Azure AKS 高级容器网络服务中的 FQDN 过滤策略解析

Azure AKS 高级容器网络服务中的 FQDN 过滤策略解析

AKS Azure Kubernetes Service 项目地址: https://gitcode.com/gh_mirrors/ak/AKS

在 Kubernetes 集群中实现精细化的网络流量控制一直是运维安全的关键需求。Azure Kubernetes Service (AKS) 近期通过 Advanced Container Networking Services (ACNS) 功能集成了 FQDN (完全限定域名) 过滤策略支持，这为云原生环境提供了更强大的网络安全管控能力。

FQDN 过滤的核心价值

传统 Kubernetes NetworkPolicy 仅支持基于 IP/CIDR 的流量控制，而现代微服务架构中服务常通过域名动态解析。FQDN 过滤策略的引入解决了以下痛点：

1. 动态 IP 场景下的策略维护难题（如 CDN、SaaS 服务）
2. 无需预先知晓目标服务的所有 IP 地址
3. 与 DNS 系统深度集成实现实时解析更新

技术实现架构

AKS 通过 Cilium 的扩展能力实现该功能，其技术栈包含三个关键组件：

1. DNS 代理组件：独立部署的高可用组件，负责拦截和解析 DNS 查询
2. 策略执行引擎：基于 eBPF 的内核层流量过滤
3. CRD 扩展：通过 CiliumNetworkPolicy 资源定义策略规则

典型策略配置示例

以下是一个完整的 FQDN 策略配置案例，展示了如何同时实现域名过滤和必要的 DNS 放行规则：

apiVersion: "cilium.io/v2"
kind: CiliumNetworkPolicy
metadata:
  name: "media-bot-egress"
spec:
  endpointSelector:
    matchLabels:
      app: media-processor
  egress:
  - toFQDNs:
    - matchPattern: "*.cdn.example.com"
  - toEndpoints:
    - matchLabels:
        k8s-app: kube-dns
    toPorts:
    - ports:
      - port: "53"
        protocol: UDP

最佳实践建议

1. DNS 基础访问保障：必须为 kube-dns/coreDNS 配置放行规则
2. 模式匹配策略：推荐使用 *.example.com 通配符而非精确域名
3. 策略分层设计：结合命名空间标签实现多级管控
4. 监控与审计：利用 ACNS 的可观测性功能监控策略命中情况

版本兼容性说明

该功能目前已支持以下 AKS 网络模式：

• Azure CNI Overlay 模式
• Azure CNI 动态 IP 分配
• Azure CNI 静态 IP 块分配

未来演进方向

根据社区讨论，该功能将向两个方向发展：

1. 与标准 NetworkPolicy API 的 FQDN 扩展规范对齐
2. 增加 L7 层协议支持（如 HTTP 路径过滤）

对于已部署 ACNS 的集群，用户现在即可通过 CiliumNetworkPolicy CRD 体验企业级的域名过滤能力，这标志着 AKS 在网络策略维度达到了新的成熟度水平。

AKS Azure Kubernetes Service 项目地址: https://gitcode.com/gh_mirrors/ak/AKS