如何查找影响指定Pod的所有Kubernetes Network Policy？

给你几个实用的方法来找出影响目标Pod的所有Network Policy：

手动筛选（无需额外工具） #

首先得拿到目标Pod的标签和所属命名空间：

# 获取Pod标签
kubectl get pod <你的Pod名称> -n <Pod所在命名空间> -o jsonpath='{.metadata.labels}'
# 获取Pod命名空间
kubectl get pod <你的Pod名称> -n <Pod所在命名空间> -o jsonpath='{.metadata.namespace}'

接下来遍历集群里所有NetworkPolicy，检查每个策略的podSelector是否匹配这个Pod的标签。可以用jq批量筛选，省去逐个查看的麻烦：

kubectl get networkpolicy --all-namespaces -o json | jq '.items[] | select(.spec.podSelector.matchLabels | any(. == $podLabels)) | {名称: .metadata.name, 命名空间: .metadata.namespace, 规则类型: (.spec.ingress != null | .spec.egress != null), 规则内容: .spec}' --argjson podLabels "$(kubectl get pod <你的Pod名称> -n <Pod所在命名空间> -o jsonpath='{.metadata.labels}')"

注意：得提前装jq工具，大多数Linux发行版都能通过包管理器安装。

用CNI专属工具（如果集群用Calico） #

如果你的集群用Calico做网络插件，直接用calicoctl就能快速查询：

# 筛选匹配Pod标签的NetPol
calicoctl get networkpolicy -o wide | grep <Pod标签键>=<Pod标签值>
# 更精准的查询语法
calicoctl query -f - <<EOF
query networkPolicy where spec.podSelector.matchLabels contains { "<Pod标签键>": "<Pod标签值>" }
EOF

借助第三方工具简化操作 #

像kube-network-policy-editor这类工具支持可视化或命令行查询，直接输入Pod名称和命名空间，就能返回所有匹配的Network Policy，省去自己写过滤逻辑的麻烦。

验证策略是否真的影响Pod #

查到候选NetPol后，用kubectl describe networkpolicy <策略名称> -n <策略命名空间>看详细规则，再在Pod里用tcptraceroute或curl测试连通性，结合规则判断是不是这个策略导致的超时问题。

内容的提问来源于stack exchange，提问作者Surya