课程导论：Cilium Hubble 简介、镜像拉取网络流量故障排查的重要性、课程目标与受众

1.1 为什么需要观测镜像拉取流量？

在 Kubernetes 集群中，镜像拉取是最基础、最高频的操作之一。当 Pod 调度到节点后，kubelet 会向容器运行时（如 containerd）发起拉取请求，容器运行时再通过 HTTP/HTTPS 协议从镜像仓库（Registry）下载镜像层。这个链路涉及 DNS 解析、TCP 连接、TLS 握手、HTTP 请求/响应等多个网络环节，任何一个环节出问题都会导致 Pod 启动失败。

传统排查手段（如 tcpdump、iptables 日志）在云原生环境中面临三大痛点：

• 数据碎片化：镜像拉取流量分散在多个节点，难以关联端到端路径。
• 缺乏上下文：无法将网络包与 Kubernetes 资源（Pod、Service、Endpoint）自动关联。
• 观测盲区：eBPF 内核级数据无法被传统工具高效采集。

Cilium Hubble 基于 eBPF 技术，能够无侵入地捕获节点上所有网络流量，并自动关联 Kubernetes 元数据，为镜像拉取故障排查提供端到端的可观测性。

1.2 Cilium Hubble 核心能力速览

Hubble 是 Cilium 的可观测性子系统，它利用 eBPF 程序在内核态采集网络事件，并通过用户态组件提供实时流、指标和日志。下表对比了 Hubble 与传统网络观测工具的关键差异：

1.3 镜像拉取网络链路全景图

为了直观理解 Hubble 的观测范围，下图展示了从 Pod 调度到镜像层下载完成的完整网络路径，以及 Hubble 在每个环节的观测能力：

1.4 课程目标与受众

本课程旨在帮助学员掌握使用 Cilium Hubble 对镜像拉取网络流量进行端到端故障排查的实战技能。完成本课程后，学员将能够：

• 理解镜像拉取网络路径：掌握从 kubelet 到镜像仓库的完整网络链路及关键故障点。
• 部署 Hubble 观测栈：在 Cilium 环境中启用 Hubble，配置 Relay 和 UI。
• 使用 Hubble CLI 过滤流量：基于 Pod 标签、命名空间、协议等条件精准捕获镜像拉取流量。
• 分析 DNS/TCP/TLS/HTTP 故障：通过 Hubble Flow 数据定位解析失败、连接超时、证书错误、下载中断等根因。
• 构建故障排查 SOP：形成可复用的镜像拉取网络问题排查流程。

1.5 课程内容结构

本课程共分为 8 个模块，从基础概念到高级排查技巧，层层递进：