📚 课程目录第4章策略命中率概念

4. 策略命中率定义：命中次数、匹配率、有效策略与无效策略

在租户网络拓扑中，NetPolicy 策略的命中率是衡量策略实际生效程度的核心指标。它直接反映了策略配置是否被流量真实触发，以及策略库中是否存在冗余或错误的规则。本节将围绕四个关键维度展开：命中次数、匹配率、有效策略与无效策略。

4.1 核心指标定义

指标	定义	计算公式 / 判定方式	业务含义
命中次数	在统计周期内，某条策略规则被数据包匹配的总次数	直接计数器累加	反映该规则被流量触发的频率
匹配率	命中次数占该方向（入站/出站）总策略评估次数的百分比	匹配率 = (命中次数 / 总评估次数) × 100%	反映该规则在整体流量处理中的相对重要性
有效策略	在统计周期内，命中次数 > 0 的策略规则	命中计数器 > 0	策略正在被实际流量使用，具有安全或路由控制价值
无效策略	在统计周期内，命中次数 = 0 的策略规则	命中计数器 = 0	策略可能为冗余、过期、配置错误或覆盖范围过窄

审计要点：在租户多租场景下，无效策略不仅浪费硬件 TCAM 或软件流表资源，还可能成为安全审计中的“影子规则”，增加误报排查难度。建议将连续 90 天命中次数为 0 的策略标记为“待回收”。

4.2 命中次数与匹配率的量化关系

命中次数是原始计数器，匹配率则是归一化后的相对值。两者结合使用可以避免单一指标的误导：

高命中次数 + 高匹配率：核心策略，流量主干，需重点保护与监控。
高命中次数 + 低匹配率：可能处于高流量路径但被大量其他规则稀释，需检查策略排序是否合理。
低命中次数 + 高匹配率：窄带但精准的策略，如针对特定租户的隔离规则。
低命中次数 + 低匹配率：接近无效策略，需评估是否可合并或删除。

4.3 有效策略与无效策略的判定流程

下图展示了从策略部署到有效性判定的完整逻辑链路：

4.4 无效策略的常见成因与分类

无效策略并非总是“错误”的，但需要分类处理。下表列出了常见的无效策略类型及其典型场景：

类型	成因	典型场景	处理建议
冗余策略	多条规则覆盖相同流量，优先级高的规则已处理所有匹配	两条 allow 规则分别匹配 /24 和 /25，后者被前者完全覆盖	合并或删除低优先级冗余规则
过期策略	租户业务已迁移、下线或变更，但策略未同步清理	原租户 A 的网段已回收，但策略仍引用该网段	定期审计并移除过期引用
覆盖策略	策略顺序不当，前面的规则已匹配并终止，后续规则永远无法到达	默认 deny 规则放在 allow 规则之前	调整策略顺序，将精确规则前置
配置错误策略	源/目的 IP、端口、协议等条件写错，导致无流量匹配	源 IP 写为 10.0.0.0/32 而非 10.0.0.0/24	修正配置或删除错误规则

4.5 策略命中率统计的实践模型

在实际的租户网络拓扑中，NetPolicy 策略命中率统计通常采用分层聚合模型。下图展示了从单条规则到租户级视图的统计架构：

4.6 命中率复核的自动化脚本示例

以下 Python 脚本展示了如何从 NetPolicy 的日志或 API 中提取命中计数器，并自动判定有效/无效策略：

import json
from datetime import datetime, timedelta

# 模拟从 NetPolicy 控制器获取的策略命中数据
policy_stats = [
    {"id": "rule-001", "name": "allow-web-80", "hits": 15230, "last_hit": "2025-03-21 14:30:00"},
    {"id": "rule-002", "name": "allow-db-3306", "hits": 0, "last_hit": None},
    {"id": "rule-003", "name": "deny-ssh-22", "hits": 89, "last_hit": "2025-03-20 09:15:00"},
    {"id": "rule-004", "name": "allow-mgmt-8443", "hits": 0, "last_hit": None},
]

threshold_days = 90
cutoff_date = datetime.now() - timedelta(days=threshold_days)

valid_policies = []
invalid_policies = []

for rule in policy_stats:
    if rule["hits"] > 0:
        valid_policies.append(rule)
    else:
        # 进一步检查是否超过回收阈值
        invalid_policies.append(rule)

print(f"有效策略数: {len(valid_policies)}")
print(f"无效策略数: {len(invalid_policies)}")
print("\n无效策略详情（建议回收）:")
for rule in invalid_policies:
    print(f"  - {rule['name']} (ID: {rule['id']}) 命中次数: {rule['hits']}")

注意：上述脚本为简化示例。在生产环境中，命中率复核应结合时间窗口（如最近 7 天、30 天、90 天）进行多维度分析，并考虑流量波峰波谷的影响，避免在业务低峰期误判有效策略为无效。

4.7 关键总结

命中次数是原始计数器，匹配率是归一化相对值，两者结合使用可避免误判。
有效策略是命中次数 > 0 的规则，无效策略是命中次数 = 0 的规则。
无效策略的成因包括冗余、过期、覆盖和配置错误，需分类处理而非一刀切删除。
建议采用“租户级 → 策略级 → 规则级”的分层下钻模型进行命中率复核，提升排查效率。