隔离pod 的网络

介绍

所谓得隔离Pod网络就是通过限制 pod 可以与其他哪些 pod 通信，通讯分为入站与出站两个方向来确保 pod 之间的网络安全。是否可以进行这些配置取决于集群中使用的容器网络插件。如果网络插件支持，可以通过 NetworkPolicy 资源配置网络隔离。

NetworkPolicy

一个 NetworkPolicy 会应用在匹配它的标签选择器的 pod 上，指明这些允许访问这些 pod  的源地址，或者这些pod  可以访问的目标地址。这些分别由入向（ ingress) 和出向（ egress ）规则指定。这两种规则都可以匹配由标签选择器选出的 pod ，或者一个 namespac 中的所有 pod ，或者通过无类别域间路由（Classless Inter-Domain Routing, CIDR ）指定的 IP 地址段。

 

注意： 1、入向规则与 负载均衡中的 Ingress 资源无关。

　　　 2、networkpolicy 也是命名空间层面的资源，所有关联pod 的时候必须指定在pod 所在的命名空间创建，如果不与Pod在同一个命名空间就不会关联成功。

 

限制关联pod 的所有入站访问

1、命名空间中所有pod禁止所有外部访问

限制所有外部pod  访问这个命名空间下的所有 pod ，不限制出。

vi np.yaml
  apiVersion: networking.k8s.io/v1
  kind: NetworkPolicy
  metadata:
    name: default-deny　　　　　　　　　　　　#这个名字不可变，只有这个名字有限制入站访问的功能
  spec:
    podSelector:
      matchLabels: {}　　　　　　　　　　　　 #不指定标签，标识对此命名空间下所有的pod 都生效

kubectl  create  -f  np.yaml  -n  kzf 　　#指定命名空间下创建

View Code