Terminus项目中NetworkPolicy动态管理机制解析

背景与问题现象

在Terminus项目（原Olares）的Kubernetes集群管理中，用户通过ControlHub界面修改NetworkPolicy资源时遇到一个特殊现象：当尝试为homeassistant-touch4benny命名空间下的app-np策略添加egress规则时，虽然界面显示操作成功（HTTP 200响应），但实际策略配置并未持久化保存。通过kubectl检查发现，手动添加的出口规则在更新后被系统自动还原。

技术原理分析

这种现象源于Terminus的核心网络管理机制：

1. 动态策略计算引擎
   Terminus采用声明式的网络策略管理模式，所有NetworkPolicy资源实际上是由系统控制器动态生成的。控制器会根据集群中预定义的全局规则（如命名空间标签匹配规则bytetrade.io/ns-owner等）实时计算并维护策略状态。

2. 配置漂移防护
   当用户通过ControlHub或kubectl直接修改策略时，系统会在下一个同步周期（约30秒）检测到配置漂移（configuration drift），随后触发调和（reconciliation）过程将策略重置为系统计算的期望状态。

3. 双栈策略类型
   即使原始策略只声明了Ingress，当添加Egress规则时系统仍会保留policyTypes: [Ingress, Egress]的声明，这解释了为什么策略的generation版本号会增加但内容不变。

架构设计考量

这种设计具有以下技术优势：

• 策略一致性：确保所有网络策略符合全局安全基线
• 多租户隔离：通过namespaceSelector自动实现跨命名空间访问控制
• 审计追踪：所有变更通过系统控制器统一执行，便于审计

最佳实践建议

对于需要自定义网络规则的场景，建议：

1. 通过CRD扩展
   开发自定义NetworkPolicyTemplate资源，通过准入控制器实现规则注入

2. 使用注解标记
   在命名空间添加类似network.bytetrade.io/custom-egress的注解，让控制器合并自定义规则

3. 分层策略设计
   创建优先级更高的NetworkPolicy（通过priority字段）覆盖系统默认规则

未来演进方向

Terminus团队正在规划以下改进：

1. 策略版本快照
   保存用户自定义策略版本，支持快速回滚

2. 策略合成视图
   在ControlHub展示系统规则与自定义规则的合并效果

3. 分级管理模式
   针对不同安全等级的工作负载提供差异化的策略管理权限

这种设计体现了云原生环境下"不可变基础设施"的理念，虽然短期内限制了手动修改的灵活性，但从长远来看更有利于保障大规模集群的网络安全性。