2、玩转k8s之网络策略 network policy 快速入门

当为namespaceSelector选中 kubernetes.io/metadata.name 为 lisi 的时候，此刻该名称空间下的所有pod 都能访问目标 tanqidi 名称空间下的 tanqidi-db的pod，但是紧接着你使用了 and关系添加了podSelector 为 app: lisi-service，换而言之条件就变小了变成lisi的namespace 下的 lisi-s

世界哪有真理在

1038人浏览 · 2024-02-29 18:01:07

世界哪有真理在 · 2024-02-29 18:01:07 发布

写在最前

请注意你的集群 cni 插件是否支持网络策略功能，否则将无法生效
podSelector 容器选择器在选择目标，入站 ingress，出站 egress 均可使用

podSelector

网络策略的组成是选中一组目标pod，然后对这一组目标pod进行限制出入站

选择所有

default 名称空间
选中所有 default 名称空间下的所有pod容器

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  namespace: default
  name: test-policy
spec:
  podSelector: {}

标签选择

default 名称空间
选中 default 名称空间中带有app: nginx标签的pod容器

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  namespace: default
  name: test-policy
spec:
  podSelector: 
    matchLabels:
      app: nginx

标签表达式

default 名称空间
选中 default 名称空间中带有app标签包含 nginx，tomcat，kafka的pod容器

operator有In 包含、NotIn 不包含、DoesNotExist 不存在。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  namespace: default
  name: test-policy
spec:
  podSelector:
    matchExpressions:
      - key: app
        operator: In
        values:
          - nginx
          - tomcat
          - kafka

policyTypes

完成 podSelector 只是第一步，第二步则是配置策略类型

policyTypes 有两个值，一个是 Ingress(进站流量) 另一个是Egress(出站流量)

ingress

拒绝所有入站流量

tanqidi 名称空间
选中 tanqidi 名称空间中带有app标签是 tanqidi-service 的pod容器
拒绝任何流量入站

如果你只写上了 policyTypes 却没有写它的具体实现，则表示拒绝所有

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  namespace: tanqidi
  name: tanqidi-service
spec:
  podSelector:
    matchLabels:
      app: tanqidi-service
  policyTypes:
  - Ingress

允许所有入站流量

tanqidi 名称空间
选中 tanqidi 名称空间中带有app标签是 tanqidi-service 的pod容器
允许当前 namespace 中的其他pod容器访问我

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  namespace: tanqidi
  name: tanqidi-service
spec:
  podSelector:
    matchLabels:
      app: tanqidi-service
  policyTypes:
    - Ingress
  
  ingress:
    - from:
        - podSelector: {}

标签选择

tanqidi 名称空间
选中 tanqidi 名称空间中带有app标签是 tanqidi-service 的pod容器
允许当前 namespace 中的 app 标签是 tanqidi-web 的pod容器访问我

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  namespace: tanqidi
  name: tanqidi-service
spec:
  podSelector:
    matchLabels:
      app: tanqidi-service
  policyTypes:
    - Ingress
  
  ingress:
    - from:
        - podSelector: 
            matchLabels:
              app: tanqidi-web

标签表达式

tanqidi 名称空间
选中 tanqidi 名称空间中带有app标签是 tanqidi-service 的pod容器
允许当前 namespace 中的 app 标签包含 tanqidi-web、tanqidi-mgt、tanqid-center 的pod容器访问我

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  namespace: tanqidi
  name: tanqidi-service
spec:
  podSelector:
    matchLabels:
      app: tanqidi-service
  policyTypes:
    - Ingress

  ingress:
    - from:
        - podSelector:
            matchExpressions:
              #可以是任意你想选择的标签
              - key: app 
                operator: In
                values:
                  - tanqidi-web
                  - tanqidi-mgt
                  - tanqidi-center

跨 namespace 入站流量

tanqidi 名称空间
选中 tanqidi 名称空间中带有app标签是 tanqidi-service 的pod容器
允许 lisi 名称空间下的所有pod访问我

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  namespace: tanqidi
  name: tanqidi-service
spec:
  podSelector:
    matchLabels:
      app: tanqidi-service
  policyTypes:
    - Ingress

  ingress:
    - from:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: lisi

跨 namespace 入站流量，and关系

tanqidi 名称空间
选中 tanqidi 名称空间中带有app标签是 tanqidi-service 的pod容器
允许 lisi 名称空间的并且 app 标签是 lisi-service 的pod访问我

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  namespace: tanqidi
  name: tanqidi-service
spec:
  podSelector:
    matchLabels:
      app: tanqidi-service
  policyTypes:
    - Ingress

  ingress:
    - from:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: lisi
          # 开头没有-表示 and关系
          podSelector:
            matchLabels:
              app: lisi-service

cidr 网段入站流量限制

tanqidi 名称空间
选中 tanqidi 名称空间中带有app标签是 tanqidi-service 的pod容器
允许 pod 的 cidr 网段为 172.22.64.0/24 的 pod 容器访问我

请注意！！！网络策略中的 ipBlock 无法识别外网ip，因为 kube-proxy 代理过来访问目标容器会被转换成为宿主机的 tun0 虚拟网卡的ip而源 ip 则会丢失

简而言之网络策略的 ipBlock 是为此而应用的，不是对外网的入站 ip 进行限制，那种限制是属于云主机入站安全组白名单功能

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  namespace: tanqidi
  name: tanqidi-service
spec:
  podSelector:
    matchLabels:
      app: tanqidi-service
  policyTypes:
    - Ingress

  ingress:
    - from:
        - ipBlock:
            cidr: 172.23.64.0/24

egress

拒绝所有出站流量

tanqidi 名称空间
选中 tanqidi 名称空间中带有app标签是 tanqidi-service 的pod容器
拒绝所有流量出站

如果你只写上了 policyTypes 却没有写它的具体实现，则表示拒绝所有

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  namespace: tanqidi
  name: tanqidi-service
spec:
  podSelector:
    matchLabels:
      app: tanqidi-service
  policyTypes:
    - Egress

允许所有出站流量

tanqidi 名称空间
选中 tanqidi 名称空间中带有app标签是 tanqidi-service 的pod容器
允许出站到当前名称空间

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  namespace: tanqidi
  name: tanqidi-service
spec:
  podSelector:
    matchLabels:
      app: tanqidi-service
  policyTypes:
    - Egress
  egress:
    - to:
        - podSelector: {}

跨 namespace 出站流量

目标

tanqidi 名称空间
选中 tanqidi 名称空间中带有app标签是 tanqidi-db 的pod容器

入站

允许当前 namespace 中的app 标签是 tanqidi-service的pod容器访问我
允许 namespace 包含zhangsan，lisi，wangwu的名称空间下的 app 标签包含 app-mgt，app-center，app-proxy下的 pod容器访问我

出站

允许流量出站到当前 namespace 中的 app标签是 tanqidi-service 的pod容器
允许流量出站到 namespace 包含zhangsan，lisi，wangwu的名称空间下任意 any 容器

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  namespace: tanqidi
  name: tanqidi-db
spec:
  podSelector:
    matchLabels:
      app: tanqidi-db
  policyTypes:
    - Ingress
    - Egress
  ingress:
    # 允许当前 namespace 下的 app标签是 tanqidi-service 容器访问我
    - from:
        - podSelector:
            matchLabels:
              app: tanqidi-service

    # 允许 namespace包含 zhangsan、lisi、wangwu 的名称空间下 并且 app 标签 包含 app-mgt，app-center，app-proxy 的pod访问我
    - from:
        - namespaceSelector:
            matchExpressions:
              - key: kubernetes.io/metadata.name
                operator: In
                values:
                  - zhangsan
                  - lisi
                  - wangwu
          # 组合方式，表示 and 关系
          podSelector:
            matchExpressions:
              - key: app
                operator: In
                values:
                  - app-mgt
                  - app-center
                  - app-proxy

  egress:
    - to:
        # 允许出站流量到当前 namespace 中的app标签是 tanqidi-service的容器
        - podSelector: 
            matchLabels:
              app: tanqidi-service

        # 允许流量出站到 namespace 包含 zhangsan，lisi，wangwu的任意pod
        - namespaceSelector:
            matchExpressions:
              - key: kubernetes.io/metadata.name
                operator: In
                values:
                  - zhangsan
                  - lisi
                  - wangwu

cidr 网段出站流量限制

目标

tanqidi 名称空间
选中 tanqidi 名称空间中带有app标签是 tanqidi-db 的pod容器

入站

允许当前 namespace 中的app 标签是 tanqidi-service的pod容器访问我
允许 cidr 网段为 172.22.64.0/24 的容器访问我

出站

允许流量出站到当前 namespace 中的 app标签是 tanqidi-service 的pod容器
允许流量出站到 namespace 包含zhangsan，lisi，wangwu的名称空间下任意 any 容器
允许出站流量到 172.22.64.0/24 网段下并且app标签是 anyxxx-service 的pod容器

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  namespace: tanqidi
  name: tanqidi-db
spec:
  podSelector:
    matchLabels:
      app: tanqidi-db
  policyTypes:
    - Ingress
    - Egress
  ingress:
    # 允许当前 namespace 下的 app标签是 tanqidi-service 容器访问我
    - from:
        - podSelector:
            matchLabels:
              app: tanqidi-service

    # 允许 cidr 网段为 172.22.64.0/24 的pod容器访问我
    - from:
        - ipBlock:
            cidr: 172.22.64.0/24

  egress:
    - to:
        # 允许出站流量到当前 namespace 中的app标签是 tanqidi-service的容器
        - podSelector:
            matchLabels:
              app: tanqidi-service

        # 允许流量出站到 namespace 包含 zhangsan，lisi，wangwu的任意pod
        - namespaceSelector:
            matchExpressions:
              - key: kubernetes.io/metadata.name
                operator: In
                values:
                  - zhangsan
                  - lisi
                  - wangwu

        # 允许出站流量到 172.22.64.0/24 网段下 并且app标签是 anyxxx-service 的pod容器
        - ipBlock:
            cidr: 172.22.64.0/24
          podSelector:
            matchLabels:
              app: anyxxx-service

条件 and 与 or

and 关系

tanqidi 名称空间
选中 tanqidi 名称空间中带有app标签是 tanqidi-db 的pod容器
允许 namespace 为 lisi 的名称空间下的 app标签是 lisi-service的pod访问我

当为namespaceSelector选中 kubernetes.io/metadata.name 为 lisi 的时候，此刻该名称空间下的所有pod 都能访问目标 tanqidi 名称空间下的 tanqidi-db的pod，但是紧接着你使用了 and关系添加了podSelector 为 app: lisi-service，换而言之条件就变小了变成 lisi的namespace 下的 lisi-service的pod能访问目标 tanqidi 名称空间下的 tanqidi-db的pod

请注意 and 关系到第二个的时候不能在开头加上- 否则就是or 关系了

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  namespace: tanqidi
  name: tanqidi-db
spec:
  podSelector:
    matchLabels:
      app: tanqidi-db
  policyTypes:
    - Ingress
  ingress:
    - from:
        # 允许 namespace 名称空间为 lisi的访问我
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: lisi
          # 允许 namespace 名称空间为 lisi的 app标签为 lisi-service的访问我。此时就变了，不再是任意lisi下的pod访问我，而只是 lisi下的lisi-service的pod访问我，换而言之 and的关系会将条件进一步缩小
          podSelector:
            matchLabels:
              app: lisi-service

or 关系

tanqidi 名称空间
选中 tanqidi 名称空间中带有app标签是 tanqidi-db 的pod容器
允许当前名称空间中 app标签带有 tanqidi-service 的pod访问我
允许 namespace 为 lisi 的名称空间下的任意pod访问我

or 关系两个都是独立的，需要在新的规则前加上-

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  namespace: tanqidi
  name: tanqidi-db
spec:
  podSelector:
    matchLabels:
      app: tanqidi-db
  policyTypes:
    - Ingress
  ingress:
    # 允许当前 namespace 下的 app标签是 tanqidi-service 容器访问我
    - from:
        - podSelector:
            matchLabels:
              app: tanqidi-service

    # 允许 namespace 为 lisi 的名称空间下的任意pod访问我
    - from:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: lisi

K8S/Kubernetes

K8S/Kubernetes社区为您提供最前沿的新闻资讯和知识内容

更多推荐

【深度】阿里巴巴万级规模 K8s 集群全局高可用体系之美

作者 | 韩堂、柘远、沉醉来源 | 阿里巴巴云原生公众号前言台湾作家林清玄在接受记者采访的时候，如此评价自己 30 多年写作生涯：“第一个十年我才华横溢，‘贼光闪现’，令周边黯然失色；第二个十年，我终于‘宝光现形’，不再去抢风头，反而与身边的美丽相得益彰；进入第三个十年，繁华落尽见真醇，我进入了‘醇光初现’的阶段，真正体味到了境界之美”。长夜有穷，真水无香。领略过了 K8s“身在江

K8S/Kubernetes

如何基于 K8s 构建下一代 DevOps 平台？

作者 | 孙健波（天元）导读：当前云原生 DevOps 体系现状如何？面临哪些挑战？如何通过 OAM 解决云原生 DevOps 场景下的诸多问题？云原生开发应用模型 OAM(Open Application Model) 社区核心成员孙健波将为大家一一解答，并分享如何基于 OAM 和 Kubernetes 打造无限能力的下一代 DevOps 平台。什么是 DevOps？为什么基于 Kub