kubernetes网络隔离(Networkpolicy)

最新推荐文章于 2025-06-05 23:13:19 发布

kjkdd

最新推荐文章于 2025-06-05 23:13:19 发布

阅读量846

点赞数 1

CC 4.0 BY-SA版权

分类专栏： kubernetes理论知识文章标签： kubernetes 网络容器 docker 云原生

本文链接：https://blog.youkuaiyun.com/kjkdd/article/details/130676765

Kubernetes中的NetworkPolicy用于实现Pod的网络隔离，通过定义允许的流量规则实现“白名单”策略。NetworkPolicy对象通过podSelector选择应用Pod，并通过ingress和egress定义流入和流出规则。CNI网络插件如Calico、Weave和kube-router支持NetworkPolicy，通过iptables规则在宿主机上实现隔离。当Pod被选中时，它会进入拒绝所有状态，除非符合特定的白名单规则。iptables的PREROUTING、FORWARD、OUTPUT等链在其中起到关键作用，确保流量按规则过滤。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

在 Kubernetes 里，网络隔离能力的定义，是依靠一种专门的 API 对象来描述的，即：NetworkPolicy。

一个完整的 NetworkPolicy 对象的示例，如下所示：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: test-network-policy
  namespace: default
spec:
  podSelector:
    matchLabels:
      role: db
  policyTypes:
  - Ingress
  - Egress
  ingress:
  - from:
    - ipBlock:
        cidr: 172.17.0.0/16
        except:
        - 172.17.1.0/24
    - namespaceSelector:
        matchLabels:
          project: myproject
    - podSelector:
        matchLabels:
          role: frontend
    ports:
    - protocol: TCP
      port: 6379
  egress:
  - to:
    - ipBlock:
        cidr: 10.0.0.0/24
  ports:
  - protocol: TCP
    <