041.集群網路-K8S網路策略

来源:https://www.cnblogs.com/itzgr/archive/2020/03/25/12564963.html

一 Kubernetes網路策略 1.1 策略說明 為實現細粒度的容器間網路訪問隔離策略,Kubernetes發佈Network Policy,目前已升級為networking.k8s.io/v1穩定版本。 Network Policy的主要功能是對Pod間的網路通信進行限制和準入控制,設置方式為將 ...


一 Kubernetes網路策略

1.1 策略說明

為實現細粒度的容器間網路訪問隔離策略,Kubernetes發佈Network Policy,目前已升級為networking.k8s.io/v1穩定版本。
Network Policy的主要功能是對Pod間的網路通信進行限制和準入控制,設置方式為將Pod的Label作為查詢條件,設置允許訪問或禁止訪問的客戶端Pod列表。目前查詢條件可以作用於Pod和Namespace級別。
為了使用Network Policy,Kubernetes引入了一個新的資源對象Network Policy,供用戶設置Pod間網路訪問的策略。但僅定義一個網路策略是無法完成實際的網路隔離的,還需要一個策略控制器(Policy Controller)進行策略的實現。
策略控制器由第三方網路組件提供,目前Calico、Cilium、Kube-router、Romana、WeaveNet等開源項目均支持網路策略的實現。Network Policy的工作原理如下所示,policy controller需要實現一個API Listener,監聽用戶設置的Network Policy定義,並將網路訪問規則通過各Node的Agent進行實際設置(Agent則需要通過CNI網路插件實現)。
clipboard

1.2 網路策略配置

網路策略的設置主要用於對目標Pod的網路訪問進行限制,在預設情況下對所有Pod都是允許訪問的,在設置了指向Pod的Network Policy網路策略之後,訪問Pod將會被限制。
示例1:
[[email protected] study]# vi networkpolicy_01.yaml
  1 apiVersion:  networking.k8s.io/v1
  2 kind: NetworkPolicy
  3 metadata:
  4   name: test-network-policy
  5   namespace: default
  6 spec:
  7   podSelector:
  8     matchLabels:
  9       role: db
 10   policyTypes:
 11   - Ingress
 12   - Egress
 13   ingress:
 14   - from:
 15     - ipBlock:
 16         cidr: 172.17.0.0/16
 17         except:
 18         - 172.17.1.0/24
 19     - namespacesSelector:
 20         matchLabels:
 21           project: mopoject
 22     - podSelector:
 23         matchLabels:
 24           role: frontend
 25     ports:
 26     - protocol: TCP
 27       port: 6379
 28   egress:
 29   - to:
 30     - ipBlock:
 31         cidr: 10.0.0.0/24
 32       ports:
 33       - protocol: TCP
 34         port: 5978
參數解釋:
  • podSelector:用於定義該網路策略作用的Pod範圍,本例的選擇條件為包含“role=db”標簽的Pod。
  • policyTypes:網路策略的類型,包括ingress和egress兩種,用於設置目標Pod的入站和出站的網路限制。
  • ingress:定義允許訪問目標Pod的入站白名單規則,滿足from條件的客戶端才能訪問ports定義的目標Pod埠號。
    • -from:對符合條件的客戶端Pod進行網路放行,規則包括基於客戶端Pod的Label、基於客戶端Pod所在的Namespace的Label或者客戶端的IP範圍。
    • -ports:允許訪問的目標Pod監聽的埠號。
  • egress:定義目標Pod允許訪問的“出站”白名單規則,目標Pod僅允許訪問滿足to條件的服務端IP範圍和ports定義的埠號。
    • -to:允許訪問的服務端信息,可以基於服務端Pod的Label、基於服務端Pod所在的Namespace的Label或者服務端IP範圍。
    • -ports:允許訪問的服務端的埠號。
如上示例的最終效果如下:
  • 該網路策略作用於Namespace“default”中含有“role=db”Label的全部Pod。
  • 允許與目標Pod在同一個Namespace中的包含“role=frontend”Label的客戶端Pod訪問目標Pod。
  • 允許屬於包含“project=myproject”Label的Namespace的客戶端Pod訪問目標Pod。
  • 允許從IP地址範圍“172.17.0.0/16”的客戶端Pod訪問目標Pod,但是不包括IP地址範圍“172.17.1.0/24”的客戶端。
  • 允許目標Pod訪問IP地址範圍“10.0.0.0/24”並監聽5978埠的服務。
註意:關於namespaceSelector和podSelector的說明:在from或to的配置中,namespaceSelector和podSelector可以單獨設置,也可以組合配置。如果僅配置podSelector,則表示與目標Pod屬於相同的Namespace,而組合設置則可以設置Pod所屬的Namespace,例如:
  1  - from:
  2     - namespacesSelector:
  3         matchLabels:
  4           project: mopoject
  5     - podSelector:
  6         matchLabels:
  7           role: frontend
如上表示允許訪問目標Pod的來源客戶端Pod應具有如下屬性:屬於有“project=myproject”標簽的Namespace,並且有“role=frontend”標簽。

1.3 Namespace級別策略

在Namespace級別還可以設置一些預設的全局網路策略,以方便管理員對整個Namespace進行統一的網路策略設置。
示例1:預設禁止任何客戶端訪問該Namespace中的所有Pod。
  1 apiVersion: networking.k8s.io/v1
  2 kind: NetworkPolicy
  3 metadata:
  4   name: default-deny
  5 spec:
  6   podSelector: {}
  7   policyTypes:
  8   - Ingress
示例2:預設允許任何客戶端訪問該Namespace中的所有Pod。
  1 apiVersion: networking.k8s.io/v1
  2 kind: NetworkPolicy
  3 metadata:
  4   name: allow-all
  5 spec:
  6   podSelector: {}
  7   ingress:
  8   - {}
  9   policyTypes:
 10   - Ingress
示例3:預設禁止該Namespace中的所有Pod訪問外部服務。
  1 apiVersion: networking.k8s.io/v1
  2 kind: NetworkPolicy
  3 metadata:
  4   name: default-deny
  5 spec:
  6   podSelector: {}
  7   policyTypes:
  8   - Egress
示例4:預設允許該Namespace中的所有Pod訪問外部服務。
  1 apiVersion: networking.k8s.io/v1
  2 kind: NetworkPolicy
  3 metadata:
  4   name: allow-all
  5 spec:
  6   podSelector:{}
  7   egress:
  8   - {}
  9   policyTypes:
 10   - Egress
示例5:預設禁止任何客戶端訪問該Namespace中的所有Pod,同時禁止訪問外部服務。
  1 apiVersion: networking.k8s.io/v1
  2 kind: NetworkPolicy
  3 metadata:
  4   name: default-deny
  5 spec:
  6   podSelector: {}
  7   policyTypes:
  8   - Ingress
  9   - Egress

您的分享是我們最大的動力!

更多相關文章
  • ``` # 打開或新建一個文件 $ nano tmp.txt # 常用組合按鍵 ^G:獲取幫助 ^X:退出,如果文件有改定會提示是否保存 ^O:保存文件內容 ^R:讀取其他文件的內容,放入到當前文件中 ^W:查找字元串 ^C:顯示游標所在的行和列 ^_:跳轉到指定行 M-G:同 ^_,跳轉到指定行 ... ...
  • 一 Prometheus概述 1.1 Prometheus簡介 Prometheus是由SoundCloud公司開發的開源監控系統,是繼Kubernetes之後CNCF第2個畢業的項目,在容器和微服務領域得到了廣泛應用。Prometheus的主要特點如下: 使用指標名稱及鍵值對標識的多維度數據模型。 ...
  • 寫在前面 對於iet論文,如果實在不想調整word的模板以及安裝$LaTeX$軟體 請直接到https://www.overleaf.com/網站的 "Template for IET Research Journals" iet的模板latex 最近用IET的期刊模板寫論文IET_Research ...
  • 剛裝好的Linux系統出現所有home目錄下的文件全部出現到桌面,對於處女座的人來說,實在是彆扭至極,因此果斷調整。 重啟關機命令點擊此處 原桌面 #1.用vim編輯器打開文件,或者用gedit、nano打開都可以,這裡以vim為例 sudo vim ~/home/velma(用戶名)/.confi ...
  • while迴圈用於不斷執行一系列命令,也用於從輸入文件中讀取數據。命令執行完畢,控制返回迴圈頂部,從頭開始直至測試條件為假。 [toc] 語法格式 無限迴圈的實現 寫法一 寫法二 while讀取鍵盤信息 下麵這段代碼可以接收一行鍵盤的輸入,然後把輸入的內容覆述在屏幕上,就像復讀機一樣。當然,我沒給它 ...
  • 實例 這個命令比較厲害。。 nohup 加在一個命令的最前面,表示不掛斷的運行命令 & 載入一個命令的最後面,表示這個命令放在後臺執行 查看後臺運行的命令 有兩個命令可以來查看,ps 和 jobs。區別在於 jobs 只能查看當前終端後臺執行的任務,換了終端就看不見了。而ps命令適用於查看瞬時進程的 ...
  • 1. touch + qwe.txt(文件名 ) 創建文件akk.txt文件 2.vi akk.txt vi為進入vim編輯器命令,意為在vim編輯器中編輯qwe.txt文件 3.i i意為insert為輸入模式,輸入i之後你就可以開始編輯這個txt文件了 4.esc 退出編輯模式 5. :wq 保 ...
  • 目錄導航 1、啟用網路發現和密碼訪問共用 2、設置用於訪問共用文件夾的用戶和密碼 3、創建共用文件夾並設置訪問許可權 4、訪問共用的文件夾 1、啟用網路發現和密碼訪問共用 返回目錄導航 1.1 使用組合鍵“Win+R”打開運行視窗,輸入“control”打開控制面板 1.2 在控制面板中,點擊“查看網 ...
一周排行
  • 一、直接使用線程的問題每次都要創建Thread對象,並向操作系統申請創建一個線程,這是需要耗費CPU時間和記憶體資源的。無法直接獲取線程函數返回值無法直接捕捉線程函數內發生的異常 使用線程池可以解決第一個問題二、.NET中的線程池 在這裡只簡單的介紹一下ThreadPool,由於TPL的存在,我工作中... ...
  • 上次課程我們新建了管理員的模板頁。 本次我們就完善這個模板頁,順便加入樣式和一些基本的組件,配置好整個項目的UI風格。 一、引入 共用的css和js文件 後端庫用nuget, 前端庫用libman. 右鍵wwwroot文件夾,選擇菜單 Add / Client-Side Library 我們使用ad ...
  • 場景 在使用IIS部署ASP.NET的Web項目時提示: InvalidOperationException:未能映射路徑“/” 註: 博客: https://blog.csdn.net/badao_liumang_qizhi 關註公眾號 霸道的程式猿 獲取編程相關電子書、教程推送與免費下載。 實現 ...
  • 場景 ASP.NET中新建MVC項目並連接SqlServer資料庫實現增刪改查: https://blog.csdn.net/BADAO_LIUMANG_QIZHI/article/details/107024544 在上面實現了新建簡單的MVC項目以及連接資料庫實現簡單的增刪改查後怎樣將網站部署到 ...
  • --先給GridView控制項註冊滑鼠按下事件gv.MouseDown += new System.Windows.Forms.MouseEventHandler(this.gv_MouseDown); --在滑鼠按下事件裡面增加滑鼠右鍵判斷,並增加滑鼠右鍵菜單複製單元格功能。 private voi ...
  • 用C#代替Javascript來做Web應用,是有多爽? 今天聊聊 Blazor。 Blazor 是一個 Web UI 框架。這個框架允許開發者使用 C# 來創建可運行於瀏覽器的具有完全交互 UI 的 Web 應用。 可以理解為,這是一個 C# 語言的 Vue / Angular / React,可 ...
  • 場景 ASP.NET中新建Web網站並部署到IIS上(詳細圖文教程): https://blog.csdn.net/BADAO_LIUMANG_QIZHI/article/details/107199747 在上面博客中已經將網站部署到了IIS上。 但是如果網站很大,頁面比較多,甚至每個頁面都有不少 ...
  • 從事這麼多年的.NET,這段時間來,學習另外一門技術Python。 購買相關的書籍,不停地看書。 然後在VS安裝Python,然後可以上機練習,編寫代碼...... ...
  • 一個微小的投入就會帶來巨大的突變 集群安全模式 為什麼出現集群安全模式呢? ​ Namenode啟動時,首先將鏡像文件載人記憶體,並執行編輯日誌中的各項操作。一旦在內存中成功建立文件系統元數據的映像,則創建一個新的Fsimage文件和一個空的編輯日誌。此時,** Namenode開始監聽Datanod ...
  • 1. 通過new對象實現反射機制( 對象.getClass() ) 2. 通過路徑實現反射機制( Class.forName("包名.類名") ) 3. 通過類名實現反射機制 ( 類名.Class ) class Student { private int id; String name; prot ...