访问边界由选中对象、方向规则与CNI能力共同决定
默认连通
Pod A ↔ Pod B
策略未选中时可互访
未被策略选中
不要假设已经隔离
策略选中
目标Pod
Ingress / Egress
规则成为白名单
未允许方向被拒绝
CNI执行
数据面规则
插件负责落地
允许或拒绝
以实际执行为准
边界判断顺序：Pod是否被选中 → 方向是否声明 → CNI是否执行