Kubernetes那点事儿——k8s网络策略

最新推荐文章于 2025-01-12 22:14:11 发布

偷学技术的梁胖胖yo

最新推荐文章于 2025-01-12 22:14:11 发布

阅读量675

点赞数 8

CC 4.0 BY-SA版权

分类专栏： Kubernetes 文章标签： kubernetes 网络容器

本文链接：https://blog.csdn.net/liangpangpangyo/article/details/137771059

Kubernetes 专栏收录该内容

18 篇文章

订阅专栏

本文详细介绍了Kubernetes(k8s)的网络策略，如何在Pod和命名空间层面进行访问控制，包括入口和出口方向的隔离规则，并提供了两个示例来展示不同场景下的网络策略应用。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

网络策略

网络策略（Network Policy），用于限制Pod出入流量，提供Pod级别和Namespace级别网络访问控制。
一些应用场景：

应用程序间的访问控制。例如微服务A允许访问微服务B，微服务C不能访问微服务A
开发环境命名空间不能访问测试环境命名空间Pod
当Pod暴露到外部时，需要做Pod白名单
多租户网络环境隔离

Pod网络入口方向隔离：

基于Pod级网络隔离：只允许特定对象访问Pod（使用标签定义），允许白名单上的IP地址或者IP段访问Pod
基于Namespace级网络隔离：多个命名空间，A和B命名空间Pod完全隔离。

Pod网络出口方向隔离：

拒绝某个Namespace上所有Pod访问外部
基于目的IP的网络隔离：只允许Pod访问白名单上的IP地址或者IP段
基于目标端口的网络隔离：只允许Pod访问白名单上的端口

示例1

需求将default命名空间携带app=web标签的Pod隔离，只允许default命名空间携带run=client标签的Pod访问80端口

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: test-network-policy
  namespace: default
spec:
  podSelector:
    matchLabels:
      app: web
  policyTypes:
  - Ingress
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          project: default
    - podSelector:
        matchLabels:
          run: client
    ports:
    - protocol: TCP
      port: 80

示例2

需求 default命名空间下所有pod可以互相访问，也可以访问其他命名空间Pod，但其他命名空间不能访问default命名空间Pod

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-from-other-namespaces
  namespace: default
spec:
  podSelector: {} # 该字段为空，默认全部pod
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector: {} # 该字段为空，默认不允许