041.集群網路-K8S網路策略

一 Kubernetes網路策略

1.1 策略說明

1.2 網路策略配置

  1 apiVersion:  networking.k8s.io/v1
  2 kind: NetworkPolicy
  3 metadata:
  4   name: test-network-policy
  5   namespace: default
  6 spec:
  7   podSelector:
  8     matchLabels:
  9       role: db
 10   policyTypes:
 11   - Ingress
 12   - Egress
 13   ingress:
 14   - from:
 15     - ipBlock:
 16         cidr: 172.17.0.0/16
 17         except:
 18         - 172.17.1.0/24
 19     - namespacesSelector:
 20         matchLabels:
 21           project: mopoject
 22     - podSelector:
 23         matchLabels:
 24           role: frontend
 25     ports:
 26     - protocol: TCP
 27       port: 6379
 28   egress:
 29   - to:
 30     - ipBlock:
 31         cidr: 10.0.0.0/24
 32       ports:
 33       - protocol: TCP
 34         port: 5978

• podSelector：用於定義該網路策略作用的Pod範圍，本例的選擇條件為包含“role=db”標簽的Pod。
• policyTypes：網路策略的類型，包括ingress和egress兩種，用於設置目標Pod的入站和出站的網路限制。
• ingress：定義允許訪問目標Pod的入站白名單規則，滿足from條件的客戶端才能訪問ports定義的目標Pod埠號。
• -from：對符合條件的客戶端Pod進行網路放行，規則包括基於客戶端Pod的Label、基於客戶端Pod所在的Namespace的Label或者客戶端的IP範圍。
• -ports：允許訪問的目標Pod監聽的埠號。
• egress：定義目標Pod允許訪問的“出站”白名單規則，目標Pod僅允許訪問滿足to條件的服務端IP範圍和ports定義的埠號。
• -to：允許訪問的服務端信息，可以基於服務端Pod的Label、基於服務端Pod所在的Namespace的Label或者服務端IP範圍。
• -ports：允許訪問的服務端的埠號。

• 該網路策略作用於Namespace“default”中含有“role=db”Label的全部Pod。
• 允許與目標Pod在同一個Namespace中的包含“role=frontend”Label的客戶端Pod訪問目標Pod。
• 允許屬於包含“project=myproject”Label的Namespace的客戶端Pod訪問目標Pod。
• 允許從IP地址範圍“172.17.0.0/16”的客戶端Pod訪問目標Pod，但是不包括IP地址範圍“172.17.1.0/24”的客戶端。
• 允許目標Pod訪問IP地址範圍“10.0.0.0/24”並監聽5978埠的服務。

  1  - from:
  2     - namespacesSelector:
  3         matchLabels:
  4           project: mopoject
  5     - podSelector:
  6         matchLabels:
  7           role: frontend

1.3 Namespace級別策略

  1 apiVersion: networking.k8s.io/v1
  2 kind: NetworkPolicy
  3 metadata:
  4   name: default-deny
  5 spec:
  6   podSelector: {}
  7   policyTypes:
  8   - Ingress

  1 apiVersion: networking.k8s.io/v1
  2 kind: NetworkPolicy
  3 metadata:
  4   name: allow-all
  5 spec:
  6   podSelector: {}
  7   ingress:
  8   - {}
  9   policyTypes:
 10   - Ingress

  1 apiVersion: networking.k8s.io/v1
  2 kind: NetworkPolicy
  3 metadata:
  4   name: default-deny
  5 spec:
  6   podSelector: {}
  7   policyTypes:
  8   - Egress

  1 apiVersion: networking.k8s.io/v1
  2 kind: NetworkPolicy
  3 metadata:
  4   name: allow-all
  5 spec:
  6   podSelector:{}
  7   egress:
  8   - {}
  9   policyTypes:
 10   - Egress

  1 apiVersion: networking.k8s.io/v1
  2 kind: NetworkPolicy
  3 metadata:
  4   name: default-deny
  5 spec:
  6   podSelector: {}
  7   policyTypes:
  8   - Ingress
  9   - Egress