3. 容器网络基础：CNI插件模型、Kubernetes网络策略（NetworkPolicy）原理、Pod网络命名空间

在深入OPA策略与网络可视化之前，必须理解Kubernetes网络的三大基石：Pod网络命名空间、CNI插件模型以及NetworkPolicy。这三者构成了容器网络的数据平面与控制平面基础，也是后续准入策略与流量路径分析的直接作用对象。

3.1 Pod网络命名空间：容器网络的原子单元

Kubernetes中，每个Pod拥有一个独立的网络命名空间（Network Namespace）。Pod内的所有容器共享该命名空间，这意味着它们共享同一个IP地址、端口范围、路由表以及网络设备（如eth0）。

Pod网络命名空间的创建与销毁由kubelet与CNI插件协同完成。当Pod被调度到节点时，kubelet调用CNI插件为该Pod创建网络命名空间并分配网络资源。

3.2 CNI插件模型：网络配置的标准化接口

容器网络接口（CNI，Container Network Interface）是Kubernetes与网络插件之间的标准协议。它定义了如何为容器配置网络接口、分配IP地址以及管理网络连通性。

CNI插件的工作流程遵循“ADD/CHECK/DEL”三个核心操作，每次Pod生命周期变化时触发。

1. ADD：kubelet调用CNI插件，传入Pod的网络命名空间路径、容器ID以及网络配置JSON。插件负责创建veth pair、连接bridge、分配IP并设置路由。
2. CHECK：周期性或事件驱动地验证Pod网络配置是否仍然有效。
3. DEL：Pod删除时，CNI插件清理网络资源，释放IP地址。

以下SVG图展示了CNI插件在Pod创建时的核心工作流程，包括kubelet、CNI插件、网络命名空间与底层网络设备之间的交互关系。

3.3 Kubernetes NetworkPolicy：容器网络的访问控制

NetworkPolicy是Kubernetes原生的网络访问控制资源，用于定义Pod之间以及Pod与外部端点之间的流量规则。它工作在OSI模型的第3/4层（IP+端口），通过标签选择器（Label Selector）实现灵活的流量隔离。

NetworkPolicy的核心概念包括：

• Pod Selector：通过标签选择目标Pod，策略将应用于这些Pod。
• Policy Types：Ingress（入站流量）和Egress（出站流量）。
• From/To：定义允许的源或目标，支持podSelector、namespaceSelector、ipBlock。
• Ports：指定允许的端口与协议（TCP/UDP/SCTP）。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-ingress-to-web
  namespace: frontend
spec:
  podSelector:
    matchLabels:
      app: web
  policyTypes:
  - Ingress
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          name: ingress-gateway
    ports:
    - protocol: TCP
      port: 80