第 7 章 网络策略

拒绝所有流量：

要使项目默认为拒绝流量，请添加一个匹配所有 pod 但不接受任何流量的 NetworkPolicy 对象：

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: deny-by-default
spec:
  podSelector:
  ingress: []

只允许 OpenShift Container Platform Ingress Controller 的连接：

要使项目只允许 OpenShift Container Platform Ingress Controller 的连接，请添加以下 NetworkPolicy 对象：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-from-openshift-ingress
spec:
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          network.openshift.io/policy-group: ingress
  podSelector: {}
  policyTypes:
  - Ingress

如果 Ingress Controller 配置了endpointPublishingStrategy: HostNetwork，则 Ingress Controller pod 在主机网络中运行。在主机网络中运行时，来自 Ingress Controller 的网络流量会被分配 netid:0 Virtual Network ID (VNID) 。与 Ingress Operator 关联的命名空间的 netid 不同，因此 allow-from-openshift-ingress 中的 matchLabel 网络策略与 default Ingress Controller 的流量不匹配。因为 default 命名空间被分配了 netid:0 VNID，所以可以通过把 default 命名空间标记（label）为 network.openshift.io/policy-group: ingress 来允许来自于 default Ingress Controller 的网络流量。

只接受项目中 pod 的连接：

要使 pod 接受同一项目中其他 pod 的连接，但拒绝其他项目中所有 pod 的连接，请添加以下 NetworkPolicy 对象：

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: allow-same-namespace
spec:
  podSelector:
  ingress:
  - from:
    - podSelector: {}

仅允许基于 pod 标签的 HTTP 和 HTTPS 流量：

要对带有特定标签（以下示例中的 role=frontend）的 pod 仅启用 HTTP 和 HTTPS 访问，请添加类似如下的 NetworkPolicy 对象：

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: allow-http-and-https
spec:
  podSelector:
    matchLabels:
      role: frontend
  ingress:
  - ports:
    - protocol: TCP
      port: 80
    - protocol: TCP
      port: 443

使用命名空间和 pod 选择器接受连接：

要通过组合使用命名空间和 pod 选择器来匹配网络流量,您可以使用类似如下的 NetworkPolicy 对象：

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: allow-pod-and-namespace-both
spec:
  podSelector:
    matchLabels:
      name: test-pods
  ingress:
    - from:
      - namespaceSelector:
          matchLabels:
            project: project_name
        podSelector:
          matchLabels:
            name: test-pods

使用命名空间使其包含需要隔离的 pod 组，可以减少 OVS 流规则数量。

使用 namespaceSelector 或空 podSelector 选择整个命名空间的NetworkPolicy 对象会只生成 一个与命名空间的 VXLAN 虚拟网络 ID（VNID）匹配的 OVS 流量规则。