| refused | 目标端口无监听或 Endpoints 为空（kube-proxy 无规则） |
|---|---|
| timeout | 链路被拦：NetworkPolicy、安全组、路由黑洞 |
| 跨命名空间 | 确认服务名写法 name.namespace 与策略双向放行 |
| 验证工具 | 临时 Pod 里 nc -vz host port 与 dig 双验证 |
| DNS 先行 | 域名解析失败与网络不通的报错相似，先分清 |
排查命令
排查命令
kubectl run tmp --rm -it --image=nicolaka/netshoot -- sh
# 容器内：
dig +short db.dev.svc.cluster.local
nc -vz db.dev 3306
curl -m 5 -sS http://web.dev/
kubectl get networkpolicy -n devNetworkPolicy 是命名空间级默认放行：只加了一条 allow 不会拒绝其他流量；要默认拒绝需显式声明 deny-all 策略。