8.10. 启用 NetworkPolicy

拒绝所有流量

要使项目"默认为拒绝"添加匹配所有 pod 但不接受任何流量的 NetworkPolicy 对象。

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: deny-by-default
spec:
  podSelector:
  ingress: []

仅接受项目中 pod 的连接

要使 pod 接受同一项目中其他 pod 的连接，但拒绝其他项目中所有 pod 的连接：

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: allow-same-namespace
spec:
  podSelector:
  ingress:
  - from:
    - podSelector: {}

只允许基于 pod 标签的 HTTP 和 HTTPS 流量

要对带有特定标签的 Pod 仅启用 HTTP 和 HTTPS 访问（以下示例中 role=frontend），请添加类似如下的 NetworkPolicy 对象：

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: allow-http-and-https
spec:
  podSelector:
    matchLabels:
      role: frontend
  ingress:
  - ports:
    - protocol: TCP
      port: 80
    - protocol: TCP
      port: 443