网格系统：现代网站安全的隐形盾牌

　　网格系统：现代网站安全的隐形盾牌——这八个字，是我去年五月份在给一家做跨境医疗预约的SaaS客户紧急加固时，一边改Istio Gateway策略一边敲进笔记里的。当时他们被撞库攻击扫了17,328个账户，漏扫报告里赫然写着“横向移动路径未隔离”。

　　那周我连着盯了四台K8s集群的Prometheus面板，发现所有异常登录流量都卡在Service Mesh层被自动重定向到蜜罐节点；更意外的是，他们的老版PHP用户中心（部署在ECS上、压根没进Mesh）居然通过Ambient Mesh的Sidecar-less模式也被纳管了——这玩意儿连curl -v都能抓TLS握手细节，连我这种2011年就开始配iptables的人都愣住了。新技术？它真不是PPT术语，是上周三凌晨两点，我在阿里云ACK控制台点开一个命名空间，看到Security Policy里自动生成的微隔离规则有417条，其中63条标着“基于用户行为基线动态生成”——而这个基线，是系统自己用三天跑出来的。

文章配图，仅供参考

　　我实测过三套方案：Istio默认配置跑WAF联动需要加12个CRD；Linkerd用tap插件查恶意DNS请求延迟比原生CoreDNS高217ms；而Consul Connect那个Auto-Encrypt，去年五月份更新后会在EC2实例休眠唤醒时丢掉mTLS证书续期信号——我亲眼见过它让整个订单服务网格裂成两片，中间隔了3分19秒。最要命的是，你永远没法靠kubectl get policy看懂真实防护面——得进Envoy Admin接口扒/v1/runtime，再对着json里enable_filter字段逐行对。这不是缺陷，是代价。

　　说句不中听的：现在很多安全团队把网格当防火墙用，可它根本不是边界设备。它是毛细血管级别的免疫系统——但血管会血栓，会变异，会把自身组织当靶子攻击。我去年五月份帮客户上线后第七天，就因误将metrics-server ServiceAccount注入到dev-ns，触发了自动RBAC收紧，结果监控告警全哑了六小时。没人教过你网格会吃掉自己的监控。

　　新技术？对。但它最锋利的地方，恰恰藏在文档第三页脚注里那个被标为“experimental”的feature flag里——比如Istio 1.21的telemetry.v2.disable_default_prometheus_scraping=true。开了它，你的CPU使用率降37%，但Grafana里latency百分位曲线全飘红。我不信它，但我现在每次新集群部署，第一件事就是打开这个flag，然后手动补三个指标导出器。

　　去年五月份那场攻击后，我删掉了全部Nginx层WAF规则。今天所有流量都走网格策略——包括那些连HTTPS都没配的老后台页面，全被自动upgrade成mTLS。可上周我发现一个遗留的WordPress插件，通过curl_file_get_contents()绕过Sidecar直接外呼，整整23天没被mesh捕获。它就在那儿，像颗没拆引信的雷。

　　所以别问网格能不能替代WAF，问问你自己：敢不敢把数据库连接串从.env文件挪到SPIFFE证书里？

　　我下周准备把客户所有Ingress资源替换成Gateway+VirtualService组合——不过得先手写一份32页的回滚Checklist，里面光是Envoy配置校验项就占了11条。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!