8. 网络与 Service Mesh

Kubernetes 网络分三条流量：南北向入口、东西向服务通信、跨集群/边缘。CNI 解决 Pod IP 与连通性，Ingress/Gateway 解决入口，Service Mesh 解决东西向的 mTLS、重试、灰度与可观测性。把它们混成一个组件，是生产网络最常见的架构错误。

层级:

L3 · 平台

难度:

进阶

预计:

35 分钟

前置:

Service、Ingress、NetworkPolicy

技术栈地图

• CNI：Calico、Cilium、Flannel、Antrea、Multus；负责 Pod 网络、NetworkPolicy，Cilium 还能兼做 Service/LB。

• 入口：ingress-nginx、Traefik、Envoy Gateway、Kong、HAProxy；新项目优先 Gateway API。

• Service Mesh：Istio、Linkerd、Cilium Mesh、Kuma、Consul；负责 mTLS、流量治理与 L7 可观测性。

• DNS / 服务发现：CoreDNS、ExternalDNS。

• 跨集群 / 边缘：Submariner、Skupper、Cilium ClusterMesh。

选型要点

如果只需要域名和路径入口，Ingress 足够；需要多团队、多协议、角色分离时用 Gateway API。只有出现「mTLS、细粒度流量治理、跨语言可观测性」的硬需求时，才引入 Service Mesh。Cilium 用户可以先评估 Cilium Mesh，避免再叠一层 sidecar。

本域文章

• 8.1. Ingress 之后：Gateway API
• 8.2. Service Mesh：Istio、Linkerd 与 Cilium Mesh

关联章节

• CNI 网络：Calico 与 Cilium：数据平面、NetworkPolicy、BGP。

• 负载均衡与 Ingress：MetalLB、ingress-nginx、灰度。

• Ingress 进阶：Contour 与 HTTPProxy：七层流量治理。

• 服务与网络：Service、Endpoints、CoreDNS。