Kubernetes之Network Policy

最新推荐文章于 2025-07-10 00:28:19 发布

五星上炕

最新推荐文章于 2025-07-10 00:28:19 发布

阅读量2.3k

点赞数 1

CC 4.0 BY-SA版权

分类专栏： kubernetes 文章标签： Kubernetes Network Policy

本文链接：https://blog.youkuaiyun.com/dkfajsldfsdfsd/article/details/81233748

本文介绍了Kubernetes的Network Policy，用于实现Pod网络的隔离性。默认情况下，所有Pod之间可以自由通信，但Network Policy允许通过标签选择器定义规则，控制入站和出站流量。默认规则是禁止所有入站和出站流量，但允许Pod与其运行的节点通信。文中还提供了一个实际例子，展示了如何创建和应用Network Policy，确保只有带有特定标签的Pod才能访问Nginx服务。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

概述

Kubernetes要求集群中所有pod，无论是节点内还是跨节点，都可以直接通信，或者说所有pod工作在同一跨节点网络，此网络一般是二层虚拟网络，称为pod网络。在安装引导kubernetes时，由选择并安装的network plugin实现。默认情况下，集群中所有pod之间、pod与节点之间可以互通。

网络主要解决两个问题，一个是连通性，实体之间能够通过网络互通。另一个是隔离性，出于安全、限制网络流量的目的，又要控制实体之间的连通性。Network Policy用来实现隔离性，只有匹配规则的流量才能进入pod，同理只有匹配规则的流量才可以离开pod。

但请注意，kubernetes支持的用以实现pod网络的network plugin有很多种，并不是全部都支持Network Policy，为kubernetes选择network plugin时需要考虑到这点，是否需要隔离？可用network plugin及是否支持Network Policy请参考这里。

基本原理

Network Policy是kubernetes中的一种资源类型，它从属于某个namespace。其内容从逻辑上看包含两个关键部分，一是pod选择器，基于标签选择相同namespace下的pod，将其中定义的规则作用于选中的pod。另一个就是规则了，就是网络流量进出pod的规则，其采用的是白名单模式，符合规则的通过，不符合规则的拒绝。

Network Policy对象Spec说明

首先给出示例Spec，结合示例说明Spec中的关键字段与逻辑，关于Speck完全说明参考这里。示例如下：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: test-network-policy
  namespace: default
spec:
  podSelector:
    matchLabels:
      role: db
  policyTypes:
  - Ingress
  - Egress
  ingress:
  - from:
    - ipBlock:
        cidr: 172.17.0.0/16
        except:
        - 172.17.1.0/24
    - namespaceSelector:
        matchLabels:
          project: myproject