3. Kubernetes 网络策略(NetworkPolicy)：Ingress/Egress规则、Pod选择器、命名空间隔离

Kubernetes 网络策略（NetworkPolicy）是集群内微服务间通信的“防火墙规则”。它通过标签选择器定义 Pod 组之间的访问控制，实现基于身份的零信任网络隔离。在 Helm 应用交付中，NetworkPolicy 的配置质量直接影响 eBPF 策略命中率与误报率——规则过松则安全失效，规则过紧则业务中断。

3.1 核心概念与策略模型

NetworkPolicy 采用白名单模型：未显式允许的流量默认被拒绝。策略生效范围由 podSelector 决定，规则类型分为 Ingress（入站）和 Egress（出站）。

3.2 Ingress/Egress 规则详解

3.2.1 Ingress 规则结构

Ingress 规则定义在 spec.ingress 字段中，每个条目包含 from 和 ports 子字段。以下是一个典型的三层隔离示例：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: frontend-ingress
  namespace: production
spec:
  podSelector:
    matchLabels:
      app: frontend
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: api-gateway
    - namespaceSelector:
        matchLabels:
          name: monitoring
      podSelector:
        matchLabels:
          app: prometheus
    ports:
    - protocol: TCP
      port: 8080

规则解析：

• 目标 Pod：命名空间 production 中标签为 app: frontend 的所有 Pod。
• 允许来源：同一命名空间下 app: api-gateway 的 Pod，以及 monitoring 命名空间中 app: prometheus 的 Pod。
• 端口限制：仅允许 TCP 8080 端口。

3.2.2 Egress 规则结构

Egress 规则控制 Pod 对外发起的连接。以下示例限制 backend 服务只能访问数据库和 DNS：

spec:
  podSelector:
    matchLabels:
      app: backend
  policyTypes:
  - Egress
  egress:
  - to:
    - podSelector:
        matchLabels:
          app: database
    ports:
    - protocol: TCP
      port: 5432
  - to:
    - namespaceSelector: {}
    ports:
    - protocol: UDP
      port: 53

3.3 Pod 选择器与命名空间隔离

Pod 选择器支持三种匹配模式，组合使用可实现精细的流量隔离：

命名空间隔离最佳实践：

• 使用 namespaceSelector: matchLabels: name: kube-system 允许访问集群核心组件。
• 空选择器 namespaceSelector: {} 匹配所有命名空间，谨慎使用。
• 结合 podSelector 与 namespaceSelector 实现“跨命名空间+指定 Pod”的精确控制。

3.4 策略命中率与误报关联分析

在 eBPF 策略审计中，NetworkPolicy 的配置质量直接影响以下指标：

3.5 NetworkPolicy 与 eBPF 协同架构

下图展示了 NetworkPolicy 在 Kubernetes 集群中的生效路径，以及 eBPF 如何实时捕获策略命中与拒绝事件：

3.6 常见误报场景与规避策略

3.7 策略生效验证与 eBPF 复核

部署 NetworkPolicy 后，建议通过以下步骤验证策略正确性：

1. 静态验证：使用 kubectl describe networkpolicy 确认规则字段。
2. 连通性测试：部署测试 Pod，使用 kubectl exec 执行 curl 或 nc 命令。
3. eBPF 实时监控：通过 cilium monitor 或 bpftrace 捕获策略命中事件。
4. 审计日志分析：收集 policy_verdict 指标，计算命中率与误报率。

以下是一个 eBPF 策略审计的典型输出片段：

# cilium monitor -t policy-verdict
Policy verdict log: flow 0x1234: TCP 10.0.1.5:34567 -> 10.0.2.10:8080, identity 123->456, verdict Denied
  Reason: Ingress rule missing for port 8080 on pod with label app=frontend
  Recommendation: Add port 8080 to existing Ingress rule or create new rule