1. 课程导论：NetPolicy 在租户网络中的角色、为什么需要关注命中率与误报
1.1 什么是 NetPolicy？它在租户网络中的核心角色
在多租户云平台或容器编排环境中，NetPolicy（网络策略） 是一组声明式的访问控制规则，用于定义租户内 Pod、Service 或 Namespace 之间的通信边界。它本质上充当了 “微隔离” 的原子单元，将传统防火墙的南北向控制下沉为东西向的细粒度管控。
NetPolicy 在租户网络中的角色可归纳为以下四个维度：
| 角色维度 | 说明 | 典型场景 |
|---|---|---|
| 隔离边界 | 阻止非授权租户或非授权服务访问敏感数据平面 | 金融租户的支付服务只允许同 Namespace 内前端调用 |
| 合规执行点 | 将安全基线（如 PCI-DSS、GDPR）转化为可执行的网络规则 | 医疗租户要求所有数据库流量必须经过审计代理 |
| 流量可视化锚点 | 策略命中日志为网络监控、审计和攻击溯源提供原始数据 | 安全运营中心（SOC）通过策略命中率发现异常扫描行为 |
| 运维变更单元 | 策略的增删改直接影响租户网络拓扑的连通性 | 灰度发布时临时放通新版本 Service 的入口流量 |
关键认知： NetPolicy 不是简单的“允许/拒绝”开关，而是租户网络拓扑中 “策略即代码” 的落地形态。策略的准确性和效率直接决定了租户隔离的有效性。
1.2 为什么需要关注命中率与误报？
在大型租户网络中，NetPolicy 的数量可能从几十条增长到数千条。如果没有对 命中率 和 误报 进行系统化复核，网络将面临以下三类风险：
- 策略膨胀与性能退化： 长期累积的未命中策略（僵尸策略）占用数据面流表资源，增加转发延迟。
- 安全盲区与合规失效： 误报（本应拒绝的流量被放行）直接破坏隔离模型，可能导致租户数据泄露。
- 排障复杂度指数上升： 当故障发生时，大量无效策略干扰根因分析，MTTR（平均修复时间）显著延长。
以下表格对比了“未复核”与“定期复核”两种策略管理模式的差异：
| 对比维度 | 未复核策略库 | 定期复核策略库 |
|---|---|---|
| 策略总数 | 持续增长，无淘汰机制 | 动态收敛，保留有效规则 |
| 平均命中率 | < 30%（大量僵尸策略） | > 80%（策略与流量匹配度高） |
| 误报率 | 不可控，依赖人工巡检 | 可量化，通过基线对比持续降低 |
| 安全事件响应 | 策略日志噪音大，难以定位真实攻击 | 策略日志信噪比高，告警准确 |
常见误区： 很多团队只关注策略“是否生效”，而忽略了“是否应该生效”。一条命中率极低的策略，其存在的风险可能比一条被拒绝的流量更高——因为它可能是一条被遗忘的“后门”。
1.3 NetPolicy 命中率与误报的核心定义
为了后续章节的量化分析，我们在此给出两个核心指标的标准化定义：
- 命中率（Hit Rate）： 在单位时间窗口内，某条 NetPolicy 规则匹配到的合法流量包数 / 该规则覆盖范围内的总流量包数。通常以百分比表示，理想值接近 100%。
- 误报（False Positive）： 策略引擎将本应放行的流量判定为拒绝（或相反），导致业务连通性异常或安全告警失真。误报率 = 误报事件数 / 总策略评估事件数。
两者之间的关联关系可通过以下流程示意：
1.4 课程目标与学习路径
本课程将围绕以下三个核心目标展开：
- 掌握量化方法： 学会从数据面采集命中率与误报的原始指标，并建立基线。
- 构建复核流程： 设计可落地的策略复核 SOP，覆盖“采集 → 分析 → 调优 → 验证”全链路。
- 落地自动化工具： 基于开源工具（如 Cilium、Calico、NetworkPolicy Editor）实现策略健康度看板。
学习建议： 如果你所在团队尚未建立策略复核机制，建议从第 4 章（命中率采集方法）开始，先获取数据，再逐步完善流程。不要试图一次性构建完整的策略治理体系。