3. Kubernetes 网络模型：Service、Ingress、NetworkPolicy 核心概念与流量路径

在蓝绿发布场景中，流量切换的可靠性直接取决于对 Kubernetes 网络模型的掌握深度。本章聚焦三大核心网络抽象——Service、Ingress 与 NetworkPolicy，并剖析从集群外到 Pod 的完整流量路径。理解这些概念是后续自动化排查网络故障的基础。

3.1 Service：稳定的访问入口与负载均衡

Pod 具有 ephemeral（临时）特性，IP 地址随生命周期变化。Service 通过标签选择器（Label Selector）绑定一组 Pod，提供稳定的虚拟 IP（ClusterIP）和 DNS 名称，实现请求的负载均衡与自动分发。

3.2 Ingress：集群入口网关与流量路由

Ingress 是 Kubernetes 的七层（HTTP/HTTPS）入口网关，负责将外部请求按域名、路径规则路由到集群内部的 Service。在蓝绿发布中，Ingress 常作为流量切分的“总开关”，通过修改后端 Service 引用实现平滑切换。

• Ingress Controller：实际处理流量的组件（如 Nginx、Traefik、ALB），Ingress 资源只是配置规则。
• 路由规则：基于 host（域名）和 path（路径）将请求分发到不同 Service。
• 蓝绿切换方式：修改 Ingress 规则中的 backend.service.name，从 app-blue 切换为 app-green。

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: app-ingress
spec:
  rules:
  - host: myapp.example.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: app-green   # 切换时改为 app-blue
            port:
              number: 80

3.3 NetworkPolicy：微隔离与流量控制

NetworkPolicy 是 Kubernetes 原生的网络访问控制策略，基于标签选择器定义 Pod 之间、Pod 与外部之间的流量规则。在蓝绿发布中，错误的 NetworkPolicy 可能导致新版本 Pod 无法被 Service 健康检查探测，或无法访问依赖的后端服务。

3.4 流量路径全景：从外部请求到 Pod

下图展示了蓝绿发布场景下，一次外部 HTTP 请求经过 Ingress → Service → Pod 的完整流量路径，以及 NetworkPolicy 在关键节点的作用位置。

3.5 流量路径关键步骤详解

1. DNS 解析：客户端请求域名（如 myapp.example.com），DNS 返回 Ingress Controller 的公网 IP 或 LoadBalancer IP。
2. Ingress 路由：Ingress Controller 根据请求的 Host 和 Path，匹配 Ingress 资源规则，将请求转发到对应的 Service ClusterIP。
3. Service 负载均衡：kube-proxy 通过 iptables 或 IPVS 规则，将请求 DNAT（目标网络地址转换）到后端 Pod 的 IP 和端口。
4. NetworkPolicy 过滤：在 Pod 的网络命名空间入口处，内核 netfilter 检查入站流量是否匹配 NetworkPolicy 规则，不匹配则丢弃。
5. 健康检查拦截：kubelet 定期执行 readinessProbe，若探测路径被 NetworkPolicy 拒绝，Pod 标记为 NotReady，Service 将其从 Endpoints 中移除。

# 检查 Service 后端是否就绪
kubectl get endpoints <service-name>

# 查看 Ingress 规则详情
kubectl describe ingress <ingress-name>

# 查看 NetworkPolicy 规则
kubectl get networkpolicy -n <namespace>

# 模拟 Pod 网络连通性（需在 Pod 内执行）
kubectl exec -it <pod-name> -- curl -v http://<target-service>

# 查看 kube-proxy 转发规则（在节点上执行）
iptables -t nat -L KUBE-SERVICES -n

3.6 蓝绿发布网络故障典型场景