21.2. 네트워크 정책 생성

프로세스

1. 다음과 같이 정책 규칙을 생성합니다.

   1. <policy_name>.yaml 파일을 생성합니다.

      $ touch <policy_name>.yaml

      Copy to Clipboard Toggle word wrap

      다음과 같습니다.

      <policy_name>

      네트워크 정책 파일 이름을 지정합니다.

   2. 방금 만든 파일에서 다음 예와 같이 네트워크 정책을 정의합니다.

      모든 네임스페이스의 모든 Pod에서 수신 거부

      이는 다른 네트워크 정책 구성에서 허용하는 포드 간 트래픽 이외의 모든 교차 포드 네트워킹을 차단하는 기본 정책입니다.

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: deny-by-default
      spec:
        podSelector: {}
        policyTypes:
        - Ingress
        ingress: []

      Copy to Clipboard Toggle word wrap

      동일한 네임 스페이스에 있는 모든 Pod의 수신 허용

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: allow-same-namespace
      spec:
        podSelector:
        ingress:
        - from:
          - podSelector: {}

      Copy to Clipboard Toggle word wrap

      특정 네임스페이스에서 하나의 Pod로 수신 트래픽 허용

      이 정책을 사용하면 namespace-y 에서 실행되는 Pod에서 pod-a 레이블이 지정된 Pod로의 트래픽을 허용합니다.

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: allow-traffic-pod
      spec:
        podSelector:
         matchLabels:
            pod: pod-a
        policyTypes:
        - Ingress
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                 kubernetes.io/metadata.name: namespace-y

      Copy to Clipboard Toggle word wrap

2. 다음 명령을 실행하여 네트워크 정책 오브젝트를 생성합니다.

   $ oc apply -f <policy_name>.yaml -n <namespace>

   Copy to Clipboard Toggle word wrap

   다음과 같습니다.

   <policy_name>

   네트워크 정책 파일 이름을 지정합니다.

   <namespace>

   선택 사항: 오브젝트가 현재 네임스페이스와 다른 네임스페이스에 정의된 경우 이를 사용하여 네임스페이스를 지정합니다.

   출력 예

   networkpolicy.networking.k8s.io/deny-by-default created

   Copy to Clipboard Toggle word wrap

프로세스

1. 모든 네임스페이스의 모든 포드의 수신을 거부하도록 기본 거부 정책을 정의하는 다음 YAML을 생성합니다. YAML을 deny-by-default.yaml 파일에 저장합니다.

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: deny-by-default
     namespace: default 

   1

   
   spec:
     podSelector: {} 

   2

   
     ingress: [] 

   3

   Copy to Clipboard Toggle word wrap

   1

   namespace: default 는 이 정책을 기본 네임스페이스에 배포합니다.

   2

   podSelector: 가 비어 있습니다. 즉, 모든 Pod와 일치합니다. 따라서 정책은 default 네임스페이스의 모든 Pod에 적용됩니다.

   3

   지정된 수신 규칙이 없습니다. 이로 인해 들어오는 트래픽이 모든 Pod로 삭제됩니다.

2. 다음 명령을 입력하여 정책을 적용합니다.

   $ oc apply -f deny-by-default.yaml

   Copy to Clipboard Toggle word wrap

   출력 예

   networkpolicy.networking.k8s.io/deny-by-default created

   Copy to Clipboard Toggle word wrap

프로세스

1. 직접 또는 로드 밸런서를 사용하여 pod에 액세스하여 공용 인터넷의 트래픽을 허용하는 정책을 생성합니다. YAML을 web-allow-external.yaml 파일에 저장합니다.

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: web-allow-external
     namespace: default
   spec:
     policyTypes:
     - Ingress
     podSelector:
       matchLabels:
         app: web
     ingress:
       - {}

   Copy to Clipboard Toggle word wrap

2. 다음 명령을 입력하여 정책을 적용합니다.

   $ oc apply -f web-allow-external.yaml

   Copy to Clipboard Toggle word wrap

   출력 예

   networkpolicy.networking.k8s.io/web-allow-external created

   Copy to Clipboard Toggle word wrap

   이 정책은 다음 다이어그램에 설명된 대로 외부 트래픽을 포함하여 모든 리소스의 트래픽을 허용합니다.

프로세스

1. 모든 네임스페이스의 모든 Pod에서 특정 애플리케이션으로의 트래픽을 허용하는 정책을 생성합니다. YAML을 web-allow-all-namespaces.yaml 파일에 저장합니다.

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: web-allow-all-namespaces
     namespace: default
   spec:
     podSelector:
       matchLabels:
         app: web 

   1

   
     policyTypes:
     - Ingress
     ingress:
     - from:
       - namespaceSelector: {} 

   2

   Copy to Clipboard Toggle word wrap

   1

   기본 네임스페이스의 app:web pod에만 정책을 적용합니다.

   2

   모든 네임스페이스의 모든 Pod를 선택합니다.

   참고

   기본적으로 namespaceSelector 를 지정하는 것을 생략하면 네임스페이스를 선택하지 않으므로 정책에서 네트워크 정책이 배포된 네임스페이스의 트래픽만 허용합니다.

2. 다음 명령을 입력하여 정책을 적용합니다.

   $ oc apply -f web-allow-all-namespaces.yaml

   Copy to Clipboard Toggle word wrap

   출력 예

   networkpolicy.networking.k8s.io/web-allow-all-namespaces created

   Copy to Clipboard Toggle word wrap

검증

1. 다음 명령을 입력하여 기본 네임스페이스에서 웹 서비스를 시작합니다.

   $ oc run web --namespace=default --image=nginx --labels="app=web" --expose --port=80

   Copy to Clipboard Toggle word wrap

2. 다음 명령을 실행하여 보조 네임스페이스에 alpine 이미지를 배포하고 쉘을 시작합니다.

   $ oc run test-$RANDOM --namespace=secondary --rm -i -t --image=alpine -- sh

   Copy to Clipboard Toggle word wrap

3. 쉘에서 다음 명령을 실행하고 요청이 허용되는지 확인합니다.

   # wget -qO- --timeout=2 http://web.default

   Copy to Clipboard Toggle word wrap

   예상 출력

   <!DOCTYPE html>
   <html>
   <head>
   <title>Welcome to nginx!</title>
   <style>
   html { color-scheme: light dark; }
   body { width: 35em; margin: 0 auto;
   font-family: Tahoma, Verdana, Arial, sans-serif; }
   </style>
   </head>
   <body>
   <h1>Welcome to nginx!</h1>
   <p>If you see this page, the nginx web server is successfully installed and
   working. Further configuration is required.</p>
   
   <p>For online documentation and support please refer to
   <a href="http://nginx.org/">nginx.org</a>.<br/>
   Commercial support is available at
   <a href="http://nginx.com/">nginx.com</a>.</p>
   
   <p><em>Thank you for using nginx.</em></p>
   </body>
   </html>

   Copy to Clipboard Toggle word wrap

프로세스

1. purpose=production 레이블이 있는 특정 네임스페이스의 모든 Pod의 트래픽을 허용하는 정책을 생성합니다. YAML을 web-allow-prod.yaml 파일에 저장합니다.

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: web-allow-prod
     namespace: default
   spec:
     podSelector:
       matchLabels:
         app: web 

   1

   
     policyTypes:
     - Ingress
     ingress:
     - from:
       - namespaceSelector:
           matchLabels:
             purpose: production 

   2

   Copy to Clipboard Toggle word wrap

   1

   기본 네임스페이스의 app:web pod에만 정책을 적용합니다.

   2

   purpose=production 레이블이 있는 네임스페이스의 Pod로만 트래픽을 제한합니다.

2. 다음 명령을 입력하여 정책을 적용합니다.

   $ oc apply -f web-allow-prod.yaml

   Copy to Clipboard Toggle word wrap

   출력 예

   networkpolicy.networking.k8s.io/web-allow-prod created

   Copy to Clipboard Toggle word wrap

검증

1. 다음 명령을 입력하여 기본 네임스페이스에서 웹 서비스를 시작합니다.

   $ oc run web --namespace=default --image=nginx --labels="app=web" --expose --port=80

   Copy to Clipboard Toggle word wrap

2. 다음 명령을 실행하여 prod 네임스페이스를 생성합니다.

   $ oc create namespace prod

   Copy to Clipboard Toggle word wrap

3. 다음 명령을 실행하여 prod 네임스페이스에 레이블을 지정합니다.

   $ oc label namespace/prod purpose=production

   Copy to Clipboard Toggle word wrap

4. 다음 명령을 실행하여 dev 네임스페이스를 생성합니다.

   $ oc create namespace dev

   Copy to Clipboard Toggle word wrap

5. 다음 명령을 실행하여 dev 네임스페이스에 레이블을 지정합니다.

   $ oc label namespace/dev purpose=testing

   Copy to Clipboard Toggle word wrap

6. 다음 명령을 실행하여 dev 네임스페이스에 alpine 이미지를 배포하고 쉘을 시작합니다.

   $ oc run test-$RANDOM --namespace=dev --rm -i -t --image=alpine -- sh

   Copy to Clipboard Toggle word wrap

7. 쉘에서 다음 명령을 실행하고 요청이 차단되었는지 확인합니다.

   # wget -qO- --timeout=2 http://web.default

   Copy to Clipboard Toggle word wrap

   예상 출력

   wget: download timed out

   Copy to Clipboard Toggle word wrap

8. 다음 명령을 실행하여 prod 네임스페이스에 alpine 이미지를 배포하고 쉘을 시작합니다.

   $ oc run test-$RANDOM --namespace=prod --rm -i -t --image=alpine -- sh

   Copy to Clipboard Toggle word wrap

9. 쉘에서 다음 명령을 실행하고 요청이 허용되는지 확인합니다.

   # wget -qO- --timeout=2 http://web.default

   Copy to Clipboard Toggle word wrap

   예상 출력

   <!DOCTYPE html>
   <html>
   <head>
   <title>Welcome to nginx!</title>
   <style>
   html { color-scheme: light dark; }
   body { width: 35em; margin: 0 auto;
   font-family: Tahoma, Verdana, Arial, sans-serif; }
   </style>
   </head>
   <body>
   <h1>Welcome to nginx!</h1>
   <p>If you see this page, the nginx web server is successfully installed and
   working. Further configuration is required.</p>
   
   <p>For online documentation and support please refer to
   <a href="http://nginx.org/">nginx.org</a>.<br/>
   Commercial support is available at
   <a href="http://nginx.com/">nginx.com</a>.</p>
   
   <p><em>Thank you for using nginx.</em></p>
   </body>
   </html>

   Copy to Clipboard Toggle word wrap