首页 > 其他分享> > Kubernetes NetworkPolicy总结

Kubernetes NetworkPolicy总结

2022-09-10 18:01:57 作者：互联网

默认情况，集群外部主机可以访问集群内部应用，集群内部应用也可以访问集群外部主机，各个namespace之间没有做任何的隔离策略。

基于calico组件实现网络策略，flannel组件则无法实现。

基于NetworkPolicy在三层 (网络层)或四层(传输层)控制拒绝或允许请求流量。

允许或拒绝特定的pod请求目的namespace中的目的pod的所有或指定端口。

允许或拒绝特定的namespace请求目的namespace中的所有或特定的pod所有或指定端口。

允许或拒绝特定的源IP范围或IP地址请求目的pod的所有或特定端口。

官网示例：

https://kubernetes.io/zh/docs/concepts/services-networking/network-policies/

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: test-network-policy
  namespace: default
spec:
  podSelector:
    matchLabels:
      role: db
  policyTypes:
    - Ingress
    - Egress
  ingress:
    - from:
        - ipBlock:
            cidr: 172.17.0.0/16
            except:
              - 172.17.1.0/24
        - namespaceSelector:
            matchLabels:
              project: myproject
        - podSelector:
            matchLabels:
              role: frontend
      ports:
        - protocol: TCP
          port: 6379
  egress:
    - to:
        - ipBlock:
            cidr: 10.0.0.0/24
      ports:
        - protocol: TCP
          port: 5978

必需字段：

与所有其他的Kubernetes配置一样，NetworkPolicy需要apiVersion、kind和metadata字段。关于配置文件操作的一般信息，请参考配置Pod以使用 ConfigMap, 和对象管理。

spec：

NetworkPolicy规约中包含了在一个名字空间中定义特定网络策略所需的所有信息。

podSelector：

每个NetworkPolicy都包括一个podSelector，它对该策略所适用的一组Pod 进行选择，只允许与被限制的pod同处于一个名称空间下的pod可以对被限制的pod进行访问。示例中的策略选择带有"role=db"标签的Pod。空的podSelector选择针对该pod的名字空间下的所有Pod可以对其访问。

namespaceSelector：

此选择器将选择特定的名字空间，应将所有Pod用作其入站流量来源或出站流量目的地。

policyTypes:

每个NetworkPolicy都包含一个policyTypes列表，其中包含Ingress或Egress 或两者兼具。policyTypes字段表示给定的策略是应用于进入所选Pod的入站流量还是来自所选Pod的出站流量，或两者兼有。如果NetworkPolicy未指定 policyTypes则默认情况下始终设置Ingress；如果NetworkPolicy有任何出口规则的话则设置Egress。

ingress:

每个NetworkPolicy可包含一个ingress规则的白名单列表。每个规则都允许同时匹配from和ports部分的流量。示例策略中包含一条简单的规则：它匹配某个特定端口，来自三个来源中的一个，第一个通过ipBlock指定，第二个通过 namespaceSelector指定，第三个通过podSelector指定。

egress:

每个NetworkPolicy可包含一个egress规则的白名单列表。每个规则都允许匹配to和port部分的流量。该示例策略包含一条规则，该规则将指定端口上的流量匹配到10.0.0.0/24中的任何目的地。

所以，该网络策略示例:

隔离"default"名字空间下"role=db"的Pod（如果它们不是已经被隔离的话）。

（Ingress规则）允许以下Pod连接到"default"名字空间下的带有"role=db"标签的所有Pod的6379 TCP端口：

- "default"名字空间下带有"role=frontend"标签的所有Pod
- 带有"project=myproject"标签的所有名字空间中的Pod
- IP地址范围为17.0.0–172.17.0.255和172.17.2.0–172.17.255.255 （即，除了172.17.1.0/24之外的所有172.17.0.0/16）

（Egress规则）允许“default”命名空间中任何带有标签“role=db”的Pod 到CIDR 10.0.0.0/24下5978 TCP端口的连接。

选择器 to 和 from 的行为

可以在ingress的from部分或egress的to部分中指定四种选择器：

podSelector: 此选择器将在与NetworkPolicy相同的名字空间中选择特定的 Pod，应将其允许作为入站流量来源或出站流量目的地。非明确允许的pod，同namespace也无法访问。

namespaceSelector：此选择器将选择特定的名字空间，应将所有Pod用作其入站流量来源或出站流量目的地。

namespaceSelector和podSelector：一个指定namespaceSelector和podSelector 的to/from条目选择特定名字空间中的特定Pod。

不允许从宿主机访问目标pod。

ipBlock:

此选择器将选择特定的IP CIDR范围以用作入站流量来源或出站流量目的地。这些应该是集群外部IP，因为Pod IP存在时间短暂的且随机产生。

集群的入站和出站机制通常需要重写数据包的源 IP 或目标 IP。在发生这种情况时，不确定在NetworkPolicy处理之前还是之后发生，并且对于网络插件、云提供商、Service实现等的不同组合，其行为可能会有所不同。

对入站流量而言，这意味着在某些情况下，可以根据实际的原始源 IP 过滤传入的数据包，而在其他情况下，NetworkPolicy所作用的源IP则可能是 LoadBalancer或Pod的节点等。

对于出站流量而言，这意味着从Pod到被重写为集群外部IP的Service IP的连接可能会或可能不会受到基于ipBlock的策略的约束。

准备实验环境

创建命名空间
[root@master10 manifests]/ kubectl config set-context --namespace web --current 
Context "kubernetes-admin@kubernetes" modified.

创建pod web1
[root@master10 manifests]/ kubectl run web1 --image=nginx --image-pull-policy=IfNotPresent
pod/web1 created

生成发布文件
[root@master10 manifests]/ kubectl exec -it web1 -- bash
root@web1:/ echo Hello web1 > /usr/share/nginx/html/index.html 
root@web1:/ 
exit

创建pod web2
[root@master10 manifests] kubectl run web2 --image=nginx --image-pull-policy=IfNotPresent
pod/web2 created

验证创建的pod
[root@master10 manifests] kubectl get pods --show-labels 
NAME   READY   STATUS    RESTARTS   AGE     LABELS
test   1/1     Running   0          5m37s   run=test
web1   1/1     Running   0          18m     run=web1
web2   1/1     Running   0          17m     run=web2

生成发布文件
[root@master10 manifests] kubectl exec -it web2 -- bash
root@web2:/ echo Hello web2 > /usr/share/nginx/html/index.html
root@web2:/
exit

创建service web1和web2
[root@master10 manifests] kubectl expose pod web1 --port=80 --target-port=80 --type=NodePort

[root@master10 manifests] kubectl expose pod web2 --port=80 --target-port=80 --type=NodePort

[root@master10 manifests] kubectl get svc
NAME   TYPE       CLUSTER-IP       EXTERNAL-IP   PORT(S)        AGE
web1   NodePort   10.100.150.156   <none>        80:31972/TCP   2m9s
web2   NodePort   10.108.8.97      <none>        80:31354/TCP   111s

创建测试pod，验证访问web1和web2 pod
[root@master10 manifests] kubectl run test --image=nginx --image-pull-policy=IfNotPresent
pod/test created

[root@master10 manifests] kubectl exec -it test -- curl web1
Hello web1
[root@master10 manifests] kubectl exec -it test -- curl web2
Hello web2
[root@master10 manifests] kubectl exec -it web2 -- curl web1
Hello web1

集群访问：

集群节点外部访问：

根据标签限定

示例1：

对namespace web 下的 run:web1 这个pod进行限制

只允许 run:test这个标签的pod可以访问 web1的80端口

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: my-network-policy
  namespace: web
spec:
  podSelector:
    matchLabels:
      run: web1
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          run: test
    ports:
    - protocol: TCP
      port: 80

创建策略

[root@master10 networkpolicy] kubectl create -f networkpolicy.yaml 
networkpolicy.networking.k8s.io/my-network-policy created

查看策略

[root@master10 networkpolicy] kubectl describe networkpolicies.networking.k8s.io 
Name:         my-network-policy
Namespace:    web
Created on:   2022-07-04 11:37:06 +0800 CST
Labels:       <none>
Annotations:  <none>
Spec:
  PodSelector:     run=web1
  Allowing ingress traffic:
    To Port: 80/TCP
    From:
      PodSelector: run=test
  Not affecting egress traffic
  Policy Types: Ingress

示例2：

允许同一namespce中所有pod访问具有标签run:web1的pod 80 端口

matchLabels中不使用任何标签，则允许同一ns中所有pod

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: my-network-policy
  namespace: web
spec:
  podSelector:
    matchLabels:
      run: web1
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector:
        matchLabels:
    ports:
    - protocol: TCP
      port: 80

也可以写成 - podSelector: {}，省略matchlabels:

根据ns限定

用于限定，来源于其他namespace中pod。

示例1：

允许具有标签project: myproject的namespace中所有pod，访问当前ns中具有标签run: web1的pod 80端口。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: my-network-policy
  namespace: web
spec:
  podSelector:
    matchLabels:
      run: web1
  policyTypes:
  - Ingress
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          project: myproject
    ports:
    - protocol: TCP
      port: 80

给network-test这个ns添加标签project=myproject，此时该ns中pod可以访问web1.web

kubectl label ns network-test project=myproject

示例2：

允许所有namespace中所有pod，访问当前ns中具有标签run: web1的pod 80端口。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: my-network-policy
  namespace: web
spec:
  podSelector:
    matchLabels:
      run: web1
  policyTypes:
  - Ingress
  ingress:
  - from:
    - namespaceSelector: {}
    ports:
    - protocol: TCP
      port: 80

根据pod IP限定

示例1：

允许网段172.17.0.0/16但不包括子网172.17.1.0/24中主机，访问具有标签 run: web1 的pod 80端口。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: my-network-policy
  namespace: web
spec:
  podSelector:
    matchLabels:
      run: web1
  policyTypes:
  - Ingress
  ingress:
  - from:
    - ipBlock:
        cidr: 172.17.0.0/16
        except:
        - 172.17.1.0/24
    ports:
    - protocol: TCP
      port: 80

不限定端口

示例：

允许具有run:test标签的pod对名为web的ns下的web1进行访问，不限制端口。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: my-network-policy
  namespace: web
spec:
  podSelector:
    matchLabels:
      run: web1
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          run: test

限定端口范围

允许被限制的pod，同一ns下的run:test标签的pod可以访问被限制pod的32000-32768端口。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: my-network-policy
  namespace: web
spec:
  podSelector:
    matchLabels:
      run: web1
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          run: test
    ports:
    - protocol: TCP
      port: 32000
      endPort: 32768

限制pod出口访问

1、Egress-podSelector-Pod出口方向目的IP及目的端口限制-只允许访问指定的10.0.0.0/24和12.0.0.0/24地址段范围的服务端口80和服务端口53

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: my-network-policy
  namespace: web
spec:
  podSelector:
    matchLabels:
      run: web1
  policyTypes:
  - Egress
  egress:
  - to:
    - ipBlock:
        cidr: 10.0.0.0/24
    - ipBlock:
        cidr: 12.0.0.0/24
    ports:
    - protocol: TCP
      port: 80
    - protocol: UDP
      port: 53
    - protocol: TCP
      port: 53

2、对pod web1出口限制仅能访问web2的80和53 dns端口服务

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: my-network-policy
  namespace: web
spec:
  podSelector:
    matchLabels:
      run: web1
  policyTypes:
  - Egress
  egress:
  - to:
    - podSelector:
        matchLabels:
          run: we2
    ports:
    - protocol: TCP
      port: 80
    - protocol: TCP
      port: 53
    - protocol: UDP
      port: 53

3、限制pod web只能访问标签为project=myproject的ns下的pod资源的80和53端口服务

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: my-network-policy
  namespace: web
spec:
  podSelector:
    matchLabels:
      run: web1
  policyTypes:
  - Egress
  egress:
  - to:
    - namespaceSelector:
        matchLabels:
          project: myproject
    ports:
    - protocol: TCP
      port: 80
    - protocol: TCP
      port: 53
    - protocol: UDP
      port: 53

默认策略

允许所有入站流量

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-all-ingress
spec:
  podSelector: {}
  ingress:
  - {}
  policyTypes:
  - Ingress

拒绝所有入站流量

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-ingress
spec:
  podSelector: {}
  policyTypes:
  - Ingress

拒绝所有出站流量

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-egress
spec:
  podSelector: {}
  policyTypes:
  - Egress

允许所有出站流量

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-all-egress
spec:
  podSelector: {}
  egress:
  - {}
  policyTypes:
  - Egress

拒绝所有入站和出站流量

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-all
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress

标签：总结,run,NetworkPolicy,Kubernetes,web1,podSelector,pod,80
来源： https://www.cnblogs.com/punchlinux/p/16677939.html