用途：按最小权限原则创建和管理 Kubernetes NetworkPolicy 清单，在 Pod、命名空间与外部端点之间实施零信任网络，生成基于标签选择器、命名空间选择器、CIDR 块和端口的入站与出站规则。
主要能力：为每个命名空间建立入站和出站的默认拒绝策略；为每条合法通信路径添加显式允许规则；生成允许访问 kube-system 命名空间 UDP/TCP 53 端口的 DNS 出站规则；为外部服务生成基于 CIDR 块或 namespaceSelector 的出站规则；提供连通性验证命令。
使用方式：先梳理应用通信模式，识别服务间、服务到数据库以及服务到外部的全部连接；从默认拒绝策略起步；再为合法路径添加指定源/目标标签与端口的允许规则；随后用 kubectl exec 执行 curl/wget 在测试命名空间验证连通性。
前置条件：集群 CNI 插件需支持 NetworkPolicy（Calico、Cilium、Weave Net）；kubectl 具备创建和管理 NetworkPolicy 的权限；Pod 标签需一致定义；需通信关系映射；需理解 DNS 要求。
限制与排查：所有流量被阻断通常是仅有默认拒绝而无允许规则；DNS 解析失败通常是缺少 kube-dns/CoreDNS 的出站规则；策略未命中目标 Pod 多为标签不匹配；拒绝策略无效可能是 CNI 不支持或策略位于错误命名空间。
参考资源：Kubernetes NetworkPolicy 文档、Calico 网络策略文档、Cilium 网络策略文档及可视化网络策略编辑器。