Trafiği Ağ Politikalarıyla Kapatmak

Neden önemli

Düz ağ varsayılandır ve sınav bildiğini varsayar: bir şey hayır demedikçe her pod her pod IP adresine ulaşır. Ağ Politikası o hayırdır ve CNI eklentisi uygular. Politikalar izin listesidir; beceri meşru akışları eksiksiz saymaktır, çünkü unutulan ilk akış kilit sonrası ilk kesintidir.

Kavramlar

Politika koruduğu podları seçer (podSelector, boşu ad alandaki hepsini seçer) ve izinli giriş artı çıkış girdilerini listeler. İzin verilmeyen, podu seçen en az bir politika varken reddedilir: politika yoksa açık, bir politika varsa varsayılan ret artı istisnalar. Girdiler üç eş türünü birleştirir: podSelector (etiketli podlar, eşleşmedikçe aynı ad alanı), namespaceSelector (tüm ad alanları) ve ipBlock (dış CIDRler, çoğunlukla çıkış). Portlar her girdiyi protokol artı numaraya daraltır.

Klasik devreye alış önce hepsini reddetmektir (tüm podlarda boş giriş artı boş çıkış), sonra uygulama başına izin kuralları, her birinden sonra sınama. kube-system DNS çıkışı (UDP 53) unutulan kuraldır; küme çapı ad çözümlemeyi bozar: açıkça izin ver, yoksa her arama zaman aşımına uğrar.

Uygulamalı örnek

Demo ad alanı kilitli, APIye yalnız önyüz 8080. porttan ulaşır, DNS çalışır:

# 1. hepsini reddet tabanı
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata: { name: deny-all, namespace: demo }
spec:
  podSelector: {}
  policyTypes: [Ingress, Egress]
# 2. meşru akışlar
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata: { name: api-allow, namespace: demo }
spec:
  podSelector: { matchLabels: { app: api } }
  policyTypes: [Ingress, Egress]
  ingress:
  - from: [{ podSelector: { matchLabels: { app: frontend } } }]
    ports: [{ protocol: TCP, port: 8080 }]
  egress:
  - to: [{ namespaceSelector: {}, podSelector: { matchLabels: { k8s-app: kube-dns } } }]
    ports: [{ protocol: UDP, port: 53 }]

İki taraftan kanıtla: önyüz içinden kubectl exec APIye rahat ulaşır, üçüncü hata ayıklama podu zaman aşımına uğrar. Yasaklı poddan zaman aşımı artı izinliden başarı sınamanın tamamıdır.

Sınav notları

Politikalar uygulayan CNI ister: olmayanda sessizce yok sayılır; sınamaya güvenmeden önce uygulamayı doğrula. podSelector: {} ad alandaki her podu korur; tek uygulamayı kasteden yazarı şaşırtır. Ve büyük yanıtlarda TCP 53 DNS de önemlidir: güvenli olmak için UDP ve TCP 53e izin ver.