7.3.3. 송신 방화벽을 사용하여 Pod 액세스 제한

Pod 제한 정책에 대한 JSON 파일을 생성합니다.

# oc create -f <policy>.json

정책 세부 정보를 사용하여 JSON 파일을 구성합니다. 예를 들면 다음과 같습니다.

{
    "kind": "EgressNetworkPolicy",
    "apiVersion": "v1",
    "metadata": {
        "name": "default"
    },
    "spec": {
        "egress": [
            {
                "type": "Allow",
                "to": {
                    "cidrSelector": "1.2.3.0/24"
                }
            },
            {
                "type": "Allow",
                "to": {
                    "dnsName": "www.foo.com"
                }
            },
            {
                "type": "Deny",
                "to": {
                    "cidrSelector": "0.0.0.0/0"
                }
            }
        ]
    }
}

위의 예가 프로젝트에 추가되면 IP 범위 1.2.3.0/24 및 도메인 이름 www.foo.com 에 대한 트래픽을 허용하지만 다른 모든 외부 IP 주소에 대한 액세스를 거부합니다. (정책이 외부 트래픽에만 적용되므로 다른 포드에 대한 트래픽은 영향을 받지 않습니다.)

EgressNetworkPolicy 의 규칙이 순서대로 확인되고 일치하는 첫 번째 규칙이 적용됩니다. 위 예제의 세 규칙이 되돌리면 0.0.0.0/0 규칙이 먼저 확인되므로 트래픽이 1.2.3.0/24 및 www.foo.com 에 허용되지 않으며 모든 트래픽과 일치하고 거부됩니다.

도메인 이름 업데이트가 30분 이내에 반영됩니다. 위의 예에서 www.foo.com 가 10.11.12.13 로 해결되었지만 나중에 20.21.22.23 으로 변경되었습니다. 그런 다음 OpenShift Container Platform이 이러한 DNS 업데이트에 맞게 조정하는 데 최대 30분이 걸립니다.