【Linkerd】排障坐标系：五轴否证与 native/legacy 证据包

「Pod Running 但流量没进 mesh」与「meshed 但 403/502」很少落在同一层。前者可能是 proxy-injector、native sidecar 启动顺序或 iptables/CNI；后者可能是 identity CSR、destination 空流、AuthorizationPolicy 或 linkerd2-proxy 健康。一上来重装控制面或改 ServiceProfile，会把可恢复的轴 3 问题放大成双故障。

本文是系列第 13 篇：按第 1 篇与 PLAN.md §八做症状 → 轴映射。口诀不变：先点名轴，再下钻组件。native sidecar（2.20 默认）与 legacy init+sidecar 在轴 1–2 分列证据包。升级与 trust 门见第 12 篇。无 Linkerd 集群则不粘贴伪造 linkerd check / viz 指标。

本篇在系列中的位置

篇目	核心内容
第 12 篇 · 运维与升级	trust anchor 与 destination 内存门
第 13 篇 · 排障坐标系	五轴否证；native/legacy 证据包
第 14 篇 · 对照替代路径	istio-xds、Ambient、Cilium L4
系列目录	全部篇目

版本锚定：Linkerd 2.20（tag version-2.20）。linkerd check 分类以该版本 CLI 语义为准。Istio 侧排障五轴见 istio-xds/15——同名「五轴」不是同一坐标系。

一、口诀

轴 1 注入与网格成员   — proxy-injector；namespace 注解；native sidecar vs init+sidecar；opaque ports
轴 2 身份与 mTLS      — identity CSR；工作负载 cert；issuer / trust anchor
轴 3 destination/发现 — destination.Get 流；EndpointSlice；端点富化（identity/zone）
轴 4 策略与 L7        — Server、AuthorizationPolicy、MeshTLSAuthentication；ServiceProfile；GAPI HTTPRoute
轴 5 数据面与健康     — linkerd2-proxy inbound/outbound；metrics/tap；destination 控制面 OOM

native vs legacy 分列：证据包标题须写明注入路径——例如 native-sidecar-2.20 或 legacy-init-sidecar。轴 1 的「缺 proxy 容器」在 native 路径可能是 sidecar 启动门未满足；在 legacy 路径可能是 init 未完成。不可混贴 iptables 证据与 restartPolicy: Never Job 的 sidecar 语义。

flowchart TD
  symptom["Symptom"]
  symptom --> name["Name Linkerd axis first"]
  name --> a1["Axis1 inject membership"]
  name --> a2["Axis2 identity mTLS"]
  name --> a3["Axis3 destination discovery"]
  name --> a4["Axis4 policy L7"]
  name --> a5["Axis5 dataplane health"]
  a1 --> split["Split native vs legacy evidence"]

症状 → 轴（入口表）

默认顺序：轴 1 成员资格 → 轴 2 握手 → 轴 3 端点 → 轴 4 策略/L7 → 轴 5 数据面。一次否证一轴。

二、注入失败

表象：Pod 未 mesh；无 linkerd-proxy 容器；流量绕过 sidecar；opaque 端口行为与预期不符。

分列证据包：

三、identity 失败

表象：meshed Pod 间 TLS handshake error；证书 SAN 与 ServiceAccount 不符；anchor 轮转后全挂。

「握手失败」在否证轴 1 后优先轴 2，不要先改 ServiceProfile（轴 4）。

四、destination 与策略

表象：linkerd routes / viz 显示无路由；调用直连 ClusterIP 有响应、经 mesh 无端点；403；SP 校验 webhook 拒绝。

与「对端未 mesh」区分：未 mesh 常表现为明文或非预期路径（轴 1）；meshed 但空流是轴 3。勿把两者都说成「网络不通」。

五、数据面与健康

表象：502 Bad Gateway；请求超时；tap/metrics 无入站流量；destination Pod OOM 或内存持续上涨。

轴 5 与轴 3 分界：destination 已推送端点且策略允许，但 proxy 仍 502 → 查 proxy 与对端 inbound；destination 未推送 → 留在轴 3–4。

六、与 istio-xds 五轴不混因果

同集群可能并存 Istio 与 Linkerd 的讨论在第 14 篇，但证据包不可混贴：

• Linkerd「无端点」不用 istio EDS 空 cluster 解释。
• Istio「xDS NACK」不用 Linkerd destination gRPC 状态码类比。
• 两侧都有「五轴」字样，轴含义不同，混因果会指错组件（把 istiod 当成 destination）。

需要 xDS/istiod 全书坐标时，回到 istio-xds/；需要 Envoy Filter 坐标时，回到 envoy/。

参考资料

本系列（A）

• 第 1 篇 · 五轴定义；PLAN.md §八
• 第 2–12 篇各轴主文；尤其 10、12

对照（勿混因果）

• istio-xds/15 · 排障 proxy 配置
• istio-xds/14 · Linkerd 对照

官方（A）

• Linkerd Architecture；linkerd check 文档 @ 2.20
• Announcing Linkerd 2.20（native sidecar 默认）

上一篇：运维与升级

下一篇：对照替代路径