K8s 流量法医

问题：日志只能看到单侧

微服务出现调用异常时，开发人员通常先翻日志。但日志是各服务自己写的，只记录了"我发了什么"，看不到"对方回了什么"。链路一长，问题卡在哪一层只能靠猜。更麻烦的是，当涉及 TLS 加密流量时，日志里连请求内容都看不到。

工作原理：用 eBPF 还原真实调用

这个技能扮演"流量法医"的角色，通过 eBPF 在集群层面捕获真实流量，而不是依赖应用主动上报。它能在不同层次上观察流量：

• L4 层：看到连接建立、端口、重传等网络层信息，通过 eBPF socket 获取
• L7 层：解析 HTTP/gRPC 协议，看到请求方法、路径和响应内容，而不是裸字节
• 安全层：将流量与规则比对，发现异常调用或越权行为

落地时遵循五个步骤：先选最小抓包作用域（只抓目标 namespace 或 Pod），再开启协议解析还原 L7 内容，接着在授权范围内处理 TLS 解密，然后把流量打上 K8s 标签（服务名、部署名）便于关联定位，最后把流量数据暴露给查询接口或 Agent，用自然语言问"为什么 5xx 增多"。

注意点与适用边界

有几个容易踩的坑需要提前想清楚。全集群抓包会拖垮集群性能，影响线上业务；TLS 解密必须在授权与合规范围内进行，不能随意终止加密连接；敏感报文不要长期留存或明文落盘；另外流量只能告诉你"发生了什么"，要结合指标才能回答"为什么多"。操作前请以官方文档和团队安全规范为准。