### ① 组件是什么
Service 给一组 Pod 提供固定访问入口（ClusterIP/NodePort/LoadBalancer），后端 Pod 变化时入口不变，kube-proxy 在节点上维护转发规则做负载均衡。
### ② 语言与 C 库
kube-proxy 为 Go，goroutine 循环不 fork。维护 iptables/IPVS 规则对应底层 `socket` 与 netfilter，不直接调用户态网络库转发。
### ③ 运行机制
Service 选中标签匹配的 Pod，kube-proxy 在每个节点写转发规则，访问 ClusterIP 被 DNAT 到后端 Pod。
### ④ 常见配置缺陷
- Service 之间默认全通，无 NetworkPolicy 约束，任一被攻陷 Pod 可扫内网。
- NodePort/LoadBalancer 暴露内部服务到外网却无认证。
- 服务端口误暴露管理面。
### ⑤ 对应攻击链路
无分段的 Service 网络是横向扫掠的通道：一个 Pod 失陷后沿 ClusterIP 扫邻近服务。结合 SS