kubernetes 网络策略

落日映苍穹つ 2022-05-26 02:50 202阅读 0赞

**概述**

网络策略是允许群组与其他网络终端进行通信的规范。

NetworkPolicy资源使用标签选择pods并定义规则，以指定允许所选pods的流量。

**使用网络策略的前提**  
网络策略由网络插件实现，因此您必须使用支持NetworkPolicy的网络解决方案

**隔离和非隔离pods**  
默认pods与pods之间是非隔离的，通过网络插件可以是实现允许哪些pod的流量或者不允许哪些pod的流量

**NetworkPolicy资源**  
例子

apiVersion: networking.k8s.io/v1
    kind: NetworkPolicy
    metadata:
      name: test-network-policy
      namespace: default
    spec:
      podSelector:
        matchLabels:
          role: db
      policyTypes:
     1. Ingress
     2. Egress
      ingress:
     3. from:
        - ipBlock:         cidr: 172.17.0.0/16
            except:
            - 172.17.1.0/24     - namespaceSelector:         matchLabels:
              project: myproject
        - podSelector:         matchLabels:
              role: frontend
        ports:
        - protocol: TCP       port: 6379
      egress:
     4. to:
        - ipBlock:         cidr: 10.0.0.0/24
        ports:
        - protocol: TCP       port: 5978

除非您选择的网络解决方案支持网络策略，否则将其发布到API服务器将不起作用。

1.  在入口和出口流量的default空间中分离“role = db”pod（如果它们尚未被隔离）
2.  允许从default空间中标签为“role = frontend”的任何pods访问default空间中的“role = db”的pods
3.  允许连接到空间中标签为“project = myproject”的任何pod的default命名空间中的“role = db”pod的TCP端口6379
4.  允许链接default空间中label为role=db TCP端口是6379 的IP的CIDR在10.0.0.0/2而不在172.17.1.0/24中
5.  允许链接default空间中label为role=db CIDR为10.0.0.0/24 TCP端口是5978

**默认策略**

默认拒绝所有入口流量

apiVersion: networking.k8s.io/v1
    kind: NetworkPolicy
    metadata:
      name: default-deny
    spec:
      podSelector: {}
      policyTypes:
      - Ingress

默认允许所有入口流量

apiVersion: networking.k8s.io/v1
    kind: NetworkPolicy
    metadata:
      name: allow-all
    spec:
      podSelector: {}
      ingress:
      - {}

默认拒绝所有出口流量

apiVersion: networking.k8s.io/v1
    kind: NetworkPolicy
    metadata:
      name: default-deny
    spec:
      podSelector: {}
      policyTypes:
      - Egress

默认允许所有出口流量

apiVersion: networking.k8s.io/v1
    kind: NetworkPolicy
    metadata:
      name: allow-all
    spec:
      podSelector: {}
      egress:
      - {}
      policyTypes:
      - Egress

默认拒绝所有入口和所有出口流量

apiVersion: networking.k8s.io/v1
    kind: NetworkPolicy
    metadata:
      name: default-deny
    spec:
      podSelector: {}
      policyTypes:
      - Ingress
      - Egress

END  
参考  
[network-policies][]

[network-policies]: https://kubernetes.io/docs/concepts/services-networking/network-policies/