3. 升级前网络状态确认

在集群升级操作启动之前，必须对租户网络的当前健康状态进行基线化确认。升级前的网络状态快照既是判断升级是否成功的参照系，也是升级后出现故障时进行回退或隔离的决策依据。本节从连通性测试、策略验证和日志采集三个维度，讲解如何构建可复现、可审计的升级前网络健康检查流程。

3.1 连通性测试：端到端可达性基线

连通性测试的目标是验证租户 Pod、Service、NodePort 以及外部入口之间的 L3/L4 可达性。建议采用分层测试策略，逐层确认，避免将底层网络问题误判为升级后故障。

3.2 策略验证：网络策略与安全组规则快照

升级前必须确认租户隔离策略（NetworkPolicy、安全组、ACL）处于生效状态，且规则集合与预期一致。策略验证的核心是“规则覆盖率”与“规则冲突检测”。

3.2.1 NetworkPolicy 生效性检查

使用 kubectl describe networkpolicy 确认策略已正确应用到目标 Namespace，并通过临时诊断 Pod 验证策略是否实际阻断/放行了预期流量。

# 检查策略是否被正确解析
kubectl get networkpolicy -n tenant-a -o wide

# 使用 netshoot 诊断 Pod 验证隔离效果
kubectl run -n tenant-a tmp-netshoot --image=nicolaka/netshoot -- sleep 3600
kubectl exec -n tenant-a tmp-netshoot -- curl -m 3 http://<forbidden-svc>:<port>
# 预期：连接超时或被拒绝（符合策略预期）

3.2.2 安全组与 ACL 快照

对于使用云厂商 CNI（如 AWS VPC CNI、Azure CNI）或底层 SDN 的场景，需同步采集安全组/ACL 规则快照，并与 NetworkPolicy 进行双向校验。

3.3 日志采集：网络事件与指标基线

升级前的日志和指标基线是故障定位的“时间锚点”。建议在升级前至少采集以下三类数据：

• CNI 组件日志： 采集 kube-system 命名空间下所有 CNI 相关 Pod（如 calico-node、cilium-agent、aws-node）最近 30 分钟的日志，重点关注 error、warning、timeout 关键字。
• 网络指标基线： 使用 Prometheus 或 kubectl top 记录租户 Pod 的 网络入/出带宽、TCP 重传率、连接数、丢包率。建议持续采集 15 分钟以获取稳定基线。
• 关键事件日志： 采集 kube-apiserver 审计日志中与租户 Namespace 相关的 NetworkPolicy、Service、Endpoint 变更事件，时间窗口为升级前 1 小时。

3.4 检查清单与自动化建议

将上述检查项整理为可执行的 Shell 脚本或 Operator，确保每次升级前自动运行并输出通过/失败状态。

#!/bin/bash
# upgrade-preflight-network-check.sh
# 用法：./upgrade-preflight-network-check.sh <namespace>

NAMESPACE=$1
echo "[1/5] 连通性测试：同节点 Pod ↔ Pod"
# ... 执行 ping 测试并记录结果

echo "[2/5] 连通性测试：跨节点 Pod ↔ Pod"
# ... 执行 ping 测试并记录结果

echo "[3/5] 连通性测试：Service ClusterIP 可达"
# ... 执行 curl 测试并记录结果

echo "[4/5] 策略验证：NetworkPolicy 规则快照"
kubectl get networkpolicy -n $NAMESPACE -o yaml > pre-upgrade-netpol-$NAMESPACE.yaml

echo "[5/5] 日志采集：CNI 组件日志归档"
kubectl logs -n kube-system -l k8s-app=calico-node --tail=5000 > pre-upgrade-cni-logs.txt

echo "升级前网络健康检查完成。请检查 pre-upgrade-* 文件。"