1. 课程导论：Hubble在容器网络运维中的定位、准入策略评审的痛点、流量可视化与抓包的价值
1.1 Hubble在容器网络运维中的定位
在Kubernetes集群中，网络运维长期面临“黑盒”困境：Pod IP动态变化、Service负载均衡路径不透明、网络策略生效状态难以验证。Cilium作为基于eBPF的数据平面，提供了高性能网络与安全能力；而Hubble则是Cilium原生的可观测性层，专门解决容器网络的可见性问题。
Hubble在容器网络运维中的核心定位可以概括为三个角色：
| 角色 | 说明 |
|---|---|
| 网络策略审计员 | 实时展示哪些网络策略被命中、哪些流量被允许或拒绝，帮助运维人员验证策略是否按预期生效。 |
| 流量分析器 | 提供L3/L4/L7层流量元数据，包括源/目的IP、端口、协议、HTTP方法、响应码等，无需侵入式代理。 |
| 故障定位器 | 通过Service依赖图、DNS解析记录、TCP连接状态，快速定位网络连通性故障和性能瓶颈。 |
关键认知： Hubble不是抓包工具，而是基于eBPF的流式可观测性平台。它不依赖Sidecar或代理，对应用零侵入，且能覆盖集群内所有节点和Pod的网络事件。
1.2 准入策略评审的痛点
在Kubernetes环境中，准入策略（Admission Policy）通常指NetworkPolicy、CiliumNetworkPolicy以及自定义安全策略。运维团队在评审这些策略时，普遍面临以下痛点：
- 策略生效不可见：策略YAML已apply，但无法确认是否真正拦截了非法流量，或是否误阻了合法业务。
- 缺乏流量上下文：仅凭策略规则难以判断“谁在访问谁、为什么被拒绝”，缺少源端身份、请求路径、响应状态等上下文信息。
- 变更影响难评估：修改一条策略后，无法快速获知受影响的工作负载和流量路径，容易引发线上事故。
- 审计合规无记录：安全合规要求保留网络访问记录，但传统抓包方式在容器环境中难以持久化、难以关联Pod生命周期。
| 痛点 | 传统方案局限 | Hubble解决方式 |
|---|---|---|
| 策略生效不可见 | 依赖人工curl测试，覆盖不全 | 实时流事件 + 策略命中标记 |
| 缺乏流量上下文 | tcpdump抓包后手动关联Pod | 自动关联Pod标签、Service、DNS |
| 变更影响难评估 | 无变更前后流量对比能力 | Hubble Flow日志 + 时间窗口查询 |
| 审计合规无记录 | 抓包文件管理混乱，易丢失 | Hubble Metrics + 持久化存储 |
常见误区： 很多团队认为“只要NetworkPolicy写对了，流量就安全了”。实际上，策略的空口验证（仅靠YAML语法检查）无法发现规则冲突、CIDR覆盖错误、命名空间隔离遗漏等问题。Hubble提供了策略生效的运行时证据，是准入评审中不可或缺的一环。
1.3 流量可视化与抓包的价值
流量可视化与抓包记录在容器网络运维中具有双重价值：实时洞察与事后追溯。Hubble通过eBPF在内核层面捕获每个网络包的元数据，并以结构化流日志的形式输出，同时支持按需触发pcap抓包。
具体而言，流量可视化与抓包记录在准入策略评审中提供以下核心能力：
- 策略生效验证：通过Hubble UI或CLI查看特定Pod的流日志，确认策略规则是否匹配了预期流量，以及是否有非预期流量被放行。
- 拒绝流量分析：当策略拒绝流量时，Hubble会记录拒绝事件并附带拒绝原因（如“被NetworkPolicy default-deny-ingress拒绝”），帮助运维人员快速定位问题。
- 抓包取证：在安全事件或合规审计场景中，Hubble支持按时间范围、Pod标签、协议等条件触发pcap抓包，并自动保存为标准pcap文件，可用于Wireshark等工具深度分析。
- 变更回放：结合Hubble的流日志存储，可以回放策略变更前后的流量模式，评估变更对业务的影响范围。
实践要点： 在准入策略评审流程中，建议将Hubble流日志作为必查项。评审人员应至少检查：① 策略是否产生了预期的允许/拒绝事件；② 是否存在未被策略覆盖的“灰色流量”；③ 抓包记录是否与流日志中的拒绝事件时间戳一致。
1.4 课程核心知识结构
本课程围绕“Hubble支撑容器网络运维准入策略评审”这一主线，构建以下知识结构：
| 模块 | 核心内容 | 实践产出 |
|---|---|---|
| Hubble基础与部署 | 架构原理、组件部署、UI/CLI使用 | 搭建可用的Hubble观测环境 |
| 流量可视化实战 | 流日志查询、服务依赖图、策略命中分析 | 输出策略评审可视化报告 |
| 抓包记录与取证 | 按需抓包、pcap管理、与Wireshark联动 | 完成一次完整的抓包取证流程 |
| 准入策略评审案例 | 典型场景：零信任策略、多租户隔离、外部访问控制 | 形成策略评审Checklist与最佳实践 |