1. 课程导论：容器网络运维面临的挑战，缓存命中巡检与 Flow Log 对账在跨环境迁移中的核心价值

1.1 容器网络运维的三大核心挑战

随着微服务架构与 Kubernetes 的普及，容器网络运维的复杂度呈指数级上升。传统基于 IP 与端口的网络监控手段在动态的容器环境中逐渐失效，运维团队普遍面临以下三大核心挑战：

1.2 缓存命中巡检：从“被动救火”到“主动预防”

在容器网络场景中，缓存命中率直接影响关键业务的响应延迟。常见的缓存层包括 DNS 缓存（CoreDNS/kube-dns）、Sidecar 连接池缓存（Envoy 连接池）、以及 CNI 策略规则缓存（iptables/BPF map）。

• DNS 缓存命中率下降：导致每次服务发现都触发上游查询，增加延迟并可能引发级联超时。
• 连接池缓存失效：Envoy 频繁重建 TCP 连接，CPU 飙升且 P99 延迟恶化。
• 策略规则缓存未命中：Calico Felix 或 Cilium Agent 频繁重新计算策略，导致网络策略生效延迟。

缓存命中巡检的核心价值在于：通过周期性或事件驱动的巡检，提前发现缓存退化趋势，在影响业务 SLO 之前完成干预。例如，通过巡检 CoreDNS 的 cache_hits 与 cache_misses 指标，可以提前发现 DNS 缓存抖动，并触发预加载或扩容操作。

1.3 Flow Log 对账：跨环境迁移的“网络审计底稿”

跨环境迁移（如从 IDC 迁移至云原生环境，或从旧集群迁移至新集群）是容器网络运维中风险最高的操作之一。迁移过程中，网络策略、路由规则、安全组配置的“隐性差异”是导致故障的主要原因。

Flow Log（流日志）对账通过对比源环境与目标环境的网络流日志，实现以下目标：

1. 连通性验证：确认迁移后所有关键业务流的源 IP、目的 IP、端口、协议与迁移前一致。
2. 策略一致性校验：检查被 ACL/安全组/网络策略丢弃的流量是否与迁移前一致（避免“误杀”或“漏放”）。
3. 性能基线对齐：对比迁移前后的流日志中的 RTT、重传率、连接建立成功率，确保网络性能不退化。

1.4 缓存命中巡检与 Flow Log 对账的协同关系

缓存命中巡检与 Flow Log 对账并非孤立的两项工作，而是构成跨环境迁移网络验证的“双引擎”：

• 缓存命中巡检：负责“性能面”的主动预防，确保迁移后网络路径上的缓存层正常工作。
• Flow Log 对账：负责“连通性与策略面”的审计验证，确保迁移后网络行为与迁移前一致。

两者结合，可以覆盖跨环境迁移中 90% 以上的网络风险场景。

1.5 跨环境迁移网络验证全景图

下图展示了缓存命中巡检与 Flow Log 对账在跨环境迁移流程中的位置与协作关系：

1.6 本课程的学习路径

本课程将围绕上述两大核心能力，从原理、工具、实战到自动化，系统性地讲解以下内容：