4. 节点池概念：Kubernetes节点池定义、网络观测节点池设计原则、标签与选择器策略

4.1 Kubernetes 节点池定义与角色

在 Kubernetes 集群中，节点池（Node Pool） 是一组具有相同配置、标签、资源规格或可用区属性的节点集合。节点池通常由云厂商的托管集群（如 AKS、EKS、GKE）或自建集群的节点分组策略定义。在 Cilium 与 eBPF 网络观测场景中，节点池是 观测边界 和 策略作用域 的基本单元。

4.2 网络观测节点池设计原则

设计面向 eBPF 网络观测的节点池时，应遵循以下四项核心原则：

1. 同质化原则： 同一节点池内的节点应保持内核版本、内核配置（CONFIG_DEBUG_INFO_BTF=y）和 cgroup v2 支持一致，避免 eBPF 程序加载失败。
2. 观测密度原则： 每个节点池应部署至少 2 个观测代理 Pod（如 Cilium Agent + Hubble Relay），确保观测数据的高可用与负载均衡。
3. 隔离边界原则： 生产流量节点池与观测管理节点池应使用不同的网络命名空间或安全策略，防止观测数据采集影响业务路径。
4. 标签锚定原则： 每个节点池必须绑定一组不可变的标签（如 node-pool-type、kernel-version、observability-tier），用于 Cilium 策略选择与 Hubble 流量过滤。

4.3 标签与选择器策略

标签与选择器是连接节点池与 Cilium 网络观测策略的桥梁。合理的标签体系可以大幅降低运维复杂度，并实现精细化的观测数据采集。

4.3.1 节点池标签规范

4.3.2 Cilium 选择器策略示例

以下 CiliumNetworkPolicy 使用节点池标签选择器，仅对 observability-tier: full 的节点池启用完整的 eBPF 网络观测数据采集：

apiVersion: cilium.io/v2
kind: CiliumNetworkPolicy
metadata:
  name: observability-full-tier
spec:
  endpointSelector:
    matchLabels:
      observability-tier: full
  egress:
    - toEntities:
        - kube-apiserver
    - toPorts:
        - ports:
            - port: "9965"
              protocol: TCP
  ingress:
    - fromEntities:
        - cluster
  enableHubbleMetrics:
    - "drop"
    - "tcp"
    - "flow"
    - "dns"
    - "http"

4.4 节点池网络观测架构图

下图展示了基于节点池标签与选择器的 eBPF 网络观测架构：

4.5 节点池巡检标签验证流程

在巡检剧本中，运维人员应通过以下步骤验证节点池标签与选择器的一致性：

1. 获取节点池列表： 使用 kubectl get nodes -l node-pool-type 列出所有节点池。
2. 检查标签完整性： 确认每个节点池都包含 observability-tier、kernel-version 和 cilium.io/observability-pool 标签。
3. 验证 Cilium 选择器匹配： 使用 kubectl exec -n kube-system cilium-xxxx -- cilium endpoint list -o json 检查端点标签是否与策略选择器匹配。
4. 模拟策略生效： 在测试节点池上应用 CiliumNetworkPolicy，观察 Hubble 流量是否按预期采集。
5. 记录偏差： 将标签缺失或错误的节点池记录到巡检报告，并触发自动修复流程。

# 列出所有节点池及其观测标签
kubectl get nodes -o custom-columns=\
NAME:.metadata.name,\
POOL:.metadata.labels.node-pool-type,\
TIER:.metadata.labels.observability-tier,\
KERNEL:.metadata.labels.kernel-version,\
CILIUM_OBS:.metadata.labels.cilium\.io/observability-pool

# 检查 Cilium 端点标签
kubectl exec -n kube-system ds/cilium -- cilium endpoint list

4.6 节点池设计原则总结表