[K8s技能系列] 網絡策略(NetworkPolicy)實戰：構建K8s微服務安全隔離的防護盾詳情 - Pod,命名空間,NetworkPolicy,k8s,kubernetes,雲計算,yyds乾貨盤點 anson12315 博客

概念解析

NetworkPolicy是Kubernetes中用於控制Pod之間網絡通信的策略機制。它允許用户定義哪些Pod可以相互通信，以及它們可以訪問哪些端口和服務。NetworkPolicy通過標籤選擇器來指定策略適用的Pod，並定義允許的入站和出站流量規則。

核心概念

NetworkPolicy資源：Kubernetes原生資源，用於定義網絡訪問控制策略
策略目標：通過podSelector指定策略適用的Pod集合
入站規則(Ingress)：控制哪些流量可以進入目標Pod
出站規則(Egress)：控制目標Pod可以發送流量到哪些目的地
策略類型：定義策略控制的流量方向(Ingress、Egress或Both)
CIDR塊：允許基於IP地址範圍定義網絡規則

NetworkPolicy工作原理

策略應用：NetworkPolicy通過標籤選擇器應用於命名空間中的Pod
默認拒絕：未被任何NetworkPolicy選中的Pod默認允許所有流量
策略累加：多個NetworkPolicy可以同時應用於同一個Pod
規則合併：來自多個策略的規則會被合併執行
網絡插件支持：需要網絡插件支持NetworkPolicy功能

核心特性

細粒度控制：基於Pod標籤、命名空間、IP地址等進行流量控制
雙向流量管理：支持入站和出站流量的獨立控制
端口級別控制：可以指定允許訪問的具體端口和協議
命名空間隔離：支持跨命名空間的網絡訪問控制
默認策略：可以設置默認的網絡訪問行為
動態更新：策略變更實時生效，無需重啓Pod

實踐教程

創建基本的NetworkPolicy

# 允許特定標籤的Pod訪問目標Pod
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-specific-pods
  namespace: default
spec:
  podSelector:
    matchLabels:
      app: backend
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: frontend
    ports:
    - protocol: TCP
      port: 8080

應用NetworkPolicy：

kubectl apply -f allow-specific-pods.yaml

創建允許特定命名空間訪問的策略

# 允許特定命名空間中的Pod訪問目標Pod
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-from-namespace
  namespace: production
spec:
  podSelector:
    matchLabels:
      app: database
  policyTypes:
  - Ingress
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          name: frontend
    ports:
    - protocol: TCP
      port: 5432

創建出站流量控制策略

# 控制Pod的出站流量
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: restrict-egress
  namespace: default
spec:
  podSelector:
    matchLabels:
      app: web
  policyTypes:
  - Egress
  egress:
  - to:
    - ipBlock:
        cidr: 10.0.0.0/24
        except:
        - 10.0.0.5/32
    ports:
    - protocol: TCP
      port: 53
    - protocol: UDP
      port: 53
  - to:
    - namespaceSelector:
        matchLabels:
          name: kube-system
    ports:
    - protocol: TCP
      port: 443

創建默認拒絕所有入站流量的策略

# 默認拒絕所有入站流量
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-ingress
  namespace: secure
spec:
  podSelector: {}
  policyTypes:
  - Ingress

創建默認拒絕所有出站流量的策略

# 默認拒絕所有出站流量
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-egress
  namespace: secure
spec:
  podSelector: {}
  policyTypes:
  - Egress

管理NetworkPolicy

# 查看NetworkPolicy
kubectl get networkpolicy -n <namespace>

# 查看NetworkPolicy詳細信息
kubectl describe networkpolicy <policy-name> -n <namespace>

# 編輯NetworkPolicy
kubectl edit networkpolicy <policy-name> -n <namespace>

# 刪除NetworkPolicy
kubectl delete networkpolicy <policy-name> -n <namespace>

# 測試網絡連通性
kubectl exec <pod-name> -n <namespace> -- curl -v http://<target-service>

真實案例

案例：微服務架構網絡安全隔離

某電商平台採用微服務架構，需要實現嚴格的網絡安全隔離策略，確保各服務間的安全通信：

# 前端服務網絡策略
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: frontend-policy
  namespace: ecommerce
spec:
  podSelector:
    matchLabels:
      app: frontend
  policyTypes:
  - Ingress
  - Egress
  ingress:
  # 允許來自負載均衡器的外部訪問
  - from:
    - ipBlock:
        cidr: 0.0.0.0/0
    ports:
    - protocol: TCP
      port: 80
    - protocol: TCP
      port: 443
  egress:
  # 允許訪問API網關
  - to:
    - podSelector:
        matchLabels:
          app: api-gateway
    ports:
    - protocol: TCP
      port: 8080
---
# API網關網絡策略
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: api-gateway-policy
  namespace: ecommerce
spec:
  podSelector:
    matchLabels:
      app: api-gateway
  policyTypes:
  - Ingress
  - Egress
  ingress:
  # 允許前端服務訪問
  - from:
    - podSelector:
        matchLabels:
          app: frontend
    ports:
    - protocol: TCP
      port: 8080
  egress:
  # 允許訪問用户服務和商品服務
  - to:
    - podSelector:
        matchLabels:
          app: user-service
    ports:
    - protocol: TCP
      port: 8081
  - to:
    - podSelector:
        matchLabels:
          app: product-service
    ports:
    - protocol: TCP
      port: 8082
---
# 用户服務網絡策略
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: user-service-policy
  namespace: ecommerce
spec:
  podSelector:
    matchLabels:
      app: user-service
  policyTypes:
  - Ingress
  - Egress
  ingress:
  # 允許API網關訪問
  - from:
    - podSelector:
        matchLabels:
          app: api-gateway
    ports:
    - protocol: TCP
      port: 8081
  egress:
  # 允許訪問數據庫
  - to:
    - podSelector:
        matchLabels:
          app: user-db
    ports:
    - protocol: TCP
      port: 5432
---
# 商品服務網絡策略
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: product-service-policy
  namespace: ecommerce
spec:
  podSelector:
    matchLabels:
      app: product-service
  policyTypes:
  - Ingress
  - Egress
  ingress:
  # 允許API網關訪問
  - from:
    - podSelector:
        matchLabels:
          app: api-gateway
    ports:
    - protocol: TCP
      port: 8082
  egress:
  # 允許訪問數據庫和緩存
  - to:
    - podSelector:
        matchLabels:
          app: product-db
    ports:
    - protocol: TCP
      port: 5432
  - to:
    - podSelector:
        matchLabels:
          app: redis-cache
    ports:
    - protocol: TCP
      port: 6379
---
# 數據庫網絡策略
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: database-policy
  namespace: ecommerce
spec:
  podSelector:
    matchLabels:
      tier: database
  policyTypes:
  - Ingress
  ingress:
  # 允許相應的服務訪問數據庫
  - from:
    - podSelector:
        matchLabels:
          app: user-service
    ports:
    - protocol: TCP
      port: 5432
  - from:
    - podSelector:
        matchLabels:
          app: product-service
    ports:
    - protocol: TCP
      port: 5432
---
# 緩存服務網絡策略
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: cache-policy
  namespace: ecommerce
spec:
  podSelector:
    matchLabels:
      app: redis-cache
  policyTypes:
  - Ingress
  ingress:
  # 允許商品服務訪問緩存
  - from:
    - podSelector:
        matchLabels:
          app: product-service
    ports:
    - protocol: TCP
      port: 6379

這種網絡安全隔離方案的優勢：

層次化安全：每個服務只能訪問其直接依賴的服務
最小權限原則：服務只能訪問必要的端口和協議
明確邊界：清晰定義了服務間的通信邊界
動態適應：策略隨着服務部署自動應用
故障隔離：網絡問題不會在整個系統中傳播

配置詳解

高級NetworkPolicy配置

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: advanced-network-policy
  namespace: production
spec:
  # 策略目標：選擇具有特定標籤的Pod
  podSelector:
    matchLabels:
      app: critical-app
      version: v2
  # 策略類型：同時控制入站和出站流量
  policyTypes:
  - Ingress
  - Egress
  
  # 入站規則配置
  ingress:
  # 規則1：允許多個來源訪問特定端口
  - from:
    # 來源1：特定標籤的Pod
    - podSelector:
        matchLabels:
          app: frontend
    # 來源2：特定命名空間
    - namespaceSelector:
        matchLabels:
          name: monitoring
    # 來源3：特定IP段
    - ipBlock:
        cidr: 172.17.0.0/16
        except:
        - 172.17.1.0/24
    ports:
    # 允許訪問HTTP和HTTPS端口
    - protocol: TCP
      port: 80
    - protocol: TCP
      port: 443
    # 允許訪問特定端口範圍
    - protocol: TCP
      port: 8080
      endPort: 8090
      
  # 規則2：允許來自特定命名空間中特定標籤Pod的訪問
  - from:
    - namespaceSelector:
        matchLabels:
          name: development
      podSelector:
        matchLabels:
          role: tester
    ports:
    - protocol: TCP
      port: 8080
      
  # 出站規則配置
  egress:
  # 規則1：允許訪問外部API
  - to:
    - ipBlock:
        cidr: 203.0.113.0/24
    ports:
    - protocol: TCP
      port: 443
      
  # 規則2：允許訪問內部服務
  - to:
    - podSelector:
        matchLabels:
          app: internal-api
      namespaceSelector:
        matchLabels:
          name: backend
    ports:
    - protocol: TCP
      port: 8080
      
  # 規則3：允許DNS查詢
  - to:
    - namespaceSelector:
        matchLabels:
          name: kube-system
      podSelector:
        matchLabels:
          k8s-app: kube-dns
    ports:
    - protocol: UDP
      port: 53
    - protocol: TCP
      port: 53

命名空間級別的網絡策略

# 命名空間默認網絡策略
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-all
  namespace: secure-zone
spec:
  # 應用於命名空間中所有Pod
  podSelector: {}
  # 拒絕所有入站和出站流量
  policyTypes:
  - Ingress
  - Egress
---
# 允許同命名空間內Pod通信
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-same-namespace
  namespace: secure-zone
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector: {}
---
# 允許特定服務訪問外部
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-external-access
  namespace: secure-zone
spec:
  podSelector:
    matchLabels:
      app: external-api-client
  policyTypes:
  - Egress
  egress:
  - to:
    - ipBlock:
        cidr: 0.0.0.0/0
        except:
        - 10.0.0.0/8
        - 172.16.0.0/12
        - 192.168.0.0/16
    ports:
    - protocol: TCP
      port: 443

故障排除

常見問題及解決方案

NetworkPolicy不生效

# 檢查網絡插件是否支持NetworkPolicy
kubectl get nodes -o jsonpath='{.items[*].status.nodeInfo.containerRuntimeVersion}'

# 驗證NetworkPolicy語法
kubectl apply -f policy.yaml --dry-run=client -o yaml

# 檢查Pod標籤是否匹配
kubectl get pods --show-labels -n <namespace>

# 查看NetworkPolicy詳細信息
kubectl describe networkpolicy <policy-name> -n <namespace>

網絡連通性測試

# 在Pod中測試網絡連通性
kubectl exec <source-pod> -n <namespace> -- curl -v http://<target-service>

# 使用網絡工具診斷
kubectl exec <pod> -n <namespace> -- nc -zv <target-ip> <port>

# 檢查iptables規則(需要節點訪問權限)
iptables-save | grep <pod-ip>

策略衝突問題

# 查看所有NetworkPolicy
kubectl get networkpolicy --all-namespaces

# 分析策略影響範圍
kubectl get pods -n <namespace> --show-labels

# 檢查策略累加效果
kubectl describe pod <pod-name> -n <namespace>

默認策略問題

# 檢查命名空間中是否有默認拒絕策略
kubectl get networkpolicy -n <namespace>

# 驗證策略類型
kubectl get networkpolicy <policy-name> -n <namespace> -o yaml

# 測試默認行為
kubectl run test-pod --image=busybox -n <namespace> -- sleep 3600
kubectl exec test-pod -n <namespace> -- wget -qO- http://<target-service>

最佳實踐

策略設計：
- 遵循最小權限原則，只允許必要的網絡訪問
- 使用明確的標籤選擇器，避免過於寬泛的匹配
- 分層設計策略，從粗粒度到細粒度
- 為不同環境(開發、測試、生產)設計不同的策略
命名規範：
- 使用描述性的策略名稱
- 按照功能或服務命名策略
- 保持命名一致性便於管理
測試驗證：
- 在應用策略前進行充分測試
- 使用臨時Pod驗證策略效果
- 定期審查和更新策略
監控告警：
- 監控網絡策略變更
- 設置網絡訪問異常告警
- 記錄策略違反事件
文檔管理：
- 記錄所有網絡策略的設計意圖
- 維護策略變更歷史
- 提供策略使用指南

安全考慮

策略安全配置

# 生產環境安全策略示例
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: production-security-policy
  namespace: production
spec:
  podSelector:
    matchLabels:
      environment: production
  policyTypes:
  - Ingress
  - Egress
  
  # 嚴格的入站規則
  ingress:
  # 只允許負載均衡器訪問
  - from:
    - ipBlock:
        cidr: 10.100.0.0/16  # 負載均衡器IP段
    ports:
    - protocol: TCP
      port: 80
    - protocol: TCP
      port: 443
      
  # 嚴格的出站規則
  egress:
  # 只允許訪問必要的外部服務
  - to:
    - ipBlock:
        cidr: 203.0.113.10/32  # 外部API IP
    ports:
    - protocol: TCP
      port: 443
  # 允許訪問內部DNS
  - to:
    - namespaceSelector:
        matchLabels:
          name: kube-system
      podSelector:
        matchLabels:
          k8s-app: kube-dns
    ports:
    - protocol: UDP
      port: 53
    - protocol: TCP
      port: 53

策略審計和合規

# 審計網絡策略
kubectl get networkpolicy --all-namespaces -o wide

# 檢查是否有默認拒絕策略
kubectl get networkpolicy --all-namespaces | grep "default"

# 驗證關鍵服務的網絡隔離
kubectl get networkpolicy -n <namespace> -o yaml

# 檢查策略覆蓋率
kubectl get pods --all-namespaces --show-labels | grep -v "namespace" | wc -l

命令速查

命令	描述
`kubectl get networkpolicy -n <namespace>`	查看命名空間中的NetworkPolicy
`kubectl describe networkpolicy <name> -n <namespace>`	查看NetworkPolicy詳細信息
`kubectl apply -f <policy-file>`	應用NetworkPolicy
`kubectl delete networkpolicy <name> -n <namespace>`	刪除NetworkPolicy
`kubectl get networkpolicy --all-namespaces`	查看所有命名空間的NetworkPolicy
`kubectl exec <pod> -n <namespace> -- curl <target>`	測試網絡連通性
`kubectl run test-pod --image=busybox -n <namespace> -- sleep 3600`	創建測試Pod

總結

網絡策略(NetworkPolicy)是Kubernetes中實現網絡安全隔離的重要機制，它允許用户精確控制Pod之間的網絡通信。通過本文檔的學習，你應該能夠：

理解NetworkPolicy的核心概念和工作機制
創建和管理各種類型的網絡策略
設計符合安全要求的網絡訪問控制策略
解決常見的網絡策略配置問題
遵循網絡策略的最佳實踐和安全考慮

合理的網絡策略配置不僅能提高系統的安全性，還能幫助實現微服務架構中的服務隔離和故障隔離。在實際應用中，應該根據業務需求和安全要求制定合適的網絡策略，並定期審查和優化這些策略。

anson12315 博客

anson12315 博客

博客 / 詳情

[K8s技能系列] 網絡策略(NetworkPolicy)實戰：構建K8s微服務安全隔離的防護盾

概念解析

核心概念

NetworkPolicy工作原理

核心特性

實踐教程

創建基本的NetworkPolicy

創建允許特定命名空間訪問的策略

創建出站流量控制策略

創建默認拒絕所有入站流量的策略

創建默認拒絕所有出站流量的策略

管理NetworkPolicy

真實案例

案例：微服務架構網絡安全隔離

配置詳解

高級NetworkPolicy配置

命名空間級別的網絡策略

故障排除

常見問題及解決方案

最佳實踐

安全考慮

策略安全配置

策略審計和合規

命令速查

總結

發佈評論

Product

Company

Support

Company

博客 / 詳情

[K8s技能系列] 網絡策略(NetworkPolicy)實戰：構建K8s微服務安全隔離的防護盾

概念解析

核心概念

NetworkPolicy工作原理

核心特性

實踐教程

創建基本的NetworkPolicy

創建允許特定命名空間訪問的策略

創建出站流量控制策略

創建默認拒絕所有入站流量的策略

創建默認拒絕所有出站流量的策略

管理NetworkPolicy

真實案例

案例：微服務架構網絡安全隔離

配置詳解

高級NetworkPolicy配置

命名空間級別的網絡策略

故障排除

常見問題及解決方案

最佳實踐

安全考慮

策略安全配置

策略審計和合規

命令速查

總結

發佈 評論

發佈評論