云原生不是上云，是网络基因的三步重构

　　告警响的那一刻，我正把泡面叉子插进酱包里，没撕开，就杵在那儿听——不是听铃声，是听它响第几下。第三下还没落定，我就知道不是磁盘IO的事，也不是证书快过期那种假警。这声儿发虚，带颤音，像交换机风扇快憋死前最后两秒的呻吟。开发老张电话立刻打进来，手机在裤兜里震得我左腿发麻，我没接，先划开终端窗口，grep了一眼istio-proxy日志：Connection reset by peer后面跟着三行空格，空得瘆人。

　　我原以为是迁移切流出的毛刺，结果凌晨三点半，三台机器的Sidecar集体掉注册，etcd里看不着它们的lease key，但kubectl get node还显示Ready。Ready个屁，它们连CNI的ARP表都清空了。同事小陈裹着羽绒服从隔壁机房晃过来，呵出的白气糊了我半块显示器，他蹲着看了五分钟拓扑图，说：“这不像故障，像被拔了网线又悄悄插回去——可你查不到物理层断连记录。”我说废话，物理层能查到我还在这儿嗦面？他拎走我半盒泡面，走了。窗外天快亮了，但云层厚，灰得像一块捂馊的豆腐皮。

　　云原生不是上云，是网络基因的三步重构——这话是我在2025年10月那个周末之后，在运维群里打了三次删两次才发出去的。不是顿悟，是熬出来的溃疡。那三天我跟开发吵了一架，不是为谁该改yaml，是为一句“你们infra连DNS解析都做不稳，还推Service Mesh？”我回他：“我们做稳了，你们的Deployment才敢跑三秒就自动扩缩容。”他愣住，手指停在键盘上，指甲缝里还沾着咖啡渍。其实那天我压根没碰DNS配置，问题出在CoreDNS的自动轮转策略跟K8s 1.31的endpoint slice同步有个17ms窗口期——我查到了，但没补，因为补了要重装整个control plane，而备份……算了，那周我忘了做etcd快照。承认了，就是没做。

　　第一步重构，是把“端口”从应用嘴里抠出来，塞进Service的selector里。我们原来那套，应用自己bind :8080，然后让Ingress去配annotation映射，看着像云原生，实则是披着Service Mesh外衣的反向代理马甲。直到某次蓝绿发布时，新版本pod起来了，旧pod里一个遗留gRPC服务还在往老地址发心跳——结果新旧两个service同时写同一个Consul kv path，键值乱码成二进制垃圾。机房的人后来翻了三天日志，最后发现真正堵点是CoreDNS的缓存TTL设成了30s，而gRPC客户端的健康检查间隔是28s。三十秒和二十八秒，差的不是时间，是信任的裂缝。我们信consul，consul信dns，dns信k8s apiserver——结果链路最末端那个apiserver，自己在etcd里记错了一个revision号。

　　第二步重构，是把“流量”从IP里剥出来，贴到身份标签上。我们试过SPIFFE，试过mTLS自签名CA轮换脚本，最后卡在证书吊销列表分发上——不是技术卡，是流程卡。安全组老大坚持所有证书必须经他手签发，可他出差了两天。我们临时用Let’s Encrypt签了三张内部通配符，结果其中一张私钥误传到GitLab CI的公开变量里，暴露了八小时。没人报警，也没人动，就静静躺在那里，像一粒沙掉进光缆接头盒。那晚值班表我排的是小王，但他女儿发烧，凌晨一点给我发微信问“要不要替班”，我没回，盯着屏幕右下角那个未读消息框，一直到天光泛青。晚饭？没吃，但泡面酱包现在想起来还是咸得齁喉咙。

文章配图，仅供参考

　　上周我把家里的Wi-Fi路由器换了，TP-Link换成华三的，就为了测它能不能跑eBPF filter。老婆站门口问：“你修电脑还是修网？家里孩子上网课等着呢。”我说修网，她哼一声，拎走最后一盒泡面。屏幕上还开着六个窗口：一个grafana dashboard，三个ssh会话（其中一个是连着已关机的测试集群），还有vscode里一份没保存的YAML——就差一行imagePullPolicy: Always，我删掉了，因为觉得“反正每次build都推新tag”。结果今天CI挂了，说镜像sha256不匹配。我盯着那一行空着的policy，突然笑了。这事本来能避免。我现在要去补etcd快照，顺手把那个没保存的YAML重新敲一遍，加粗体标上注释：“别信tag，信digest，信不了自己就信checksum”。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!