21.5. 다중 네트워크 정책 구성

프로세스

1. 다음과 같이 정책 규칙을 생성합니다.

   1. <policy_name>.yaml 파일을 생성합니다.

      $ touch <policy_name>.yaml

      다음과 같습니다.

      <policy_name>

      다중 네트워크 정책 파일 이름을 지정합니다.

   2. 방금 만든 파일에서 다음 예와 같이 다중 네트워크 정책을 정의합니다.

      모든 네임스페이스의 모든 Pod에서 수신 거부

      이는 다른 네트워크 정책 구성에서 허용하는 포드 간 트래픽 이외의 모든 교차 포드 네트워킹을 차단하는 기본 정책입니다.

      apiVersion: k8s.cni.cncf.io/v1beta1
      kind: MultiNetworkPolicy
      metadata:
        name: deny-by-default
        annotations:
          k8s.v1.cni.cncf.io/policy-for:<namespace_name>/<network_name>
      spec:
        podSelector: {}
        policyTypes:
        - Ingress
        ingress: []

      다음과 같습니다.

      <network_name>

      네트워크 연결 정의의 이름을 지정합니다.

      동일한 네임 스페이스에 있는 모든 Pod의 수신 허용

      apiVersion: k8s.cni.cncf.io/v1beta1
      kind: MultiNetworkPolicy
      metadata:
        name: allow-same-namespace
        annotations:
          k8s.v1.cni.cncf.io/policy-for: <network_name>
      spec:
        podSelector:
        ingress:
        - from:
          - podSelector: {}

      다음과 같습니다.

      <network_name>

      네트워크 연결 정의의 이름을 지정합니다.

      특정 네임스페이스에서 하나의 Pod로 수신 트래픽 허용

      이 정책을 사용하면 namespace-y 에서 실행되는 Pod에서 pod-a 레이블이 지정된 Pod로의 트래픽을 허용합니다.

      apiVersion: k8s.cni.cncf.io/v1beta1
      kind: MultiNetworkPolicy
      metadata:
        name: allow-traffic-pod
        annotations:
          k8s.v1.cni.cncf.io/policy-for: <network_name>
      spec:
        podSelector:
         matchLabels:
            pod: pod-a
        policyTypes:
        - Ingress
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                 kubernetes.io/metadata.name: namespace-y

      다음과 같습니다.

      <network_name>

      네트워크 연결 정의의 이름을 지정합니다.

      서비스로 트래픽 제한

      이 정책을 적용하면 app=bookstore 및 role=api 레이블이 모두 있는 모든 Pod는 app=bookstore 레이블이 있는 Pod에서만 액세스할 수 있습니다. 이 예에서 애플리케이션은 app=bookstore 및 role=api 레이블이 있는 REST API 서버일 수 있습니다.

      이 예제에서는 다음 사용 사례를 해결합니다.

      • 서비스에 대한 트래픽을 사용해야 하는 다른 마이크로 서비스로만 제한합니다.

      • 애플리케이션을 사용하는 애플리케이션만 허용하도록 데이터베이스에 대한 연결을 제한합니다.

        apiVersion: k8s.cni.cncf.io/v1beta1
        kind: MultiNetworkPolicy
        metadata:
          name: api-allow
          annotations:
            k8s.v1.cni.cncf.io/policy-for: <network_name>
        spec:
          podSelector:
            matchLabels:
              app: bookstore
              role: api
          ingress:
          - from:
              - podSelector:
                  matchLabels:
                    app: bookstore

        다음과 같습니다.

        <network_name>

        네트워크 연결 정의의 이름을 지정합니다.

2. 다음 명령을 실행하여 다중 네트워크 정책 오브젝트를 생성합니다.

   $ oc apply -f <policy_name>.yaml -n <namespace>

   다음과 같습니다.

   <policy_name>

   다중 네트워크 정책 파일 이름을 지정합니다.

   <namespace>

   선택 사항: 오브젝트가 현재 네임스페이스와 다른 네임스페이스에 정의된 경우 이를 사용하여 네임스페이스를 지정합니다.

   출력 예

   multinetworkpolicy.k8s.cni.cncf.io/deny-by-default created

프로세스

1. 선택 사항: 네임스페이스의 다중 네트워크 정책 오브젝트를 나열하려면 다음 명령을 입력합니다.

   $ oc get multi-networkpolicy

   다음과 같습니다.

   <namespace>

   선택 사항: 오브젝트가 현재 네임스페이스와 다른 네임스페이스에 정의된 경우 이를 사용하여 네임스페이스를 지정합니다.

2. 다중 네트워크 정책 오브젝트를 편집합니다.

   • 다중 네트워크 정책 정의를 파일에 저장한 경우 파일을 편집하고 필요한 사항을 변경한 후 다음 명령을 입력합니다.

     $ oc apply -n <namespace> -f <policy_file>.yaml

     다음과 같습니다.

     <namespace>

     선택 사항: 오브젝트가 현재 네임스페이스와 다른 네임스페이스에 정의된 경우 이를 사용하여 네임스페이스를 지정합니다.

     <policy_file>

     네트워크 정책이 포함된 파일의 이름을 지정합니다.

   • 다중 네트워크 정책 오브젝트를 직접 업데이트해야 하는 경우 다음 명령을 입력합니다.

     $ oc edit multi-networkpolicy <policy_name> -n <namespace>

     다음과 같습니다.

     <policy_name>

     네트워크 정책의 이름을 지정합니다.

     <namespace>

     선택 사항: 오브젝트가 현재 네임스페이스와 다른 네임스페이스에 정의된 경우 이를 사용하여 네임스페이스를 지정합니다.

3. 다중 네트워크 정책 오브젝트가 업데이트되었는지 확인합니다.

   $ oc describe multi-networkpolicy <policy_name> -n <namespace>

   다음과 같습니다.

   <policy_name>

   다중 네트워크 정책의 이름을 지정합니다.

   <namespace>

   선택 사항: 오브젝트가 현재 네임스페이스와 다른 네임스페이스에 정의된 경우 이를 사용하여 네임스페이스를 지정합니다.

프로세스

1. 모든 네임스페이스의 모든 포드의 수신을 거부하도록 기본 거부 정책을 정의하는 다음 YAML을 생성합니다. YAML을 deny-by-default.yaml 파일에 저장합니다.

   apiVersion: k8s.cni.cncf.io/v1beta1
   kind: MultiNetworkPolicy
   metadata:
     name: deny-by-default
     namespace: default 1
     annotations:
       k8s.v1.cni.cncf.io/policy-for: <namespace_name>/<network_name> 2
   spec:
     podSelector: {} 3
     policyTypes: 4
     - Ingress 5
     ingress: [] 6

   1

   namespace: default 는 이 정책을 기본 네임스페이스에 배포합니다.

   2

   network_name: 네트워크 연결 정의의 이름을 지정합니다.

   3

   podSelector: 가 비어 있습니다. 즉, 모든 Pod와 일치합니다. 따라서 정책은 default 네임스페이스의 모든 Pod에 적용됩니다.

   4

   policyTypes: NetworkPolicy 와 관련된 규칙 유형 목록입니다.

   5

   Ingress 로만 policyType 으로 지정합니다.

   6

   지정된 수신 규칙이 없습니다. 이로 인해 들어오는 트래픽이 모든 Pod로 삭제됩니다.

2. 다음 명령을 입력하여 정책을 적용합니다.

   $ oc apply -f deny-by-default.yaml

   출력 예

   multinetworkpolicy.k8s.cni.cncf.io/deny-by-default created

프로세스

1. 직접 또는 로드 밸런서를 사용하여 pod에 액세스하여 공용 인터넷의 트래픽을 허용하는 정책을 생성합니다. YAML을 web-allow-external.yaml 파일에 저장합니다.

   apiVersion: k8s.cni.cncf.io/v1beta1
   kind: MultiNetworkPolicy
   metadata:
     name: web-allow-external
     namespace: default
     annotations:
       k8s.v1.cni.cncf.io/policy-for: <network_name>
   spec:
     policyTypes:
     - Ingress
     podSelector:
       matchLabels:
         app: web
     ingress:
       - {}

2. 다음 명령을 입력하여 정책을 적용합니다.

   $ oc apply -f web-allow-external.yaml

   출력 예

   multinetworkpolicy.k8s.cni.cncf.io/web-allow-external created

   이 정책은 다음 다이어그램에 설명된 대로 외부 트래픽을 포함하여 모든 리소스의 트래픽을 허용합니다.

프로세스

1. 모든 네임스페이스의 모든 Pod에서 특정 애플리케이션으로의 트래픽을 허용하는 정책을 생성합니다. YAML을 web-allow-all-namespaces.yaml 파일에 저장합니다.

   apiVersion: k8s.cni.cncf.io/v1beta1
   kind: MultiNetworkPolicy
   metadata:
     name: web-allow-all-namespaces
     namespace: default
     annotations:
       k8s.v1.cni.cncf.io/policy-for: <network_name>
   spec:
     podSelector:
       matchLabels:
         app: web 1
     policyTypes:
     - Ingress
     ingress:
     - from:
       - namespaceSelector: {} 2

   1

   기본 네임스페이스의 app:web pod에만 정책을 적용합니다.

   2

   모든 네임스페이스의 모든 Pod를 선택합니다.

   참고

   기본적으로 namespaceSelector 를 지정하는 것을 생략하면 네임스페이스를 선택하지 않으므로 정책에서 네트워크 정책이 배포된 네임스페이스의 트래픽만 허용합니다.

2. 다음 명령을 입력하여 정책을 적용합니다.

   $ oc apply -f web-allow-all-namespaces.yaml

   출력 예

   multinetworkpolicy.k8s.cni.cncf.io/web-allow-all-namespaces created

검증

1. 다음 명령을 입력하여 기본 네임스페이스에서 웹 서비스를 시작합니다.

   $ oc run web --namespace=default --image=nginx --labels="app=web" --expose --port=80

2. 다음 명령을 실행하여 보조 네임스페이스에 alpine 이미지를 배포하고 쉘을 시작합니다.

   $ oc run test-$RANDOM --namespace=secondary --rm -i -t --image=alpine -- sh

3. 쉘에서 다음 명령을 실행하고 요청이 허용되는지 확인합니다.

   # wget -qO- --timeout=2 http://web.default

   예상 출력

   <!DOCTYPE html>
   <html>
   <head>
   <title>Welcome to nginx!</title>
   <style>
   html { color-scheme: light dark; }
   body { width: 35em; margin: 0 auto;
   font-family: Tahoma, Verdana, Arial, sans-serif; }
   </style>
   </head>
   <body>
   <h1>Welcome to nginx!</h1>
   <p>If you see this page, the nginx web server is successfully installed and
   working. Further configuration is required.</p>
   
   <p>For online documentation and support please refer to
   <a href="http://nginx.org/">nginx.org</a>.<br/>
   Commercial support is available at
   <a href="http://nginx.com/">nginx.com</a>.</p>
   
   <p><em>Thank you for using nginx.</em></p>
   </body>
   </html>

프로세스

1. purpose=production 레이블이 있는 특정 네임스페이스의 모든 Pod의 트래픽을 허용하는 정책을 생성합니다. YAML을 web-allow-prod.yaml 파일에 저장합니다.

   apiVersion: k8s.cni.cncf.io/v1beta1
   kind: MultiNetworkPolicy
   metadata:
     name: web-allow-prod
     namespace: default
     annotations:
       k8s.v1.cni.cncf.io/policy-for: <network_name>
   spec:
     podSelector:
       matchLabels:
         app: web 1
     policyTypes:
     - Ingress
     ingress:
     - from:
       - namespaceSelector:
           matchLabels:
             purpose: production 2

   1

   기본 네임스페이스의 app:web pod에만 정책을 적용합니다.

   2

   purpose=production 레이블이 있는 네임스페이스의 Pod로만 트래픽을 제한합니다.

2. 다음 명령을 입력하여 정책을 적용합니다.

   $ oc apply -f web-allow-prod.yaml

   출력 예

   multinetworkpolicy.k8s.cni.cncf.io/web-allow-prod created

검증

1. 다음 명령을 입력하여 기본 네임스페이스에서 웹 서비스를 시작합니다.

   $ oc run web --namespace=default --image=nginx --labels="app=web" --expose --port=80

2. 다음 명령을 실행하여 prod 네임스페이스를 생성합니다.

   $ oc create namespace prod

3. 다음 명령을 실행하여 prod 네임스페이스에 레이블을 지정합니다.

   $ oc label namespace/prod purpose=production

4. 다음 명령을 실행하여 dev 네임스페이스를 생성합니다.

   $ oc create namespace dev

5. 다음 명령을 실행하여 dev 네임스페이스에 레이블을 지정합니다.

   $ oc label namespace/dev purpose=testing

6. 다음 명령을 실행하여 dev 네임스페이스에 alpine 이미지를 배포하고 쉘을 시작합니다.

   $ oc run test-$RANDOM --namespace=dev --rm -i -t --image=alpine -- sh

7. 쉘에서 다음 명령을 실행하고 요청이 차단되었는지 확인합니다.

   # wget -qO- --timeout=2 http://web.default

   예상 출력

   wget: download timed out

8. 다음 명령을 실행하여 prod 네임스페이스에 alpine 이미지를 배포하고 쉘을 시작합니다.

   $ oc run test-$RANDOM --namespace=prod --rm -i -t --image=alpine -- sh

9. 쉘에서 다음 명령을 실행하고 요청이 허용되는지 확인합니다.

   # wget -qO- --timeout=2 http://web.default

   예상 출력

   <!DOCTYPE html>
   <html>
   <head>
   <title>Welcome to nginx!</title>
   <style>
   html { color-scheme: light dark; }
   body { width: 35em; margin: 0 auto;
   font-family: Tahoma, Verdana, Arial, sans-serif; }
   </style>
   </head>
   <body>
   <h1>Welcome to nginx!</h1>
   <p>If you see this page, the nginx web server is successfully installed and
   working. Further configuration is required.</p>
   
   <p>For online documentation and support please refer to
   <a href="http://nginx.org/">nginx.org</a>.<br/>
   Commercial support is available at
   <a href="http://nginx.com/">nginx.com</a>.</p>
   
   <p><em>Thank you for using nginx.</em></p>
   </body>
   </html>