3、容器网络策略基础：Kubernetes NetworkPolicy 工作原理、Ingress/Egress 规则、策略执行点（kube-proxy / eBPF）

Kubernetes NetworkPolicy 是容器网络安全的“第一道门”。它通过声明式规则控制 Pod 之间的流量走向，实现微隔离。理解其工作原理、规则模型以及底层执行机制，是进行缓存命中巡检与上线前策略验证的前提。

3.1 NetworkPolicy 工作原理

NetworkPolicy 是一个 Kubernetes API 资源，作用于命名空间级别，通过标签选择器（Label Selector）匹配目标 Pod，并定义允许哪些流量进出这些 Pod。其核心原则是：白名单机制——一旦命名空间中存在任何 NetworkPolicy，未显式允许的流量将被拒绝。

工作流程如下：

1. 策略定义：用户通过 YAML 定义 NetworkPolicy，指定 podSelector、policyTypes（Ingress / Egress）、ingress 规则、egress 规则。
2. API Server 存储：策略对象被写入 etcd，并通过 API Server 下发。
3. 控制器处理：网络插件（CNI）的控制器监听 NetworkPolicy 变化，将其转换为底层数据平面的规则。
4. 数据平面执行：规则被写入 iptables、IPVS 或 eBPF 程序，在节点内核中执行包过滤。

3.2 Ingress / Egress 规则详解

NetworkPolicy 的规则分为 Ingress（入站）和 Egress（出站）两类，分别控制进入 Pod 和从 Pod 发出的流量。每条规则可以指定来源（from）或目的地（to），支持三种匹配方式：

规则示例（YAML）：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: api-allow
  namespace: production
spec:
  podSelector:
    matchLabels:
      app: api-server
  policyTypes:
  - Ingress
  - Egress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: frontend
    ports:
    - protocol: TCP
      port: 8080
  egress:
  - to:
    - podSelector:
        matchLabels:
          app: database
    ports:
    - protocol: TCP
      port: 5432
  - to:
    - ipBlock:
        cidr: 10.0.0.0/8
        except:
        - 10.96.0.0/12  # 排除 Service CIDR
    ports:
    - protocol: TCP
      port: 443

3.3 策略执行点：kube-proxy 与 eBPF

NetworkPolicy 的底层执行依赖网络插件（CNI）的数据平面。当前主流执行点包括 kube-proxy（iptables/IPVS 模式）和 eBPF（如 Cilium）。两者在性能、灵活性和可观测性上存在显著差异。

3.4 策略执行的关键路径

无论使用哪种执行点，NetworkPolicy 的生效都遵循以下关键路径：

• Pod 创建/更新：CNI 控制器根据 Pod 标签匹配策略，生成规则。
• 规则注入：规则被写入内核数据平面（iptables 链 / eBPF Map）。
• 包过滤：每个数据包经过内核时，根据规则决定放行或丢弃。
• 连接跟踪：对于已允许的连接，后续包通常直接放行（状态防火墙）。
• 策略变更：修改 NetworkPolicy 后，CNI 控制器增量更新规则，无需重启 Pod。

3.5 常见问题与避坑