演练 - 第1节
1.1 Cilium 与 Kubernetes 网络策略概述
在云原生生态中，Kubernetes 原生的 NetworkPolicy 资源提供了基于标签的 L3/L4 网络隔离能力。然而，随着微服务架构的复杂化，传统网络策略在可观测性、协议感知和动态安全方面逐渐暴露出局限性。Cilium 作为基于 eBPF 技术的云原生网络、安全与可观测性解决方案，通过扩展 Kubernetes 网络策略模型，实现了 L3-L7 全栈网络策略控制。
1.1.1 Kubernetes 原生网络策略的局限
| 维度 | Kubernetes NetworkPolicy | Cilium 增强 |
|---|---|---|
| 协议支持 | 仅 TCP/UDP/SCTP | HTTP/gRPC/Kafka/DNS 等 L7 协议 |
| 策略粒度 | Pod IP + 端口 | FQDN、Service、Identity、HTTP 方法/路径 |
| 可观测性 | 无内置监控 | Hubble 实时流量与策略审计 |
| 集群范围 | 仅 Namespace 内 | 跨集群、ClusterMesh 支持 |
1.1.2 Cilium 网络策略核心模型
Cilium 使用 CiliumNetworkPolicy (CNP) 和 CiliumClusterwideNetworkPolicy (CCNP) 两种 CRD 资源来定义网络策略。其核心设计围绕 Endpoint Selector（基于标签选择 Pod）、Identity（基于安全身份而非 IP）以及 L7 Rules（协议感知规则）展开。
1.2 控制平面驱动准入策略的概念
传统网络策略的生效依赖策略创建后的被动监听与执行。而控制平面驱动准入策略（Control-Plane Driven Admission Policy）则是在资源创建、更新或删除的准入阶段，由控制平面组件主动介入，对策略变更进行校验、审计或阻断。Cilium 通过 CiliumNetworkPolicy ValidatingAdmissionPolicy 和 MutatingAdmissionWebhook 实现了这一能力。
1.2.1 准入策略的核心价值
- 提前校验：在策略持久化到 etcd 之前，校验其语法、语义及安全合规性。
- 自动修复：对不符合基线策略的变更进行自动修正（Mutating）。
- 审计与阻断：记录所有策略变更事件，并对高危操作进行实时阻断。
- 一致性保障：确保多集群、多租户场景下策略配置的一致性。
1.2.2 Cilium 准入策略架构
| 组件 | 角色 | 工作阶段 |
|---|---|---|
| ValidatingAdmissionPolicy | 基于 CEL 表达式的策略校验 | Admission Review（验证） |
| MutatingAdmissionWebhook | 自动注入或修正策略字段 | Admission Review（变更） |
| Cilium Agent | 执行最终 eBPF 策略加载 | Post-Admission |
| Hubble Audit | 记录准入决策与策略变更日志 | 全流程审计 |
1.3 故障模拟与修复的重要性
在生产环境中，Cilium 网络策略的配置错误可能导致服务中断、安全漏洞或性能下降。传统的“先配置后观察”模式无法有效应对复杂策略变更带来的风险。故障模拟与修复课程旨在通过可控的故障注入与自动化修复演练，帮助运维人员建立快速诊断与恢复能力。
1.3.1 常见故障类型
- 策略语法错误：YAML 缩进错误、字段拼写错误、Selector 表达式无效。
- 语义冲突：多条策略规则相互覆盖或矛盾，导致预期外的 Allow/Deny。
- 准入策略误阻断：ValidatingAdmissionPolicy 规则过于严格，误杀合法变更。
- Webhook 故障：Admission Webhook 服务不可用，导致整个集群策略变更阻塞。
- eBPF 加载失败：内核版本不兼容、BPF 程序编译错误、资源耗尽。
1.3.2 故障模拟方法论
| 阶段 | 操作 | 预期产出 |
|---|---|---|
| 故障注入 | 通过脚本或工具向集群提交异常策略 | 触发 Admission 拒绝或策略失效 |
| 故障检测 | 使用 Hubble、Cilium CLI、kubectl 观察异常 | 定位故障根因与影响范围 |
| 修复验证 | 调整策略或准入规则，重新提交 | 策略恢复正常，流量通过 |
| 复盘归档 | 记录故障场景与修复步骤 | 形成可复用的故障库 |
1.3.3 课程适用人群
- Kubernetes 集群管理员：需要掌握 Cilium 策略运维与故障排查。
- 安全工程师：关注云原生环境下的网络准入控制与合规审计。
- DevOps/SRE：负责自动化策略部署与故障自愈流程设计。
- 云原生架构师：评估 Cilium 在企业级多集群场景中的落地策略。
通过本课程的学习，学员将能够独立搭建 Cilium 策略故障模拟环境，熟练使用 Hubble、Cilium CLI 等工具进行故障定位，并掌握常见准入策略故障的修复方法，最终提升生产环境下的网络策略运维韧性。