Kubernetes Egress 网络策略指南

作者：Viswajith Venugopal

翻译：Bach（才云）

校对：bot（才云）、星空下的文仔（才云）

Kubernetes 中的网络策略用于指定 Pod 组之间以及其与外部网络端点之间的通信，它就像是 Kubernetes 的防火墙。与大多数 Kubernetes 对象一样，网络策略非常灵活，功能也很强大。如果了解应用程序中服务的确切通信模式，我们就可以通过网络策略将通信限制在我们想要范围之内。

Ingress 与 Egress

网络策略可用于指定 Pod 的入口（Ingress）****流量和出口（Egress）流量，其规则如下：

如果允许集群外部网络端点到 Pod 的通讯，那么该端点可以访问 Pod。
如果允许 Pod 到集群外部网络端点的通讯，那么 Pod 也可以访问该端点。
如果 Pod（A）到 Pod（B）的流量被允许，那么流量可以通过 A 的出口以及 B 的入口。注意这是单向的，流量从 B 到 A，那么只能从 B 的出口到 A 的入口。

设置 Ingress

在完成入****口网络策略的设置并成功运行后，我们再设置出口网络策略。这样做的原因有两个：首先，一次执行两项操作比较困难，而且我们很难知道是由于入口还是出口配置导致的网络连接失败；其次，出口网络策略通常更难以实施。限制出口可能会引发各种错误，从而影响应用程序运行。

虽然确定网络端点到 Pod 的通讯非常简单，但要确定 Pod 到网络端点的连接方式会比较复杂。之所以出现这一问题，这是因为：

作为常规功能的一部分，Deployment 通常会查询一堆外部服务，根据它们在访问这些服务时处理超时的方式，功能可能会受到一些细微而又难以观察的影响。
Deployment 需要能够与 DNS 服务器通信，以便和其他任何服务器通信，除非这些服务器直接通过 IP 与服务联系。

对 Pod Egress 进行隔离

每个网络策略都有一个 podSelector 字段，该字段会选择一组（0 个或多个）Pod。当网络策略选择了一个 Pod 时，就称该网络策略适用于该 Pod。

此外，每个网络策略都可以根据 policyTypes 字段的值应用于入口和出口。如果 YAML 中未指定此字段，它的值会基于策略中的入口、出口规则默认设置，但默认设置并不靠谱，我们最好进行明确的设置。

一般情况下，如果没有任何出口网络策略适用于 Pod，那么它就是非隔离的出口。这里要注意，隔离是针对入口和出口独立评估的。一个 Pod 的入口和出口可以都隔离，也可以都不隔离，甚至进行单个隔离。如果一个 Pod 的出口没有进行隔离，那么所有的流量都可以从这个 Pod 中出来。

当一个出口网络策略适用于某个 Pod 时，该 Pod 的出口就会被隔离。对于隔离的 Pod，只有在网络策略允许的情况下，才允许网络出口，也就是网络策略白名单。

设置出口网络策略的第一步是对 Pod 进行出口隔离。我们最好先应用“默认拒绝所有”的策略，将所有 Pod 的出口都隔离了。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:name: default-deny-all-egress
spec:podSelector: {}egress:- to:ports:- protocol: TCPport: 53- protocol: UDPport: 53policyTypes:- Egress

不过要注意，默认情况下这个策略允许流量连接到任意 IP 上的 53 端口，以方便 DNS 查找。因此，尽管它可以防止出口出现问题，但不能防止数据泄露，因为攻击者可以将数据发送到 53 端口。

如果想知道 Pod 使用的是哪些 DNS 服务器，我们可以通过缩小访问范围进行确定。例如，要将 DNS 范围缩小到仅提供 kube-dns 服务，可以执行以下操作：

标记 kube-system 命名空间：

kubectl label namespace kube-system networking/namespace=kube-system

应用以下网络策略：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:name: default-deny-all-egress
spec:podSelector: {}egress:- to:- namespaceSelector:matchLabels:networking/namespace: kube-systempodSelector:matchLabels:k8s-app: kube-dnsports:- protocol: TCPport: 53- protocol: UDPport: 53policyTypes:- Egress

重要提示：由于网络策略是带命名空间资源，因此每个命名空间都需要创建此策略。我们可以运行以下命令：

kubectl -n <namespace> create -f <filename>

另外，最好不要将其应用于 kube-system 命名空间，因为它可能会影响集群功能。

明确 Pod 到互联网的出口

在每个命名空间中都采用了 default-deny-all-egress （默认拒绝所有出口）策略后，Pod 将无法连接到互联网，但是在大多数的应用程序中，会有一些 Pod 需要连接到互联网。对此，有一种设置方法：**为允许连接互联网的 Pod 指定标签，并创建一个针对这些标签的网络策略。**例如，以下网络策略允许具有 networking/allow-internet-egress=true 标签的 Pod 发送流量至所有网络端点（包括集群外部的端点）。另外，还是要注意，我们必须为每个命名空间创建该策略：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:name: internet-egress
spec:podSelector:matchLabels:networking/allow-internet-egress: "true"egress:- {}policyTypes:- Egress

这个策略比默认设置具有更高的安全性。不过对于更严格的策略集，理想情况下最好指定更细粒度的 CIDR 块，并明确列出允许的端口和协议。

明确 Pod 间的点对点通信

如果将 Pod 隔离，然后明确 Pod 到 Pod 之间的通信之后，在应用正常工作时，我们会发现，在使用 default-deny-all-egress 策略后，所有的通信都被限制了。对此，我们在入口方向上将每个连接放入白名单后，还需要把出口方向上的连接也放入白名单。无论是遵循上面的建议，允许所有名称空间内部通信，还是将各个 Pod 之间的连接列入白名单，或者采用自定义的方法，对于构建的每个入口策略，都需要制定相应的出口策略。

补充出口网络策略

对于从一组 Pod 到另一组 Pod 之间进行通信的入口策略，构建对应的出口策略非常简单。首先，将 policyTypes 字段更改为仅包含 Egress 的数组，将 spec.podSelector 放在 spec.egress.to.podSelector 中，删除 ingress.from，并将从中提取的 ingress.from.podSelector 放到新的出口策略 spec.podSelector 中。这样就完成了命名空间内的一个入口策略。

至于跨命名空间的策略，如果已经用 network/namespace: 用标签标记了每个命名空间：

kubectl label namespace <name> networking/namespace=<name>

那么，我们需要在入口策略中选择 ingress.from.namespaceselector 的命名空间作为出口策略的 metadata.namespace，并将在入口策略的 metadata.namespace 中指定的命名空间，放到出口策略的 egress.to.namespaceSelector 字段中。

这是一个例子：

最后，上述建议仅仅提供了一个学习网络策略的起点，实际上它会复杂得多。如果想更详细地对它们进行了解，最好多多查看 Kubernetes 教程以及更多的网络策略配置。

原文请点击：https://mp.weixin.qq.com/s/0FIe_5ojwF0NC8FviKFPCQ

Kubernetes Egress 网络策略指南相关推荐

容器编排技术 -- Kubernetes 声明网络策略
容器编排技术 -- Kubernetes 声明网络策略 1 Before you begin 2 创建一个nginx deployment 并且通过服务将其暴露 3 测试服务能够被其它的 pod 访问 ...
Kubernetes之（十七）网络模型和网络策略
目录 Kubernetes之(十七)网络模型和网络策略 Kubernetes网络模型和CNI插件 Docker网络模型 Kubernetes网络模型 Flannel网络插件 Direct routin ...
K8s的网络模型和网络策略
K8s的网络模型和网络策略_路---的博客-CSDN博客_k8s网络模式 1.Kubernetes网络模型和CNI插件在Kubernetes中设计了一种网络模型,要求无论容器运行在集群中的哪个节点, ...
kubernetes学习笔记之十三：基于calico的网络策略入门
一..安装calico [root@k8s-master01 ~]# kubectl apply -f https://docs.projectcalico.org/v3.3/getting-star ...
Kubernetes网络策略，这一篇就够了
目前许多组织都在采用Kubernetes来运行他们的应用程序.以至于有些人将Kubernetes称为新的数据中心操作系统.因此,组织开始将Kubernetes(通常缩写为k8s)视为关键任务平台,它需 ...
关于 kubernetes网络(CNI规范)中Calico,NetworkPolicy(网络策略)方面的一些笔记
写在前面学习k8s遇到整理笔记博文内容主要涉及 K8s网络理论体系简述 K8s中Calico网络方案容器跨主机通信过程Demo K8s中Calico的实现方案 K8s中网络策略方式:egress和 ...
关于 Kubernetes中NetworkPolicy(网络策略)方面的一些笔记
写在前面学习k8s遇到整理笔记博文内容主要涉及 Kubernetes网络策略理论简述 K8s中网络策略方式:egress和ingress的Demo ipBlock,namespaceSelecto ...
浅析 Kubernetes原生NetworkPolicy 网络策略，让更安全的容器运行环境唾手可得
k8s中的网络策略主要分为原生 NetworkPolicy 和第三方网络插件提供的网络策略.本文将主要分析原生Networkpolicy的网络策略. 什么是网络策略网络策略(NetworkPolic ...
Kubernetes基于canel的网络策略
Calico的官方地址:https://docs.projectcalico.org/v3.8/getting-started/kubernetes/installation/flannel 安装ca ...

Kubernetes Egress 网络策略指南

Kubernetes Egress 网络策略指南相关推荐

最新文章

热门文章