041.集群網路-K8S網路策略

来源:https://www.cnblogs.com/itzgr/archive/2020/03/25/12564963.html

一 Kubernetes網路策略 1.1 策略說明 為實現細粒度的容器間網路訪問隔離策略,Kubernetes發佈Network Policy,目前已升級為networking.k8s.io/v1穩定版本。 Network Policy的主要功能是對Pod間的網路通信進行限制和準入控制,設置方式為將 ...


一 Kubernetes網路策略

1.1 策略說明

為實現細粒度的容器間網路訪問隔離策略,Kubernetes發佈Network Policy,目前已升級為networking.k8s.io/v1穩定版本。
Network Policy的主要功能是對Pod間的網路通信進行限制和準入控制,設置方式為將Pod的Label作為查詢條件,設置允許訪問或禁止訪問的客戶端Pod列表。目前查詢條件可以作用於Pod和Namespace級別。
為了使用Network Policy,Kubernetes引入了一個新的資源對象Network Policy,供用戶設置Pod間網路訪問的策略。但僅定義一個網路策略是無法完成實際的網路隔離的,還需要一個策略控制器(Policy Controller)進行策略的實現。
策略控制器由第三方網路組件提供,目前Calico、Cilium、Kube-router、Romana、WeaveNet等開源項目均支持網路策略的實現。Network Policy的工作原理如下所示,policy controller需要實現一個API Listener,監聽用戶設置的Network Policy定義,並將網路訪問規則通過各Node的Agent進行實際設置(Agent則需要通過CNI網路插件實現)。
clipboard

1.2 網路策略配置

網路策略的設置主要用於對目標Pod的網路訪問進行限制,在預設情況下對所有Pod都是允許訪問的,在設置了指向Pod的Network Policy網路策略之後,訪問Pod將會被限制。
示例1:
[[email protected] study]# vi networkpolicy_01.yaml
  1 apiVersion:  networking.k8s.io/v1
  2 kind: NetworkPolicy
  3 metadata:
  4   name: test-network-policy
  5   namespace: default
  6 spec:
  7   podSelector:
  8     matchLabels:
  9       role: db
 10   policyTypes:
 11   - Ingress
 12   - Egress
 13   ingress:
 14   - from:
 15     - ipBlock:
 16         cidr: 172.17.0.0/16
 17         except:
 18         - 172.17.1.0/24
 19     - namespacesSelector:
 20         matchLabels:
 21           project: mopoject
 22     - podSelector:
 23         matchLabels:
 24           role: frontend
 25     ports:
 26     - protocol: TCP
 27       port: 6379
 28   egress:
 29   - to:
 30     - ipBlock:
 31         cidr: 10.0.0.0/24
 32       ports:
 33       - protocol: TCP
 34         port: 5978
參數解釋:
  • podSelector:用於定義該網路策略作用的Pod範圍,本例的選擇條件為包含“role=db”標簽的Pod。
  • policyTypes:網路策略的類型,包括ingress和egress兩種,用於設置目標Pod的入站和出站的網路限制。
  • ingress:定義允許訪問目標Pod的入站白名單規則,滿足from條件的客戶端才能訪問ports定義的目標Pod埠號。
    • -from:對符合條件的客戶端Pod進行網路放行,規則包括基於客戶端Pod的Label、基於客戶端Pod所在的Namespace的Label或者客戶端的IP範圍。
    • -ports:允許訪問的目標Pod監聽的埠號。
  • egress:定義目標Pod允許訪問的“出站”白名單規則,目標Pod僅允許訪問滿足to條件的服務端IP範圍和ports定義的埠號。
    • -to:允許訪問的服務端信息,可以基於服務端Pod的Label、基於服務端Pod所在的Namespace的Label或者服務端IP範圍。
    • -ports:允許訪問的服務端的埠號。
如上示例的最終效果如下:
  • 該網路策略作用於Namespace“default”中含有“role=db”Label的全部Pod。
  • 允許與目標Pod在同一個Namespace中的包含“role=frontend”Label的客戶端Pod訪問目標Pod。
  • 允許屬於包含“project=myproject”Label的Namespace的客戶端Pod訪問目標Pod。
  • 允許從IP地址範圍“172.17.0.0/16”的客戶端Pod訪問目標Pod,但是不包括IP地址範圍“172.17.1.0/24”的客戶端。
  • 允許目標Pod訪問IP地址範圍“10.0.0.0/24”並監聽5978埠的服務。
註意:關於namespaceSelector和podSelector的說明:在from或to的配置中,namespaceSelector和podSelector可以單獨設置,也可以組合配置。如果僅配置podSelector,則表示與目標Pod屬於相同的Namespace,而組合設置則可以設置Pod所屬的Namespace,例如:
  1  - from:
  2     - namespacesSelector:
  3         matchLabels:
  4           project: mopoject
  5     - podSelector:
  6         matchLabels:
  7           role: frontend
如上表示允許訪問目標Pod的來源客戶端Pod應具有如下屬性:屬於有“project=myproject”標簽的Namespace,並且有“role=frontend”標簽。

1.3 Namespace級別策略

在Namespace級別還可以設置一些預設的全局網路策略,以方便管理員對整個Namespace進行統一的網路策略設置。
示例1:預設禁止任何客戶端訪問該Namespace中的所有Pod。
  1 apiVersion: networking.k8s.io/v1
  2 kind: NetworkPolicy
  3 metadata:
  4   name: default-deny
  5 spec:
  6   podSelector: {}
  7   policyTypes:
  8   - Ingress
示例2:預設允許任何客戶端訪問該Namespace中的所有Pod。
  1 apiVersion: networking.k8s.io/v1
  2 kind: NetworkPolicy
  3 metadata:
  4   name: allow-all
  5 spec:
  6   podSelector: {}
  7   ingress:
  8   - {}
  9   policyTypes:
 10   - Ingress
示例3:預設禁止該Namespace中的所有Pod訪問外部服務。
  1 apiVersion: networking.k8s.io/v1
  2 kind: NetworkPolicy
  3 metadata:
  4   name: default-deny
  5 spec:
  6   podSelector: {}
  7   policyTypes:
  8   - Egress
示例4:預設允許該Namespace中的所有Pod訪問外部服務。
  1 apiVersion: networking.k8s.io/v1
  2 kind: NetworkPolicy
  3 metadata:
  4   name: allow-all
  5 spec:
  6   podSelector:{}
  7   egress:
  8   - {}
  9   policyTypes:
 10   - Egress
示例5:預設禁止任何客戶端訪問該Namespace中的所有Pod,同時禁止訪問外部服務。
  1 apiVersion: networking.k8s.io/v1
  2 kind: NetworkPolicy
  3 metadata:
  4   name: default-deny
  5 spec:
  6   podSelector: {}
  7   policyTypes:
  8   - Ingress
  9   - Egress

您的分享是我們最大的動力!

更多相關文章
  • ``` # 打開或新建一個文件 $ nano tmp.txt # 常用組合按鍵 ^G:獲取幫助 ^X:退出,如果文件有改定會提示是否保存 ^O:保存文件內容 ^R:讀取其他文件的內容,放入到當前文件中 ^W:查找字元串 ^C:顯示游標所在的行和列 ^_:跳轉到指定行 M-G:同 ^_,跳轉到指定行 ... ...
  • 一 Prometheus概述 1.1 Prometheus簡介 Prometheus是由SoundCloud公司開發的開源監控系統,是繼Kubernetes之後CNCF第2個畢業的項目,在容器和微服務領域得到了廣泛應用。Prometheus的主要特點如下: 使用指標名稱及鍵值對標識的多維度數據模型。 ...
  • 寫在前面 對於iet論文,如果實在不想調整word的模板以及安裝$LaTeX$軟體 請直接到https://www.overleaf.com/網站的 "Template for IET Research Journals" iet的模板latex 最近用IET的期刊模板寫論文IET_Research ...
  • 剛裝好的Linux系統出現所有home目錄下的文件全部出現到桌面,對於處女座的人來說,實在是彆扭至極,因此果斷調整。 重啟關機命令點擊此處 原桌面 #1.用vim編輯器打開文件,或者用gedit、nano打開都可以,這裡以vim為例 sudo vim ~/home/velma(用戶名)/.confi ...
  • while迴圈用於不斷執行一系列命令,也用於從輸入文件中讀取數據。命令執行完畢,控制返回迴圈頂部,從頭開始直至測試條件為假。 [toc] 語法格式 無限迴圈的實現 寫法一 寫法二 while讀取鍵盤信息 下麵這段代碼可以接收一行鍵盤的輸入,然後把輸入的內容覆述在屏幕上,就像復讀機一樣。當然,我沒給它 ...
  • 實例 這個命令比較厲害。。 nohup 加在一個命令的最前面,表示不掛斷的運行命令 & 載入一個命令的最後面,表示這個命令放在後臺執行 查看後臺運行的命令 有兩個命令可以來查看,ps 和 jobs。區別在於 jobs 只能查看當前終端後臺執行的任務,換了終端就看不見了。而ps命令適用於查看瞬時進程的 ...
  • 1. touch + qwe.txt(文件名 ) 創建文件akk.txt文件 2.vi akk.txt vi為進入vim編輯器命令,意為在vim編輯器中編輯qwe.txt文件 3.i i意為insert為輸入模式,輸入i之後你就可以開始編輯這個txt文件了 4.esc 退出編輯模式 5. :wq 保 ...
  • 目錄導航 1、啟用網路發現和密碼訪問共用 2、設置用於訪問共用文件夾的用戶和密碼 3、創建共用文件夾並設置訪問許可權 4、訪問共用的文件夾 1、啟用網路發現和密碼訪問共用 返回目錄導航 1.1 使用組合鍵“Win+R”打開運行視窗,輸入“control”打開控制面板 1.2 在控制面板中,點擊“查看網 ...
一周排行
  • 前幾天發佈了 "抄抄《CSS 故障藝術》的動畫" 這篇文章,在這篇文章里介紹瞭如何使用Win2D繪製文字然後配合BlendEffect製作故障藝術的動畫。本來打算就這樣收手不玩這個動畫了,但後來又發現性能不符合理想。明明只是做做Resize動畫和用BlendEffect混合,為什麼性能會這麼差呢? ...
  • 控制條控制項: progressBar 不能按照你程式的進程自動變化,需認為計算,調整變化量 private void progressBar1_Click(object sender, EventArgs e) { this.progressBar1.Maximum = 100;//設置進度條最大長 ...
  • 首先創建一個asp.net core web應用程式 第二步 目前官方預置了7種模板項目供我們選擇。從中我們可以看出,既有我們熟悉的MVC、WebAPI,又新添加了Razor Page,以及結合比較流行的Angular、React前端框架的模板項目。 空項目模板 Program.cs using S ...
  • 對閉包的理解 1.對於成員變數和局部變數:成員變數就是方法外部,類的內部定義的變數;局部變數就是方法或語句塊內部定義的變數。局部變數必須初始化。 形式參數是局部變數,局部變數的數據存在於棧記憶體中。棧記憶體中的局部變數隨著方法的消失而消失。成員變數存儲在堆中的對象裡面,由垃圾回收器負責回收。 成員變數它 ...
  • Xamarin.Forms讀取並展示Android和iOS通訊錄 TerminalMACS客戶端 本文同步更新地址: https://dotnet9.com/11520.html https://terminalmacs.com/861.html 閱讀導航: 一、功能說明 二、代碼實現 三、源碼獲取 ...
  • 做下對文件複製操作相關的筆記: /// <summary> /// 文件幫助類 /// </summary> public class FileHelper { /// <summary> /// 複製一個目錄下所有文件到一個新目錄下 /// </summary> /// <param name=" ...
  • 前言 有一個東西叫做鴨子類型,所謂鴨子類型就是,只要一個東西表現得像鴨子那麼就能推出這玩意就是鴨子。 C 裡面其實也暗藏了很多類似鴨子類型的東西,但是很多開發者並不知道,因此也就沒法好好利用這些東西,那麼今天我細數一下這些藏在編譯器中的細節。 不是只有 和 才能 在 C 中編寫非同步代碼的時候,我們經 ...
  • [toc] 1.應用背景 底端設備有大量網路報文(位元組數組):心跳報文,數據採集報文,告警報文上報。需要有對應的報文結構去解析這些位元組流數據。 2.結構體解析 由此,我第一點就想到了用結構體去解析。原因有以下兩點: 2.1.結構體存在棧中 類屬於引用類型,存在堆中;結構體屬於值類型,存在棧中,在一個 ...
  • 《深入淺出 C#》 (第3版) [作者] (美) Andrew Stellman (美) Jennifer Greene[譯者] (中) 徐陽 丁小峰 等譯[出版] 中國電力出版社[版次] 2016年08月 第1版[印次] 2018年04月 第4次 印刷[定價] 148.00元 【引子】 要學習編程 ...
  • 記錄使用對象初始值設定項初始化對象。 using System; using System.Collections.Generic; namespace ConsoleApp2 { class Program { static void Main(string[] args) { // 使用構造函數 ...
x