第 8 章 管理网络策略

网络图提供有关环境中部署、网络流和网络策略的高级信息。

RHACS 处理每个安全集群中的所有网络策略，以显示哪些部署可以相互联系，并可以访问外部网络。它还监控运行部署并跟踪它们之间的流量。您可以在网络图中查看以下项目：

您还可以从网络图形视图模拟网络策略。如需更多信息，请参阅"从网络图模拟网络策略"。

网络图中的导航和用户界面

网络图中的外部实体和连接

网络图视图显示受管集群和外部源之间的网络连接。另外，RHACS 会自动发现并突出显示公共无类别域间路由(CIDR)地址块，如 Google Cloud、AWS、Microsoft Azure、Oracle Cloud 和 Cloudflare。使用此信息，您可以识别具有活跃外部连接的部署，并决定是否从网络外部创建或接收未授权连接。

默认情况下，外部连接指向一个通用的 外部实体 图标和网络图中的不同 CIDR 地址块。但是，您可以通过点 Manage CIDR 块并取消选择自动发现的 CIDR 块 来选择不会显示 自动发现的 CIDR 块。

RHACS 包括以下云供应商的 IP 范围：

RHACS 每 7 天获取和更新云供应商的 IP 范围，并每天更新 CIDR 块。如果您使用离线模式，可以通过安装新的支持软件包来更新这些范围。

下图提供了一个网络图示例。在本例中，根据用户选择的选项，图形描述了所选命名空间中的部署。在点部署等项目前，不会显示流量流。该图使用红色徽标来指示缺少策略的部署，从而允许所有网络流量。

图 8.1. 网络图示例

View larger image

当您点击图形中的项目时，带有 collapsible 部分的 rearranged 侧面板会显示该项目的信息。您可以点以下项目：

侧面板根据您选择的图形中的项目显示相关信息。标头中项目名称旁边的 D 或 NS 标签（本例中为"visa-processor"表示它是部署还是命名空间。以下示例演示了部署的侧面板。

图 8.2. 部署示例的侧面板

View larger image

查看命名空间时，侧面板包含一个搜索栏和一个部署列表。您可以单击部署来查看其信息。侧面板还包括 Network policies 选项卡。在此选项卡中，您可以查看、复制到剪贴板，或导出该命名空间中定义的任何网络策略，如下例所示。

图 8.3. 一个命名空间的侧面板示例

View larger image

要查看网络图形，用户必须至少具有授予 Network Graph Viewer 默认权限集的权限。

为 Network Graph Viewer 权限集授予以下权限：

如需更多信息，请参阅"添加资源"部分中的"系统权限集"。

网络图提供了 RHACS 发现的部署、命名空间和连接的可视化映射。点击图形中的部署，您可以查看部署的信息，包括以下详情：

网络策略指定允许 pod 组相互通信和其他网络端点。Kubernetes NetworkPolicy 资源使用标签来选择 pod，并定义允许哪些流量从所选 pod 或所选 pod 的流量的规则。RHACS 在网络图中发现并显示所有 Kubernetes 集群、命名空间、部署和 pod 的网络策略信息。

您可以指定自定义 CIDR 块，或者在网络图中配置自动发现的 CIDR 块的显示。