将 kube-router 升级到 v2.10+ 并暴露 --netpol-default-deny，以便 NetworkPolicy 覆盖 pod 启动

您的功能请求是否与问题有关？请描述。

NetworkPolicy 对新 pod 的前几百毫秒不进行强制执行。嵌入式 kube-router NPC 只在 pod 的 IP 出现在 API 中之后才计划 pod 的 KUBE-POD-FW-* 链路，在此之前，pod 的流量都会通过 ACCEPT 处理。这在 #947 和 #13432 中已被报告；在 #13432 中，brandond 表示 K3s 会在 kube-router 找到解决方案后，对 kube-router 进行跟踪。