2. 租户隔离蓝图基础：回顾 Kubernetes 网络策略、命名空间隔离与 CNI 插件

在深入排查升级后租户网络不通的问题之前，必须重新夯实租户隔离的三大基础支柱：命名空间（Namespace）作为逻辑边界、网络策略（NetworkPolicy）作为流量控制规则、CNI 插件作为底层连通性实现。升级过程中任何一层的变化都可能导致隔离失效。

2.1 命名空间隔离：逻辑边界与资源配额

命名空间是 Kubernetes 实现多租户隔离的第一道防线。它提供资源对象的逻辑分组，配合 ResourceQuota 和 LimitRange 实现资源层面的硬隔离。

2.2 Kubernetes 网络策略（NetworkPolicy）：细粒度流量控制

NetworkPolicy 是 Kubernetes 原生提供的防火墙规则，基于 Pod 标签选择器和 命名空间选择器定义哪些流量可以进出目标 Pod。升级后最常见的故障场景就是 NetworkPolicy 规则因 API 版本变更或 CNI 插件行为差异而失效。

2.2.1 核心规则模型

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: tenant-isolation
  namespace: tenant-a
spec:
  podSelector:
    matchLabels:
      app: frontend
  policyTypes:
  - Ingress
  - Egress
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          tenant: tenant-a
    - podSelector:
        matchLabels:
          app: backend
    ports:
    - protocol: TCP
      port: 8080
  egress:
  - to:
    - ipBlock:
        cidr: 10.0.0.0/8
        except:
        - 10.96.0.0/12
    ports:
    - protocol: TCP
      port: 443

2.2.2 默认拒绝与白名单模式

生产环境推荐使用 默认拒绝所有入站/出站流量，然后按需开放白名单的策略模式。升级后若发现租户间意外互通，通常是因为默认拒绝策略未正确迁移。

# 默认拒绝所有入站流量
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-ingress
  namespace: tenant-a
spec:
  podSelector: {}
  policyTypes:
  - Ingress
---
# 默认拒绝所有出站流量
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-egress
  namespace: tenant-a
spec:
  podSelector: {}
  policyTypes:
  - Egress

2.3 CNI 插件在租户隔离中的核心作用

CNI（Container Network Interface）插件负责为 Pod 分配 IP 地址、配置网络接口，并实现 NetworkPolicy 的底层数据平面。不同 CNI 插件的隔离实现机制差异巨大，升级后故障排查必须理解其工作原理。

2.4 租户隔离蓝图：三大组件协同关系

下图展示了命名空间、NetworkPolicy 和 CNI 插件在租户隔离蓝图中的协同工作方式。升级后任何一层出现断裂都会导致租户网络不通。

2.5 升级后租户隔离失效的典型根因

基于上述三大组件，升级后租户网络不通的根因可归纳为以下三类，每类对应不同的排查路径：

1. 命名空间层失效：ResourceQuota 字段在新 API 版本中被弃用或重命名，导致 Pod 创建被拒绝；RBAC 规则因 API 组版本迁移导致 ServiceAccount 无法访问资源。
2. NetworkPolicy 层失效：策略对象语法在新版本中不再兼容（如 podSelector: {} 的语义变化）；CNI 插件升级后未重新加载策略规则；默认拒绝策略在升级过程中被删除。
3. CNI 数据平面失效：CNI 二进制文件版本与 kubelet 版本不匹配；内核模块（如 eBPF、iptables 内核模块）未正确加载；节点重启后 CNI 配置未持久化。

2.6 租户隔离蓝图升级前后对比

下表总结了升级前后各隔离组件可能发生的变化，帮助快速定位故障范围：