### ① 组件是什么 CNI（容器网络接口）插件给 Pod 分配 IP、打通东西向隧道或网桥，实现 Pod 间互通。flannel、Calico、Cilium 都是 CNI 实现。 ### ② 语言与 C 库 多为 Go，goroutine。底层配 veth、网桥、路由，对应 `socket`、netlink，不 fork。 ### ③ 运行机制 Pod 创建时 CNI 插件配网络接口与路由，跨节点流量经隧道或路由到达目标 Pod。 ### ④ 常见配置缺陷 - CNI 默认允许全互通，微分段依赖额外策略。 - 隧道封装配置暴露内部拓扑。 - CNI 插件自身漏洞可影响节点网络。 ### ⑤ 对应攻击链路 CNI 决定东西向能不能通、通到哪。全通配置让失陷 Pod 直达任意邻居，是横向网络基础。 ### ⑥ 对应 C 库 netlink/路由、`socket`。 ### ⑦ 对应工具 网络连通性测绘、策略覆盖核对。 【链路推演】CNI 全通 → 失陷 Pod 直达邻居 → 横向。断点在 CNI 与 NetworkPolicy 配合。 【跨册】网桥与路由见册