### ① 组件是什么 NetworkPolicy 声明 Pod 间允许的入站/出站流量，是 K8s 原生微分段手段，把默认全通切成最小必要通路。 ### ② 语言与 C 库 策略是声明对象，由 CNI 落地为规则。Go/插件侧 goroutine，底层 netfilter/路由。 ### ③ 运行机制 选中 Pod 生效，按标签与协议白名单放通流量，其余拒绝。未选任何策略的 Pod 默认全通。 ### ④ 常见配置缺陷 - 几乎不写策略，默认全通，微分段形同虚设。 - 策略过宽放通整个命名空间或所有端口。 - CNI 不支持某策略却被默认忽略，造成"以为隔离了"。 ### ⑤ 对应攻击链路 缺失或过宽的 NetworkPolicy 让横向扫掠无阻，是内网横向不成链阻断点缺失的根。 ### ⑥ 对应 C 库 netfilter 规则，`socket`。 ### ⑦ 对应工具 策略覆盖审计、连通性验证。 【链路推演】无策略全通 → 横向无阻。断点在默认拒绝式微分段。 【跨册】隔离边界见第0章。横向阻断见册4。