1. 课程导论：为什么需要准入控制与资源配额协同？网络性能瓶颈的常见场景与挑战
1.1 准入控制与资源配额：从“能部署”到“能稳定运行”
在 Kubernetes 集群中，准入控制（Admission Control） 与 资源配额（Resource Quota） 是两道关键防线。前者决定“什么可以进入集群”，后者决定“进入后能占用多少资源”。然而，许多团队仅将它们视为“安全门禁”或“资源上限”，忽略了二者在网络性能调优层面的协同价值。
核心观点： 准入控制 + 资源配额的协同，本质上是将网络性能约束从“事后被动观测”前移到“事前主动声明与强制”。没有协同，网络瓶颈往往在流量高峰期才暴露，且难以定位根因。
1.2 网络性能瓶颈的常见场景与挑战
以下四个场景是生产环境中网络性能劣化的典型诱因，它们都与准入控制策略缺失或资源配额配置不当直接相关：
| 场景 | 现象 | 根因（与准入/配额的关系） |
|---|---|---|
| Pod 过度调度导致节点网络过载 | 节点上 Pod 数量超过 CNI 插件或网卡处理能力，出现丢包、延迟抖动 | 未通过准入控制限制节点最大 Pod 数；资源配额未考虑网络带宽维度 |
| Sidecar 代理资源争抢 | Envoy/Istio sidecar 与业务容器争抢 CPU/内存，导致代理转发延迟飙升 | 准入控制未强制 sidecar 资源声明；配额未为 sidecar 预留独立资源池 |
| 大规模 Service 导致 iptables 规则膨胀 | 集群 Service 数量超过 5000 时，kube-proxy 更新延迟、连接中断 | 未通过准入控制限制 Namespace 内 Service/Endpoint 数量；配额未覆盖网络对象 |
| 突发流量下带宽抢占 | 某 Namespace 的 Pod 突发流量占满节点带宽，影响同节点其他租户 | 缺少带宽配额（如通过 CNI 插件实现）；准入控制未校验 Pod 带宽注解 |
常见误区： 很多团队只配置 CPU/内存配额，认为网络性能是 CNI 插件或网络策略的事。实际上，网络瓶颈往往由“资源配额未覆盖网络维度”和“准入控制未校验网络相关声明”共同导致。
1.3 协同缺失的连锁反应
当准入控制与资源配额各自为政时，集群会进入一种“能部署但不可靠”的状态。下图展示了这种协同缺失如何从部署阶段传导至网络性能劣化：
1.4 协同调优的核心收益
通过将准入控制策略与资源配额协同设计，可以实现以下三个层面的正向收益：
- 可预测性： 每个 Pod 在部署时就声明了网络资源需求（带宽、端口范围、QoS 等级），配额系统确保总量可控，网络行为不再“随缘”。
- 隔离性： 不同 Namespace 或租户之间通过配额实现网络资源硬隔离，避免“吵闹邻居”效应。
- 可观测性： 准入控制可以注入网络监控注解，配额系统可以暴露网络资源使用指标，为性能调优提供数据基础。