6.3. La politique de réseau

Procédure

1. Créer une règle de politique:

   1. Créer un fichier <policy_name>.yaml:

      $ touch <policy_name>.yaml

      Copy to Clipboard Toggle word wrap

      là où:

      <policy_name>

      Indique le nom du fichier de stratégie réseau.

   2. Définissez une stratégie réseau dans le fichier que vous venez de créer, comme dans les exemples suivants:

      Dénier l’entrée de tous les pods dans tous les espaces de noms

      Il s’agit d’une politique fondamentale, bloquant tout réseau interpod autre que le trafic interpod autorisé par la configuration d’autres stratégies réseau.

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: deny-by-default
      spec:
        podSelector: {}
        policyTypes:
        - Ingress
        ingress: []

      Copy to Clipboard Toggle word wrap

      Autoriser l’entrée de tous les pods dans le même espace de noms

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: allow-same-namespace
      spec:
        podSelector:
        ingress:
        - from:
          - podSelector: {}

      Copy to Clipboard Toggle word wrap

      Autoriser le trafic d’entrée vers un pod à partir d’un espace de noms particulier

      Cette politique permet au trafic de pods étiquetés pod-a à partir de pods fonctionnant dans namespace-y.

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: allow-traffic-pod
      spec:
        podSelector:
         matchLabels:
            pod: pod-a
        policyTypes:
        - Ingress
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                 kubernetes.io/metadata.name: namespace-y

      Copy to Clipboard Toggle word wrap

2. Afin de créer l’objet de stratégie réseau, entrez la commande suivante:

   $ oc apply -f <policy_name>.yaml -n <namespace>

   Copy to Clipboard Toggle word wrap

   là où:

   <policy_name>

   Indique le nom du fichier de stratégie réseau.

   <namespace>

   Facultatif : Spécifie l’espace de noms si l’objet est défini dans un espace de noms différent de celui de l’espace de noms actuel.

   Exemple de sortie

   networkpolicy.networking.k8s.io/deny-by-default created

   Copy to Clipboard Toggle word wrap

Procédure

1. Créez le YAML suivant qui définit une politique de déni par défaut pour refuser l’entrée de tous les pods dans tous les espaces de noms. Enregistrez le YAML dans le fichier deny-by-default.yaml:

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: deny-by-default
     namespace: default 

   1

   
   spec:
     podSelector: {} 

   2

   
     ingress: [] 

   3

   Copy to Clipboard Toggle word wrap

   1

   namespace: par défaut déploie cette stratégie dans l’espace de noms par défaut.

   2

   le podSelector: est vide, cela signifie qu’il correspond à tous les gousses. La politique s’applique donc à tous les pods dans l’espace de noms par défaut.

   3

   Il n’y a pas de règles d’entrée spécifiées. Cela provoque la chute du trafic entrant vers toutes les gousses.

2. Appliquer la politique en entrant la commande suivante:

   $ oc apply -f deny-by-default.yaml

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   networkpolicy.networking.k8s.io/deny-by-default created

   Copy to Clipboard Toggle word wrap

Procédure

1. Créez une politique qui permet le trafic depuis l’Internet public directement ou en utilisant un balanceur de charge pour accéder au pod. Enregistrez le YAML dans le fichier web-allow-external.yaml:

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: web-allow-external
     namespace: default
   spec:
     policyTypes:
     - Ingress
     podSelector:
       matchLabels:
         app: web
     ingress:
       - {}

   Copy to Clipboard Toggle word wrap

2. Appliquer la politique en entrant la commande suivante:

   $ oc apply -f web-allow-external.yaml

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   networkpolicy.networking.k8s.io/web-allow-external created

   Copy to Clipboard Toggle word wrap

   Cette politique permet le trafic à partir de toutes les ressources, y compris le trafic externe comme illustré dans le diagramme suivant:

Procédure

1. Créez une stratégie qui permet le trafic de tous les pods dans tous les espaces de noms vers une application particulière. Enregistrez le YAML dans le fichier web-allow-all-namespaces.yaml:

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: web-allow-all-namespaces
     namespace: default
   spec:
     podSelector:
       matchLabels:
         app: web 

   1

   
     policyTypes:
     - Ingress
     ingress:
     - from:
       - namespaceSelector: {} 

   2

   Copy to Clipboard Toggle word wrap

   1

   Applique la stratégie uniquement aux pods app:web dans l’espace de noms par défaut.

   2

   Sélectionne tous les pods dans tous les espaces de noms.

   Note

   Par défaut, si vous omet de spécifier un namespaceSelector, il ne sélectionne pas d’espaces de noms, ce qui signifie que la stratégie autorise le trafic uniquement à partir de l’espace de noms vers lequel la stratégie réseau est déployée.

2. Appliquer la politique en entrant la commande suivante:

   $ oc apply -f web-allow-all-namespaces.yaml

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   networkpolicy.networking.k8s.io/web-allow-all-namespaces created

   Copy to Clipboard Toggle word wrap

La vérification

1. Démarrez un service Web dans l’espace de noms par défaut en entrant la commande suivante:

   $ oc run web --namespace=default --image=nginx --labels="app=web" --expose --port=80

   Copy to Clipboard Toggle word wrap

2. Exécutez la commande suivante pour déployer une image alpine dans l’espace de noms secondaire et démarrer un shell:

   $ oc run test-$RANDOM --namespace=secondary --rm -i -t --image=alpine -- sh

   Copy to Clipboard Toggle word wrap

3. Exécutez la commande suivante dans le shell et observez que la requête est autorisée:

   # wget -qO- --timeout=2 http://web.default

   Copy to Clipboard Toggle word wrap

   A) Produit attendu

   <!DOCTYPE html>
   <html>
   <head>
   <title>Welcome to nginx!</title>
   <style>
   html { color-scheme: light dark; }
   body { width: 35em; margin: 0 auto;
   font-family: Tahoma, Verdana, Arial, sans-serif; }
   </style>
   </head>
   <body>
   <h1>Welcome to nginx!</h1>
   <p>If you see this page, the nginx web server is successfully installed and
   working. Further configuration is required.</p>
   
   <p>For online documentation and support please refer to
   <a href="http://nginx.org/">nginx.org</a>.<br/>
   Commercial support is available at
   <a href="http://nginx.com/">nginx.com</a>.</p>
   
   <p><em>Thank you for using nginx.</em></p>
   </body>
   </html>

   Copy to Clipboard Toggle word wrap

Procédure

1. Créez une stratégie qui permet le trafic de tous les pods dans un espace de noms particulier avec un but d’étiquette=production. Enregistrez le YAML dans le fichier web-allow-prod.yaml:

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: web-allow-prod
     namespace: default
   spec:
     podSelector:
       matchLabels:
         app: web 

   1

   
     policyTypes:
     - Ingress
     ingress:
     - from:
       - namespaceSelector:
           matchLabels:
             purpose: production 

   2

   Copy to Clipboard Toggle word wrap

   1

   Applique la stratégie uniquement aux pods app:web dans l’espace de noms par défaut.

   2

   Limite le trafic aux seuls pods dans les espaces de noms qui ont le but de l’étiquette=production.

2. Appliquer la politique en entrant la commande suivante:

   $ oc apply -f web-allow-prod.yaml

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   networkpolicy.networking.k8s.io/web-allow-prod created

   Copy to Clipboard Toggle word wrap

La vérification

1. Démarrez un service Web dans l’espace de noms par défaut en entrant la commande suivante:

   $ oc run web --namespace=default --image=nginx --labels="app=web" --expose --port=80

   Copy to Clipboard Toggle word wrap

2. Exécutez la commande suivante pour créer l’espace de noms prod:

   $ oc create namespace prod

   Copy to Clipboard Toggle word wrap

3. Exécutez la commande suivante pour étiqueter l’espace de noms prod:

   $ oc label namespace/prod purpose=production

   Copy to Clipboard Toggle word wrap

4. Exécutez la commande suivante pour créer l’espace de noms dev:

   $ oc create namespace dev

   Copy to Clipboard Toggle word wrap

5. Exécutez la commande suivante pour étiqueter l’espace de noms dev:

   $ oc label namespace/dev purpose=testing

   Copy to Clipboard Toggle word wrap

6. Exécutez la commande suivante pour déployer une image alpine dans l’espace de noms de dev et démarrer un shell:

   $ oc run test-$RANDOM --namespace=dev --rm -i -t --image=alpine -- sh

   Copy to Clipboard Toggle word wrap

7. Exécutez la commande suivante dans le shell et observez que la requête est bloquée:

   # wget -qO- --timeout=2 http://web.default

   Copy to Clipboard Toggle word wrap

   A) Produit attendu

   wget: download timed out

   Copy to Clipboard Toggle word wrap

8. Exécutez la commande suivante pour déployer une image alpine dans l’espace de noms prod et démarrer un shell:

   $ oc run test-$RANDOM --namespace=prod --rm -i -t --image=alpine -- sh

   Copy to Clipboard Toggle word wrap

9. Exécutez la commande suivante dans le shell et observez que la requête est autorisée:

   # wget -qO- --timeout=2 http://web.default

   Copy to Clipboard Toggle word wrap

   A) Produit attendu

   <!DOCTYPE html>
   <html>
   <head>
   <title>Welcome to nginx!</title>
   <style>
   html { color-scheme: light dark; }
   body { width: 35em; margin: 0 auto;
   font-family: Tahoma, Verdana, Arial, sans-serif; }
   </style>
   </head>
   <body>
   <h1>Welcome to nginx!</h1>
   <p>If you see this page, the nginx web server is successfully installed and
   working. Further configuration is required.</p>
   
   <p>For online documentation and support please refer to
   <a href="http://nginx.org/">nginx.org</a>.<br/>
   Commercial support is available at
   <a href="http://nginx.com/">nginx.com</a>.</p>
   
   <p><em>Thank you for using nginx.</em></p>
   </body>
   </html>

   Copy to Clipboard Toggle word wrap

Procédure

1. Facultatif: Pour énumérer les objets de stratégie réseau dans un espace de noms, entrez la commande suivante:

   $ oc get networkpolicy

   Copy to Clipboard Toggle word wrap

   là où:

   <namespace>

   Facultatif : Spécifie l’espace de noms si l’objet est défini dans un espace de noms différent de celui de l’espace de noms actuel.

2. Editez l’objet de stratégie réseau.

   • Lorsque vous enregistrez la définition de stratégie réseau dans un fichier, modifiez le fichier et apportez les modifications nécessaires, puis entrez la commande suivante.

     $ oc apply -n <namespace> -f <policy_file>.yaml

     Copy to Clipboard Toggle word wrap

     là où:

     <namespace>

     Facultatif : Spécifie l’espace de noms si l’objet est défini dans un espace de noms différent de celui de l’espace de noms actuel.

     <policy_file>

     Indique le nom du fichier contenant la stratégie réseau.

   • Lorsque vous devez mettre à jour l’objet de stratégie réseau directement, entrez la commande suivante:

     $ oc edit networkpolicy <policy_name> -n <namespace>

     Copy to Clipboard Toggle word wrap

     là où:

     <policy_name>

     Indique le nom de la stratégie réseau.

     <namespace>

     Facultatif : Spécifie l’espace de noms si l’objet est défini dans un espace de noms différent de celui de l’espace de noms actuel.

3. Confirmez que l’objet de stratégie réseau est mis à jour.

   $ oc describe networkpolicy <policy_name> -n <namespace>

   Copy to Clipboard Toggle word wrap

   là où:

   <policy_name>

   Indique le nom de la stratégie réseau.

   <namespace>

   Facultatif : Spécifie l’espace de noms si l’objet est défini dans un espace de noms différent de celui de l’espace de noms actuel.