五类场景的落地方案

五类场景可以叠加使用：例如集群场景中同时满足合规要求时，DaemonSet 挂载的规则文件与注入方式不变，只是额外开启决策元数据导出。各场景的完整部署顺序见 部署文档。

DaemonSet 注入与配置挂载

DaemonSet 只负责注入快连进程与规则文件；真正的分流决策来自业务 Pod 上的 kl.route 标签。

配置 · DaemonSet 片段（示例口径）

apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: kl-proxy
  namespace: kl-system
  labels:
    app: kl-proxy
spec:
  selector:
    matchLabels:
      app: kl-proxy
  template:
    metadata:
      labels:
        app: kl-proxy
    spec:
      initContainers:
        - name: rules-sync
          image: registry.kiualanad.com.cn/kl/kl-proxy:v2.4.1
          command: ["sh", "-c", "cp /etc/kl-base/rules.yaml /shared/rules.yaml"]
          volumeMounts:
            - name: rules
              mountPath: /shared
      containers:
        - name: kl-proxy
          image: registry.kiualanad.com.cn/kl/kl-proxy:v2.4.1
          args: ["--config", "/shared/rules.yaml", "--mode", "node"]
          securityContext:
            capabilities:
              add: ["NET_ADMIN"]
          volumeMounts:
            - name: rules
              mountPath: /shared
      volumes:
        - name: rules
          configMap:
            name: kl-rules

业务 Pod 上声明路由意图

同一集群内不同租户用不同标签表达出口需求，规则文件负责把标签映射到出口：

配置 · 业务 Pod 与 namespace 标签

# 命名空间级标签：整个租户走同一条出口
kubectl label namespace team-a kl.route=proxy --overwrite

# 工作负载级标签：单个 Deployment 单独指定
kubectl patch deployment api-gateway -n team-a -p \
  '{"spec":{"template":{"metadata":{"labels":{"kl.route":"proxy"}}}}}'

按 namespace 分流

在 namespace 上打 kl.route 标签，规则文件用 namespace 维度匹配。适合整个租户出口一致的情况，改动面小，适合先做试点。

按 label 分流

在 Pod 或 Deployment 的 spec.template.metadata.labels 上打 kl.route 标签，规则文件用 label 维度匹配。适合同一租户内不同工作负载走不同出口。

维度优先级

标签规则优先于命名空间规则。两者冲突时以更具体的工作负载标签为准，优先级完整顺序见 分流规则优先级。

规则更新方式

规则以 ConfigMap 只读挂载，修改后通过 kubectl rollout restart 让 DaemonSet 重新加载，不需要重建业务 Pod。

按 namespace 分出口

用出口标识（egress）把命名空间映射到具体出口，配置里不出现任何访问明细：

配置 · 多出口映射（示例口径）

default: direct

outbounds:
  hk:   { protocol: hysteria2,        server: "hk.example.net:443" }
  sg:   { protocol: tuic,              server: "sg.example.net:443" }
  direct: { protocol: direct }

rules:
  - namespace: team-a
    action: proxy
    egress: hk
  - namespace: team-b
    action: proxy
    egress: sg
  - cidr: ["10.0.0.0/8", "169.254.0.0/16"]
    action: direct

audit:
  decision_log: true      # 仅导出决策元数据

终端 · 查看出口归属

# 查看各命名空间当前命中的出口
docker exec kl-proxy kl-ctl status

# 导出决策记录用于审计（仅规则 ID / 命中维度 / 动作 / 时间戳）
docker exec kl-proxy kl-ctl export --type decision --last 24h > decisions.jsonl