1. 课程导论：Helm 应用交付与网络拓扑的关系，eBPF 在策略审计中的核心价值
1.1 从 Helm Chart 到运行时网络拓扑的鸿沟
Helm 作为 Kubernetes 生态中最主流的应用打包与交付工具，通过 Chart 模板化定义了应用的部署清单。然而，Chart 中声明的网络策略（NetworkPolicy）、服务发现（Service）与 Ingress 规则，在集群中实际生效时，往往与预期拓扑存在偏差。这种偏差源于以下三个核心因素：
- 动态调度与 IP 漂移：Pod 的重启、扩缩容或节点迁移会导致 IP 地址频繁变化，静态策略难以实时适配。
- Sidecar 与 Service Mesh 注入：Envoy、Istio 等代理的注入会改变流量路径，使得 Helm 定义的原始网络拓扑被“透明代理”层覆盖。
- 多租户与命名空间隔离：跨 Namespace 的流量策略在 Helm 中通常以标签选择器表达，但实际命中情况受 RBAC、CNI 插件实现等多重因素影响。
核心矛盾：Helm 交付的是“期望状态”的 YAML 声明，而网络拓扑是“实际状态”的运行时数据流。两者之间的差距，正是策略审计需要填补的空白。
1.2 eBPF 在策略审计中的不可替代性
传统的策略审计依赖 iptables 规则解析或 API Server 日志回放，存在性能开销大、观测粒度粗、无法捕获内核态数据包等局限。eBPF（Extended Berkeley Packet Filter） 通过在内核中安全地运行沙箱程序，实现了对网络数据包、系统调用和内核事件的零侵入、高性能观测。其在策略审计中的核心价值体现在：
| 审计维度 | 传统方法（iptables/日志） | eBPF 方法 |
|---|---|---|
| 数据捕获点 | 用户态（API Server、kube-proxy） | 内核态（XDP、TC、kprobe） |
| 策略命中率 | 间接推断（规则匹配计数） | 直接观测（每包决策路径） |
| 误报识别 | 依赖日志聚合与告警去重 | 基于真实流量特征实时过滤 |
| 性能开销 | 高（日志采集、存储、分析） | 低（内核内聚合，无上下文切换） |
| 拓扑关联 | 需额外关联 Pod 元数据 | 天然关联 cgroup、netns 与 PID |
关键洞察：eBPF 能够捕获 Helm 交付后，CNI 插件（如 Cilium、Calico）实际执行策略时的命中/丢弃/重定向决策，从而精确计算策略命中率与误报率。
1.3 Helm 应用交付与 eBPF 观测的融合架构
下图展示了从 Helm Chart 部署到 eBPF 策略审计的完整数据流。左侧是 Helm 交付的声明式配置，右侧是 eBPF 在内核中捕获的运行时拓扑，中间通过策略引擎进行实时比对与复核。
1.4 课程核心目标与学习路径
本课程将围绕以下三个核心目标展开，帮助学员构建从 Helm 交付到 eBPF 策略审计的完整知识体系：
- 理解 Helm 网络拓扑的声明式本质：掌握 Chart 中网络策略、Service、Ingress 的渲染机制，以及它们与运行时拓扑的映射关系。
- 掌握 eBPF 策略审计的关键指标：学会使用 eBPF 工具（如 Cilium、Pixie、bpftrace）捕获策略命中率、误报率、丢包率等核心指标。
- 实现策略命中率与误报的自动化复核：基于 eBPF 数据构建审计管道，对比 Helm 期望状态与运行时实际状态，生成可操作的合规报告。
前置要求：学员需具备 Kubernetes 基础操作能力，了解 Helm Chart 基本结构，并对 Linux 内核网络栈（Netfilter、TC、XDP）有初步认识。本课程将提供完整的实验环境与示例代码。
1.5 本章小结
Helm 应用交付与运行时网络拓扑之间存在天然鸿沟，而 eBPF 技术以其内核级观测能力，成为填补这一鸿沟的最佳选择。通过本课程，你将学会如何利用 eBPF 对 Helm 交付的网络策略进行命中率计算与误报复核，从而提升云原生环境的安全合规水平。