声明网络策略

本文可以帮助你开始使用 Kubernetes 的 NetworkPolicy API 声明网络策略去管理 Pod 之间的通信

说明: 本部分链接到提供 Kubernetes 所需功能的第三方项目。Kubernetes 项目作者不负责这些项目。此页面遵循CNCF 网站指南,按字母顺序列出项目。要将项目添加到此列表中,请在提交更改之前阅读内容指南

准备开始

你必须拥有一个 Kubernetes 的集群,且必须配置 kubectl 命令行工具让其与你的集群通信。 建议运行本教程的集群至少有两个节点,且这两个节点不能作为控制平面主机。 如果你还没有集群,你可以通过 Minikube 构建一个你自己的集群,或者你可以使用下面的 Kubernetes 练习环境之一:

你的 Kubernetes 服务器版本必须不低于版本 v1.8. 要获知版本信息,请输入 kubectl version.

你首先需要有一个支持网络策略的 Kubernetes 集群。已经有许多支持 NetworkPolicy 的网络提供商,包括:

创建一个nginx Deployment 并且通过服务将其暴露

为了查看 Kubernetes 网络策略是怎样工作的,可以从创建一个nginx Deployment 并且通过服务将其暴露开始

  1. kubectl create deployment nginx --image=nginx
  1. deployment.apps/nginx created

将此 Deployment 以名为 nginx 的 Service 暴露出来:

  1. kubectl expose deployment nginx --port=80
  1. service/nginx exposed

上述命令创建了一个带有一个 nginx 的 Deployment,并将之通过名为 nginx 的 Service 暴露出来。名为 nginx 的 Pod 和 Deployment 都位于 default 名字空间内。

  1. kubectl get svc,pod
  1. NAME CLUSTER-IP EXTERNAL-IP PORT(S) AGE
  2. service/kubernetes 10.100.0.1 <none> 443/TCP 46m
  3. service/nginx 10.100.0.16 <none> 80/TCP 33s
  4. NAME READY STATUS RESTARTS AGE
  5. pod/nginx-701339712-e0qfq 1/1 Running 0 35s

通过从 Pod 访问服务对其进行测试

你应该可以从其它的 Pod 访问这个新的 nginx 服务。 要从 default 命名空间中的其它 Pod 来访问该服务。可以启动一个 busybox 容器:

  1. kubectl run busybox --rm -ti --image=busybox:1.28 -- /bin/sh

在你的 Shell 中,运行下面的命令:

  1. wget --spider --timeout=1 nginx
  1. Connecting to nginx (10.100.0.16:80)
  2. remote file exists

限制 nginx 服务的访问

如果想限制对 nginx 服务的访问,只让那些拥有标签 access: true 的 Pod 访问它, 那么可以创建一个如下所示的 NetworkPolicy 对象:

  1. service/networking/nginx-policy.yaml
  1. apiVersion: networking.k8s.io/v1
  2. kind: NetworkPolicy
  3. metadata:
  4. name: access-nginx
  5. spec:
  6. podSelector:
  7. matchLabels:
  8. app: nginx
  9. ingress:
  10. - from:
  11. - podSelector:
  12. matchLabels:
  13. access: "true"

NetworkPolicy 对象的名称必须是一个合法的 DNS 子域名.

说明:

NetworkPolicy 中包含选择策略所适用的 Pods 集合的 podSelector。 你可以看到上面的策略选择的是带有标签 app=nginx 的 Pods。 此标签是被自动添加到 nginx Deployment 中的 Pod 上的。 如果 podSelector 为空,则意味着选择的是名字空间中的所有 Pods。

为服务指定策略

使用 kubectl 根据上面的 nginx-policy.yaml 文件创建一个 NetworkPolicy:

  1. kubectl apply -f https://k8s.io/examples/service/networking/nginx-policy.yaml
  1. networkpolicy.networking.k8s.io/access-nginx created

测试没有定义访问标签时访问服务

如果你尝试从没有设定正确标签的 Pod 中去访问 nginx 服务,请求将会超时:

  1. kubectl run busybox --rm -ti --image=busybox:1.28 -- /bin/sh

在 Shell 中运行命令:

  1. wget --spider --timeout=1 nginx
  1. Connecting to nginx (10.100.0.16:80)
  2. wget: download timed out

定义访问标签后再次测试

创建一个拥有正确标签的 Pod,你将看到请求是被允许的:

  1. kubectl run busybox --rm -ti --labels="access=true" --image=busybox:1.28 -- /bin/sh

在 Shell 中运行命令:

  1. wget --spider --timeout=1 nginx
  1. Connecting to nginx (10.100.0.16:80)
  2. remote file exists