Kubernetes 网络策略（Network Policy）详解与应用

好的，各位亲爱的程序猿、攻城狮、架构师们，欢迎来到今天的Kubernetes网络策略“相声专场”！我是你们今天的“捧哏”兼“逗哏”——一个在K8s的泥潭里摸爬滚打多年的老司机。

今天咱们要聊聊Kubernetes里一个非常重要，但又经常被忽略的家伙——网络策略（Network Policy）。它就像K8s集群里的“保安”，负责保护咱们的Pod们，防止它们被“坏人”攻击，或者“熊孩子”乱搞。

准备好了吗？咱们这就开始！

一、啥是网络策略？为啥需要它？

想象一下，你家住在一个大型的公寓楼里，里面住着各式各样的人：程序员、医生、艺术家、甚至还有……程序媛！ (嘿嘿嘿) 如果这个公寓楼没有任何安保措施，那会发生什么？小偷可以随便进出，推销员可以疯狂敲门，隔壁老王可能没事就来串个门…… 简直就是灾难！

在K8s的世界里，Pod们就像公寓楼里的住户，默认情况下，它们之间是可以自由通信的，就像“大门敞开”一样。这就带来了安全隐患：

横向攻击： 如果一个Pod被攻破，攻击者就可以利用它作为跳板，攻击集群里的其他Pod。
数据泄露： 敏感数据可能被不应该访问的Pod访问。
配置错误： 错误的配置可能导致Pod之间意外的通信，造成混乱。

网络策略就是为了解决这些问题而生的。它允许你定义Pod之间允许的流量规则，就像给公寓楼加上了门禁系统一样，只有经过授权的Pod才能互相通信。

用官方一点的话说： Kubernetes Network Policy 是一个 Kubernetes 对象，它定义了 Pod 之间以及 Pod 与其他网络端点之间的允许流量规则。它通过使用标签选择器来选择 Pod，并定义允许的入口和出口流量。

二、网络策略的“葵花宝典”：基本概念与语法

想要用好网络策略，就得先了解它的基本概念和语法。别怕，我用最通俗易懂的方式给你讲明白。

1. 核心要素：

apiVersion 和 kind: 这俩哥们是K8s对象的标配，网络策略的apiVersion通常是networking.k8s.io/v1，kind是NetworkPolicy。
metadata: 这里可以定义网络策略的名称、命名空间等元数据。
spec: 这是网络策略的核心部分，定义了策略的具体规则。

2. spec 里的“乾坤”：

podSelector: 这个就是“目标选择器”，用来指定网络策略作用于哪些Pod。通过标签选择器（label selector）来选择Pod。就像给公寓楼里的住户贴上标签，例如“程序员”、“医生”等，然后网络策略就可以根据这些标签来控制流量。
ingress: 定义允许进入Pod的流量规则，也就是“入口规则”。
egress: 定义允许Pod发出的流量规则，也就是“出口规则”。
policyTypes: 指定网络策略的类型，可以是Ingress、Egress或者两者都有。如果不指定，则默认为Ingress。

3. ingress 和 egress 里的“机关”：

这两个部分都包含一个rules列表，每个rule定义了一条允许的流量规则。

from: 指定流量的来源，可以是：
- podSelector：允许来自特定Pod的流量。
- namespaceSelector：允许来自特定命名空间的流量。
- ipBlock：允许来自特定IP地址段的流量。
to: (只在egress中使用) 指定流量的目的地，可以是：
- podSelector：允许发送到特定Pod的流量。
- namespaceSelector：允许发送到特定命名空间的流量。
- ipBlock：允许发送到特定IP地址段的流量。
ports: 指定允许的端口和协议，可以是：
- port：端口号。
- protocol：协议类型，例如TCP、UDP、SCTP。

4. 一个简单的例子：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-from-frontend
  namespace: my-namespace
spec:
  podSelector:
    matchLabels:
      app: backend
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: frontend
    ports:
    - protocol: TCP
      port: 8080

这个网络策略的意思是：

作用于my-namespace命名空间下，标签为app: backend的Pod。
允许来自my-namespace命名空间下，标签为app: frontend的Pod的TCP 8080端口的流量。

三、网络策略的“十八般武艺”：实际应用场景

光说不练假把式，接下来咱们就来看看网络策略在实际应用中都能做些什么。

1. 保护数据库：

数据库通常存储着敏感数据，需要严格保护。可以通过网络策略，只允许特定的应用Pod访问数据库Pod，防止未经授权的访问。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-db-access
  namespace: production
spec:
  podSelector:
    matchLabels:
      app: database
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: backend
    ports:
    - protocol: TCP
      port: 5432  # PostgreSQL的默认端口

这个网络策略只允许production命名空间下，标签为app: backend的Pod访问数据库Pod的PostgreSQL端口。

2. 隔离开发环境和生产环境：

开发环境和生产环境应该完全隔离，防止开发环境的错误影响生产环境。可以通过网络策略，禁止开发环境的Pod访问生产环境的Pod。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-dev-to-prod
  namespace: development
spec:
  podSelector: {}  # 匹配所有Pod
  egress:
  - to:
    - namespaceSelector:
        matchLabels:
          env: production
    ports:
    - protocol: TCP
      port: 80  # 阻止访问生产环境的80端口

这个网络策略禁止development命名空间下的所有Pod访问标签为env: production的命名空间。

3. 限制外部访问：

有些Pod可能只需要在集群内部访问，不需要暴露给外部网络。可以通过网络策略，禁止外部网络访问这些Pod。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-external-access
  namespace: internal
spec:
  podSelector:
    matchLabels:
      app: internal-service
  ingress: []  # 拒绝所有入口流量

这个网络策略拒绝所有进入internal命名空间下，标签为app: internal-service的Pod的流量。

4. 实施最小权限原则：

只允许Pod访问它们需要的服务，避免过度授权。例如，只允许前端Pod访问后端API，禁止访问数据库。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-frontend-to-backend
  namespace: my-namespace
spec:
  podSelector:
    matchLabels:
      app: frontend
  egress:
  - to:
    - podSelector:
        matchLabels:
          app: backend-api
    ports:
    - protocol: TCP
      port: 8080

这个网络策略只允许标签为app: frontend的Pod访问标签为app: backend-api的Pod的8080端口。

四、网络策略的“独门秘籍”：高级用法与技巧

掌握了基本用法，咱们再来学习一些网络策略的高级用法，让你的K8s集群更加安全可靠。

1. 使用ipBlock 限制IP地址段：

有时候需要允许来自特定IP地址段的流量，例如允许公司内部网络的流量访问集群。可以使用ipBlock来实现。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-from-office
  namespace: default
spec:
  podSelector:
    matchLabels:
      app: my-app
  ingress:
  - from:
    - ipBlock:
        cidr: 192.168.1.0/24  # 公司内部网络的IP地址段

这个网络策略允许来自192.168.1.0/24 IP地址段的流量访问标签为app: my-app的Pod。

2. 使用namespaceSelector 跨命名空间通信：

如果需要允许不同命名空间下的Pod互相通信，可以使用namespaceSelector。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-from-dev-namespace
  namespace: production
spec:
  podSelector:
    matchLabels:
      app: my-app
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          env: development

这个网络策略允许来自标签为env: development的命名空间下的所有Pod访问production命名空间下标签为app: my-app的Pod。

3. 使用“默认拒绝”策略：

为了最大限度地提高安全性，可以先创建一个“默认拒绝”策略，拒绝所有流量，然后再逐步添加允许的规则。这样可以防止遗漏任何潜在的安全漏洞。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-ingress
  namespace: my-namespace
spec:
  podSelector: {}  # 匹配所有Pod
  ingress: []  # 拒绝所有入口流量

---

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-egress
  namespace: my-namespace
spec:
  podSelector: {}  # 匹配所有Pod
  egress: []  # 拒绝所有出口流量

4. 使用 NetworkPolicy Controller：

Kubernetes本身并不直接实现网络策略，而是依赖于网络插件（CNI）来实现。常用的CNI插件，例如Calico、Cilium、Weave Net等，都支持网络策略。你需要选择一个支持网络策略的CNI插件，并确保它正确安装和配置。

五、网络策略的“常见问题”：避坑指南

在使用网络策略的过程中，可能会遇到一些问题。别担心，我来给你总结一些常见的坑，帮你避开它们。

1. 网络策略不生效：

检查CNI插件是否支持网络策略： 确保你使用的CNI插件支持网络策略，并且已经正确安装和配置。
检查Pod是否匹配podSelector： 仔细检查Pod的标签是否与网络策略的podSelector匹配。注意标签的大小写和空格。
检查命名空间是否正确： 网络策略只作用于它所在的命名空间。确保网络策略和Pod在同一个命名空间下，或者使用namespaceSelector来跨命名空间通信。
检查端口和协议是否正确： 确保网络策略中定义的端口和协议与Pod实际使用的端口和协议一致。
检查是否存在冲突的策略： 如果存在多个网络策略作用于同一个Pod，可能会导致冲突。仔细检查所有相关的网络策略，确保它们没有互相矛盾。

2. Pod无法连接外部网络：

检查egress规则： 如果Pod需要访问外部网络，需要配置egress规则允许访问。默认情况下，K8s会阻止Pod访问外部网络。
检查CNI插件的配置： 有些CNI插件可能需要额外的配置才能允许Pod访问外部网络。

3. 网络策略影响了集群的正常运行：

谨慎使用“默认拒绝”策略： 如果使用“默认拒绝”策略，需要仔细配置所有允许的规则，避免影响集群的正常运行。
逐步实施网络策略： 不要一次性应用大量的网络策略，而是逐步实施，并进行充分的测试，确保不会影响集群的稳定性。

六、网络策略的“未来展望”：发展趋势

网络策略是K8s安全体系中不可或缺的一部分，随着K8s的不断发展，网络策略也在不断演进。未来，网络策略可能会朝着以下几个方向发展：

更细粒度的控制： 未来的网络策略可能会提供更细粒度的控制，例如基于应用层协议的过滤，或者基于用户身份的访问控制。
更智能的策略管理： 未来的网络策略可能会集成机器学习等技术，自动学习和推荐网络策略，简化策略管理。
更强大的可观测性： 未来的网络策略可能会提供更强大的可观测性，帮助用户监控网络流量，诊断安全问题。

七、总结

好了，各位亲爱的程序猿们，今天的Kubernetes网络策略“相声专场”就到这里了。希望通过今天的讲解，大家能够对网络策略有一个更深入的了解，并能够在实际工作中灵活运用它，保护你的K8s集群安全可靠。

记住，网络策略就像K8s集群的“保安”，保护你的Pod们免受“坏人”的攻击。好好利用它，让你的K8s集群更加安全！

最后，送给大家一句话：安全无小事，网络策略，从我做起！ 💪

谢谢大家！鞠躬！ 👏

(希望这篇文章能帮到你，祝你学习愉快！) 😊

发表回复 取消回复

发表回复取消回复