6.3. 网络策略

流程

1. 创建策略规则。

   1. 创建一个 <policy_name>.yaml 文件：

      $ touch <policy_name>.yaml

      Copy to Clipboard Toggle word wrap

      其中：

      <policy_name>

      指定网络策略文件名。

   2. 在创建的 文件中定义网络策略。以下示例拒绝来自所有命名空间中的所有 pod 的入口流量。这是一个基本的策略，阻止配置其他网络策略所允许的跨 pod 流量以外的所有跨 pod 网络。

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      spec:
        podSelector: {}
        policyTypes:
        - Ingress
        ingress: []

      Copy to Clipboard Toggle word wrap

      以下示例配置允许来自同一命名空间中的所有 pod 的入口流量：

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: allow-same-namespace
      spec:
        podSelector:
        ingress:
        - from:
          - podSelector: {}
      # ...

      Copy to Clipboard Toggle word wrap

      以下示例允许从特定命名空间中到一个 pod 的入口流量。此策略允许流量从在 namespace-y 中运行的 pod 中获取 pod-a 标签。

      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: allow-traffic-pod
      spec:
        podSelector:
         matchLabels:
            pod: pod-a
        policyTypes:
        - Ingress
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                 kubernetes.io/metadata.name: namespace-y
      # ...

      Copy to Clipboard Toggle word wrap

      以下示例配置限制了服务的流量。应用此策略可确保每个带有标签 app=bookstore 和 role=api 的 Pod 只能被带有标签 app=bookstore 的 Pod 访问。在本例中，应用可以是 REST API 服务器，标记为标签 app=bookstore 和 role=api。

      这个示例配置示例解决了以下用例：

      • 将到一个服务的流量限制为仅使用需要它的其他微服务。

      • 将连接限制为只允许使用它的应用程序。

        kind: NetworkPolicy
        apiVersion: networking.k8s.io/v1
        metadata:
          name: api-allow
        spec:
          podSelector:
            matchLabels:
              app: bookstore
              role: api
          ingress:
          - from:
              - podSelector:
                  matchLabels:
                    app: bookstore
        # ...

        Copy to Clipboard Toggle word wrap

2. 运行以下命令来创建网络策略对象。成功输出列出了策略对象的名称 以及创建 的状态。

   $ oc apply -f <policy_name>.yaml -n <namespace>

   Copy to Clipboard Toggle word wrap

   其中：

   <policy_name>

   指定网络策略文件名。

   <namespace>

   可选参数。如果您在与当前命名空间不同的命名空间中定义了对象，则参数会特定于命名空间。

   成功输出列出了策略对象的名称 以及创建 的状态。

   注意

   如果您使用 cluster-admin 权限登录到 web 控制台，您可以选择在集群中的任何命名空间中以 YAML 或 web 控制台的形式创建网络策略。

流程

1. 创建以下 YAML，以定义 deny-by-default 策略，以拒绝所有命名空间中的所有 pod 的入口流量。将 YAML 保存到 deny-by-default.yaml 文件中：

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: deny-by-default
     namespace: my-project
   spec:
     podSelector: {}
     ingress: []

   Copy to Clipboard Toggle word wrap

   其中：

   namespace

   指定要部署策略的命名空间。例如，my-project 命名空间。

   podSelector

   如果此字段为空，则配置与所有 pod 匹配。因此，该策略适用于 my-project 命名空间中的所有 pod。

   ingress

   其中 [] 表示没有指定 入口 规则。这会导致传入的流量丢弃至所有 pod。

2. 输入以下命令应用策略。成功输出列出了策略对象的名称 以及创建 的状态。

   $ oc apply -f deny-by-default.yaml

   Copy to Clipboard Toggle word wrap

流程

1. 创建策略，以直接从公共互联网的流量或使用负载均衡器访问 pod。将 YAML 保存到 web-allow-external.yaml 文件中：

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   spec:
     policyTypes:
     - Ingress
     podSelector:
       matchLabels:
         app: web
     ingress:
       - {}

   Copy to Clipboard Toggle word wrap

2. 输入以下命令应用策略。成功输出列出了策略对象的名称 以及创建 的状态。

   $ oc apply -f web-allow-external.yaml

   Copy to Clipboard Toggle word wrap

   此策略允许来自所有资源的流量，包括下图所示的外部流量：

流程

1. 创建一个策略，允许从所有命名空间中的所有 pod 流量到特定应用。将 YAML 保存到 web-allow-all-namespaces.yaml 文件中：

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   spec:
     podSelector:
       matchLabels:
         app: web
     policyTypes:
     - Ingress
     ingress:
     - from:
       - namespaceSelector: {}

   Copy to Clipboard Toggle word wrap

   其中：

   app

   仅将策略应用到 default 命名空间中的 app:web pod。

   namespaceSelector

   选择所有命名空间中的所有 pod。

   注意

   默认情况下，如果您没有在策略对象中指定 namespaceSelector 参数，则不会选择命名空间。这意味着策略只允许从网络策略部署的命名空间的流量。

2. 输入以下命令应用策略。成功输出列出了策略对象的名称 以及创建 的状态。

   $ oc apply -f web-allow-all-namespaces.yaml

   Copy to Clipboard Toggle word wrap

验证

1. 输入以下命令在 default 命名空间中启动 web 服务：

   $ oc run web --namespace=default --image=nginx --labels="app=web" --expose --port=80

   Copy to Clipboard Toggle word wrap

2. 运行以下命令在 secondary 命名空间中部署 alpine 镜像并启动 shell：

   $ oc run test-$RANDOM --namespace=secondary --rm -i -t --image=alpine -- sh

   Copy to Clipboard Toggle word wrap

3. 在 shell 中运行以下命令，并观察该服务是否允许请求：

   # wget -qO- --timeout=2 http://web.default

   Copy to Clipboard Toggle word wrap

   <!DOCTYPE html>
   <html>
   <head>
   <title>Welcome to nginx!</title>
   <style>
   html { color-scheme: light dark; }
   body { width: 35em; margin: 0 auto;
   font-family: Tahoma, Verdana, Arial, sans-serif; }
   </style>
   </head>
   <body>
   <h1>Welcome to nginx!</h1>
   <p>If you see this page, the nginx web server is successfully installed and
   working. Further configuration is required.</p>
   
   <p>For online documentation and support please refer to
   <a href="http://nginx.org/">nginx.org</a>.<br/>
   Commercial support is available at
   <a href="http://nginx.com/">nginx.com</a>.</p>
   
   <p><em>Thank you for using nginx.</em></p>
   </body>
   </html>

   Copy to Clipboard Toggle word wrap

流程

1. 创建一个策略，允许来自特定命名空间中所有 pod 的流量，其标签为 purpose=production。将 YAML 保存到 web-allow-prod.yaml 文件中：

   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: web-allow-prod
     namespace: default
   spec:
     podSelector:
       matchLabels:
         app: web
     policyTypes:
     - Ingress
     ingress:
     - from:
       - namespaceSelector:
           matchLabels:
             purpose: production

   Copy to Clipboard Toggle word wrap

   其中：

   app

   仅将策略应用到 default 命名空间中的 app:web pod。

   目的

   将流量仅限制为具有标签 purpose=production 的命名空间中的 pod。

2. 输入以下命令应用策略。成功输出列出了策略对象的名称 以及创建 的状态。

   $ oc apply -f web-allow-prod.yaml

   Copy to Clipboard Toggle word wrap

验证

1. 输入以下命令在 default 命名空间中启动 web 服务：

   $ oc run web --namespace=default --image=nginx --labels="app=web" --expose --port=80

   Copy to Clipboard Toggle word wrap

2. 运行以下命令来创建 prod 命名空间：

   $ oc create namespace prod

   Copy to Clipboard Toggle word wrap

3. 运行以下命令来标记 prod 命名空间：

   $ oc label namespace/prod purpose=production

   Copy to Clipboard Toggle word wrap

4. 运行以下命令来创建 dev 命名空间：

   $ oc create namespace dev

   Copy to Clipboard Toggle word wrap

5. 运行以下命令来标记 dev 命名空间：

   $ oc label namespace/dev purpose=testing

   Copy to Clipboard Toggle word wrap

6. 运行以下命令在 dev 命名空间中部署 alpine 镜像并启动 shell：

   $ oc run test-$RANDOM --namespace=dev --rm -i -t --image=alpine -- sh

   Copy to Clipboard Toggle word wrap

7. 在 shell 中运行以下命令，并观察请求的原因。例如，预期的输出状态为 wget：下载超时。

   # wget -qO- --timeout=2 http://web.default

   Copy to Clipboard Toggle word wrap

8. 运行以下命令，在 prod 命名空间中部署 alpine 镜像并启动 shell：

   $ oc run test-$RANDOM --namespace=prod --rm -i -t --image=alpine -- sh

   Copy to Clipboard Toggle word wrap

9. 在 shell 中运行以下命令，并观察是否允许请求：

   # wget -qO- --timeout=2 http://web.default

   Copy to Clipboard Toggle word wrap

   <!DOCTYPE html>
   <html>
   <head>
   <title>Welcome to nginx!</title>
   <style>
   html { color-scheme: light dark; }
   body { width: 35em; margin: 0 auto;
   font-family: Tahoma, Verdana, Arial, sans-serif; }
   </style>
   </head>
   <body>
   <h1>Welcome to nginx!</h1>
   <p>If you see this page, the nginx web server is successfully installed and
   working. Further configuration is required.</p>
   
   <p>For online documentation and support please refer to
   <a href="http://nginx.org/">nginx.org</a>.<br/>
   Commercial support is available at
   <a href="http://nginx.com/">nginx.com</a>.</p>
   
   <p><em>Thank you for using nginx.</em></p>
   </body>
   </html>

   Copy to Clipboard Toggle word wrap

流程

1. 列出命名空间中的网络策略。

   1. 要查看命名空间中定义的网络策略对象，请输入以下命令：

      $ oc get networkpolicy

      Copy to Clipboard Toggle word wrap

   2. 可选： 要检查特定的网络策略，请输入以下命令：

      $ oc describe networkpolicy <policy_name> -n <namespace>

      Copy to Clipboard Toggle word wrap

      其中：

      <policy_name>

      指定要检查的网络策略的名称。

      <namespace>

      可选： 如果对象在与当前命名空间不同的命名空间中定义，使用它来指定命名空间。

      $ oc describe networkpolicy allow-same-namespace

      Copy to Clipboard Toggle word wrap

      Name:         allow-same-namespace
      Namespace:    ns1
      Created on:   2021-05-24 22:28:56 -0400 EDT
      Labels:       <none>
      Annotations:  <none>
      Spec:
        PodSelector:     <none> (Allowing the specific traffic to all pods in this namespace)
        Allowing ingress traffic:
          To Port: <any> (traffic allowed to all ports)
          From:
            PodSelector: <none>
        Not affecting egress traffic
        Policy Types: Ingress

      Copy to Clipboard Toggle word wrap

流程

1. 可选： 要列出一个命名空间中的网络策略对象，请输入以下命令：

   $ oc get network policy -n <namespace>

   Copy to Clipboard Toggle word wrap

   其中：

   <namespace>

   可选： 如果对象在与当前命名空间不同的命名空间中定义，使用它来指定命名空间。

2. 编辑网络策略对象。

   1. 如果您在文件中保存了网络策略定义，请编辑该文件并进行必要的更改，然后输入以下命令。

      $ oc apply -n <namespace> -f <policy_file>.yaml

      Copy to Clipboard Toggle word wrap

      其中：

      <namespace>

      可选： 如果对象在与当前命名空间不同的命名空间中定义，使用它来指定命名空间。

      <policy_file>

      指定包含网络策略的文件的名称。

   2. 如果您需要直接更新网络策略对象，请输入以下命令：

      $ oc edit network policy <policy_name> -n <namespace>

      Copy to Clipboard Toggle word wrap

      其中：

      <policy_name>

      指定网络策略的名称。

      <namespace>

      可选： 如果对象在与当前命名空间不同的命名空间中定义，使用它来指定命名空间。

3. 确认网络策略对象已更新。

   $ oc describe networkpolicy <policy_name> -n <namespace>

   Copy to Clipboard Toggle word wrap

   其中：

   <policy_name>

   指定网络策略的名称。

   <namespace>

   可选： 如果对象在与当前命名空间不同的命名空间中定义，使用它来指定命名空间。