2. 程式人生 > 其它 >一文搞懂Kubernetes網路策略（中）

一文搞懂Kubernetes網路策略（中）

阿新 • • 發佈：2021-01-15

技術標籤：KubernetesDCOSkubernetesdocker

從CNCF基金會的成立，到Kubernetes社群蓬勃發展，歷經6載，17年異軍突起，在mesos、swarm等專案角逐中，拔得頭籌，繼而一統容器編排,其成功的關鍵原因可概括為以下幾點：

  • 專案領導者們的堅守與遠見
  • 社群的良好的運作與社群文化
  • 社群與企業落地的正反饋

今天zouyee為大家帶來《一文搞懂Kubernetes網路策略（中）》，其中《kuberneter排程由淺入深：框架》正在編寫中，敬請期待，當前涉及版本均為1.20.+。

三、應用場景
3.1 一般場景
a. 禁止訪問指定服務
kubectl run web --image=nginx --labels app=web --expose --port 80

 
# 未有策略限制時，可以訪問
$ kubectl run busybox --rm -ti --image=busybox /bin/sh
If you don't see a command prompt, try pressing enter.
/ # wget -qO- http://web
<!DOCTYPE html>
<html>
<head>

建立網路策略

# cat web-deny-all.yaml
kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: web-deny-all
spec:
  podSelector:
    matchLabels:
      app: web
  ingress: []
  
$ kubectl apply -f web-deny-all.yaml
networkpolicy "web-deny-all" created

訪問測試

$ kubectl run busybox --rm -ti --image=busybox /bin/sh
If you don't see a command prompt, try pressing enter.
/ # wget -qO- --timeout=2 http://web
wget: download timed out

[外鏈圖片轉存失敗,源站可能有防盜鏈機制,建議將圖片儲存下來直接上傳(img-Z51BXeZ7-1610540947696)(https://github.com/feiskyer/kubernetes-handbook/raw/master/concepts/images/15022447799137.jpg)]

b. 限制訪問指定服務
kubectl run apiserver --image=nginx --labels app=bookstore,role=api --expose --port 80

[外鏈圖片轉存失敗,源站可能有防盜鏈機制,建議將圖片儲存下來直接上傳(img-8zb81ipb-1610540947700)(https://github.com/feiskyer/kubernetes-handbook/raw/master/concepts/images/15022448622429.jpg)]

建立網路策略

# cat api-allow.yaml
kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: api-allow
spec:
  podSelector:
    matchLabels:
      app: bookstore
      role: api
  ingress:
  - from:
      - podSelector:
          matchLabels:
            app: bookstore
# kubectl apply -f api-allow.yaml
networkpolicy "api-allow" created

訪問測試

建立不加label的pod，預期結果，訪問被限制
$ kubectl run busybox --rm -ti --image=busybox /bin/sh
If you don't see a command prompt, try pressing enter.
/ # wget -qO- --timeout=2 http://apiserver
wget: download timed out
/ # exit
建立帶app=bookstore標籤的pod，預期結果，訪問被限制
$ kubectl run busybox --rm -ti --image=busybox --labels app=bookstore,role=frontend /bin/sh
If you don't see a command prompt, try pressing enter.
/ # wget -qO- --timeout=2 http://apiserver
<!DOCTYPE html>
<html><head>
/ # exit
c. 放通訪問限制
kubectl run apiserver --image=nginx --labels app=bookstore,role=api --expose --port 80

應用a中的網路策略，限制所有流量

# cat web-deny-all.yaml
kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: web-deny-all
spec:
  podSelector:
    matchLabels:
      app: web
  ingress: []
  
$ kubectl apply -f web-deny-all.yaml
networkpolicy "web-deny-all" created

建立放通通網路策略

# cat web-deny-all.yaml
kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: web-allow-all
  namespace: default
spec:
  podSelector:
    matchLabels:
      app: web
  ingress:
  - {}
  
$ kubectl apply -f web-allow-all.yaml
networkpolicy "web-allow-all" created
# 需要注意deny跟allow的細微差別就是[]與{}，其中{}代表
- from:
    podSelector: {}
    namespaceSelector: {}
3.2 namespace限制
a. 禁止 namespace 中非白名單流量

[外鏈圖片轉存失敗,源站可能有防盜鏈機制,建議將圖片儲存下來直接上傳(img-37ZH9o67-1610540947701)(https://github.com/feiskyer/kubernetes-handbook/raw/master/concepts/images/15022451724392.gif)]

建立網路策略

# cat default-deny-all.yaml
kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: default-deny-all
  namespace: default
spec:
  podSelector: {}
  ingress: []
# kubectl apply -f default-deny-all.yaml

說明:

  • namespace: default 該策略部署於default

  • podSelector為{}指匹配所有pod，因而該策略對default名稱空間的所有pod都有效

  • ingress未指定，因而對於所有進入流量都禁止

b. 禁止其他 namespace 流量
kubectl create namespace secondary
kubectl run web --namespace secondary --image=nginx \
    --labels=app=web --expose --port 80

[外鏈圖片轉存失敗,源站可能有防盜鏈機制,建議將圖片儲存下來直接上傳(img-pg0T7LVz-1610540947704)(https://github.com/feiskyer/kubernetes-handbook/raw/master/concepts/images/15022452203435.gif)]

建立網路配置

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  namespace: secondary
  name: web-deny-other-namespaces
spec:
  podSelector:
    matchLabels:
  ingress:
  - from:
    - podSelector: {}

訪問測試

# default名稱空間訪問
$ kubectl run busybox --rm -ti --image=busybox /bin/sh
If you don't see a command prompt, try pressing enter.
/ # wget -qO- --timeout=2 http://web.secondary
wget: download timed out
/ # exit
# secondary名稱空間訪問
$ kubectl run busybox --rm -ti --image=busybox --namespace=secondary /bin/sh
If you don't see a command prompt, try pressing enter.
/ # wget -qO- --timeout=2 http://web.secondary
<!DOCTYPE html>
<html>
c. 執行所有namespace流量
kubectl run web --image=nginx --labels app=web --expose --port 80

[外鏈圖片轉存失敗,源站可能有防盜鏈機制,建議將圖片儲存下來直接上傳(img-jU76Cogk-1610540947705)(https://github.com/ahmetb/kubernetes-network-policy-recipes/raw/master/img/5.gif)]

建立網路策略

# cat web-allow-all-namespaces.yaml
kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  namespace: default
  name: web-allow-all-namespaces
spec:
  podSelector:
    matchLabels:
      app: web
  ingress:
  - from:
    - namespaceSelector: {}
# kubectl apply -f web-allow-all-namespaces.yaml
# kubectl create namespace secondary

說明：

  • app: web網路策略應用到該標籤pod
  • namespaceSelector: {}匹配所有名稱空間

訪問測試

# kubectl run busybox --rm -ti --image=busybox --namespace=secondary /bin/sh
If you don't see a command prompt, try pressing enter.
/ # wget -qO- --timeout=2 http://web.secondary
<!DOCTYPE html>
<html>
c. 指定 namespace 訪問服務
# kubectl run web --image=nginx \
    --labels=app=web --expose --port 80
# kubectl create namespace dev
# kubectl label namespace/dev purpose=testing
# kubectl create namespace prod
# kubectl label namespace/prod purpose=production

[外鏈圖片轉存失敗,源站可能有防盜鏈機制,建議將圖片儲存下來直接上傳(img-MpE9ybpr-1610540947706)(https://github.com/feiskyer/kubernetes-handbook/raw/master/concepts/images/15022453441751.gif)]

建立網路策略

# cat web-allow-prod.yaml
kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: web-allow-prod
spec:
  podSelector:
    matchLabels:
      app: web
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          purpose: production
# kubectl apply -f web-allow-prod.yaml
d. 允許其他namespace的指定pod的流量

⚠️ Kubernetes 1.11後支援podSelector 與namespaceSelector的運算子操作，同時需要網路外掛支援

# kubectl run web --image=nginx \
    --labels=app=web --expose --port 80
# kubectl create namespace other
# kubectl create namespace other

建立網路策略

# cat web-allow-all-ns-monitoring.yaml
kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: web-allow-all-ns-monitoring
  namespace: default
spec:
  podSelector:
    matchLabels:
      app: web
  ingress:
    - from:
      - namespaceSelector:     # 選擇namespaces中帶有team=operations標籤的pod
          matchLabels:
            team: operations  
        podSelector:           # 選擇帶有type=monitoring標籤的pod
          matchLabels:
            type: monitoring
# kubectl apply -f web-allow-all-ns-monitoring.yaml

訪問測試

kubectl run busybox --rm -ti --image=busybox  /bin/sh
If you don't see a command prompt, try pressing enter.
/ # wget -qO- --timeout=2 http://web.default
wget: download timed out

(訪問限制)
/ # exit

# kubectl run busybox --rm -ti --image=busybox --labels type=monitoring /bin/sh
If you don't see a command prompt, try pressing enter.
/ # wget -qO- --timeout=2 http://web.default
wget: download timed out

(訪問限制)

# kubectl run busybox --rm -ti --image=busybox --namespace=other /bin/sh
If you don't see a command prompt, try pressing enter.
/ # wget -qO- --timeout=2 http://web.default
wget: download timed out

(訪問限制)

# kubectl run busybox --rm -ti --image=busybox --namespace=other  --labels type=monitoring /bin/sh
If you don't see a command prompt, try pressing enter.
/ # wget -qO- --timeout=2 http://web.default
<!DOCTYPE html>
<html>
<head>
...
(允許訪問)
3.3 允許外網訪問服務
kubectl run web --image=nginx --labels=app=web --port 80
kubectl expose pod/web --type=LoadBalancer
kubectl get svc web
NAME   TYPE           CLUSTER-IP      EXTERNAL-IP   PORT(S)        AGE
web    LoadBalancer   10.233.54.206   <pending>     80:32548/TCP   40s
直至EXTERNAL-IP分配IP為止

[外鏈圖片轉存失敗,源站可能有防盜鏈機制,建議將圖片儲存下來直接上傳(img-Dn1GgTua-1610540947707)(https://github.com/feiskyer/kubernetes-handbook/raw/master/concepts/images/15022454444461.gif)]

建立網路策略

# cat web-allow-external.yaml
kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: web-allow-external
spec:
  podSelector:
    matchLabels:
      app: web
  ingress:
  - ports:
    - port: 80
    from: []
# kubectl apply -f web-allow-external.yaml
3.5 高階功能
a. 允許應用固定埠流量
# kubectl run busybox -ti --image=busybox --labels=app=apiserver /bin/sh
If you don't see a command prompt, try pressing enter.
# nohup python3 -m http.server 8001 &
# nohup python3 -m http.server 5001 &
# exit
# kubectl create service clusterip apiserver \
    --tcp 8001:8000 \
    --tcp 5001:5000

[外鏈圖片轉存失敗,源站可能有防盜鏈機制,建議將圖片儲存下來直接上傳(img-ZccFMn4h-1610540947708)(https://github.com/ahmetb/kubernetes-network-policy-recipes/raw/master/img/9.gif)]

建立網路策略

# cat api-allow-5000.yml
kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: api-allow-5000
spec:
  podSelector:
    matchLabels:
      app: apiserver
  ingress:
  - ports:
    - port: 5000
    from:
    - podSelector:
        matchLabels:
          role: monitoring
# kubectl apply -f api-allow-5000.yml

訪問測試

# 啟動pod未攜帶指定label時，訪問受限
# kubectl run busybox --rm -ti --image=busybox /bin/sh
If you don't see a command prompt, try pressing enter.
/ # wget -qO- --timeout=2 http://apiserver:8001
wget: download timed out

/ # wget -qO- --timeout=2 http://apiserver:5001/metrics
wget: download timed out

# 啟動pod攜帶指定label時，訪問不受限
$ kubectl run busybox --rm -ti --image=busybox --labels=role=monitoring /bin/sh
/ # wget -qO- --timeout=2 http://apiserver:8001
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN" "http://www.w3.org/TR/html4/strict.dtd">
...

/ # wget -qO- --timeout=2 http://apiserver:5001/
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN" "http://www.w3.org/TR/html4/strict.dtd">
...
b. 多標籤限制

說明：Network Policy定義一組微服務訪問某一應用,如下述示例中，一組微服務共享redis服務

kubectl run db --image=redis:4 --port 6379 --expose \
    --labels app=bookstore,role=db

以下服務共享redis服務

servicelabels
searchapp=bookstore role=search
apiapp=bookstore role=api
catalogapp=inventory role=web

建立網路策略

# cat redis-allow-services.yaml
kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: redis-allow-services
spec:
  podSelector:
    matchLabels:
      app: bookstore
      role: db
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: bookstore
          role: search
    - podSelector:
        matchLabels:
          app: bookstore
          role: api
    - podSelector:
        matchLabels:
          app: inventory
          role: web
# kubectl apply -f redis-allow-services.yaml

訪問測試

$ kubectl run busybox --rm -ti --image=curl --labels=app=inventory,role=web /bin/sh

/ # nc -v -w 2 db 6379
db (10.233.27.143:6379) open

(works)

$ kubectl run busybox --rm -ti --image=curl --labels=app=other /bin/sh

/ # nc -v -w 2 db 6379
nc: db (10.233.27.143:6379): Operation timed out

(訪問受限)
3.6 控制出口流量
a. 禁止應用的出口流量
kubectl run web --image=nginx --labels app=web --expose --port 80

建立網路策略

# cat foo-deny-egress.yaml
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: foo-deny-egress
spec:
  podSelector:
    matchLabels:
      app: foo
  policyTypes:
  - Egress
  egress: []
# kubectl apply -f foo-deny-egress.yaml

說明：

  • policyTypes: ["egress"] 該策略型別為出口流量
  • egress: [] 策略為空說明出口流量全部禁止
b. 禁止名稱空間非白名單流量

建立網路策略

# cat default-deny-all-egress.yaml
kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: default-deny-all-egress
  namespace: default
spec:
  policyTypes:
  - Egress
  podSelector: {}
  egress: []
# kubectl apply -f default-deny-all-egress.yaml

說明：

  • podSelector為空，說明匹配所有pod
  • egress為空陣列，說明禁止所有符合podSelector的出口流量

後續相關內容，請檢視公眾號：DCOS

相關推薦

一文搞懂Kubernetes網路策略（中）

技術標籤：KubernetesDCOSkubernetesdocker 從CNCF基金會的成立，到Kubernetes社群蓬勃發展，歷經6載，17年異軍突起，在mesos、swarm等專案角逐中，拔得頭籌，繼而一統容器編排,其成功的關鍵原因可概括為以下幾點

容器網路（八）一文搞懂各種 Docker 網路【67】

（二十五）一文搞懂各種 Docker 網路 前面各小節我們先後學習了 Docker Overaly，Macvaln，Flannel，Weave 和 Calico 跨主機網路方案。目前這個領域是百家爭鳴，而且還有新的方案不斷湧現。本節將從不同維度比較各種

一文搞懂Python函式（匿名函式、巢狀函式、閉包、裝飾器）！

Python函式定義、匿名函式、巢狀函式、閉包、裝飾器 目錄 Python函式定義、匿名函式、巢狀函式、閉包、裝飾器

一文搞懂JAVA 列舉（enum）

Java 列舉是一個特殊的類，一般表示一組常量，比如一年的 4 個季節，一個年的 12 個月份，一個星期的 7 天，方向有東南西北等。

js中如何判斷session的快取資料是否清空_一文搞懂JS系列（五）之閉包應用-防抖，節流...

技術標籤：js中如何判斷session的快取資料是否清空js判斷定時器是否啟動js判斷時間是否大於當前時間js定時器一直開啟會增加記憶體麼js延時函式js怎麼重複執行方法直到成功

硬核！《DNS 速成指南》一文搞懂 DNS ，網路排查不再難

技術標籤：linuxjavahttp網路python 1. DNS 是什麼？ DNS （Domain Name System 的縮寫）的作用非常簡單，就是根據域名查出IP地址。你可以把它想象成一本巨大的電話本。

【學術】一文搞懂自編碼器及其用途（含程式碼示例）

自編碼器（Autoencoder）是一種旨在將它們的輸入複製到的輸出的神經網路。他們通過將輸入壓縮成一種隱藏空間表示（latent-space representation），然後這種重構這種表示的輸出進行工作。

一文搞懂HMM（隱馬爾可夫模型）

什麼是熵(Entropy) 簡單來說，熵是表示物質系統狀態的一種度量，用它老表徵系統的無序程度。熵越大，系統越無序，意味著系統結構和運動的不確定和無規則；反之，，熵越小，系統越有序，意味著具有確定和有規則的運

測試開發基礎|一文搞定計算機網路（一）

計算機網路知識對測試人員來說是非常重要的基礎技能。無論是在平時測試工作中（比如介面測試），還是測試技術面試時，都會經常涉獵。很多基礎薄弱的同學靠臨時抱佛腳突擊搜尋學習，對系統知識和重點難點的理解總是不

一文搞懂 Redis降低記憶體佔用方式

前言 Redis是當前比較熱門的NOSQL資料庫之一，和Memcache一樣，資料都是快取在計算機記憶體中。完全開源免費，遵守BSD協議，是一個高效能的key-value資料庫。通過在記憶體中讀寫資料，大大提高了資料讀寫速度，可以說

一文搞懂Session和Cookie的用法及區別

1. Session、Cookie是什麼 1.1 概念理解 要了解session和cookie是什麼，先要了解以下幾個概念。

一文搞懂四種同步工具類

CountDownLatch 解釋： CountDownLatch相當於一個門閂，門閂上掛了N把鎖。只有N把鎖都解開的話，門才會開啟。怎麼理解呢？我舉一個賽跑比賽的例子，賽跑比賽中必須等待所有選手都準備好了，裁判才能開發令槍。選手才

一文搞懂 Prometheus 的直方圖

原文連結：一文搞懂 Prometheus 的直方圖 Prometheus 中提供了四種指標型別（參考：Prometheus 的指標型別），其中直方圖（Histogram）和摘要（Summary）是最複雜和難以理解的，這篇文章就是為了幫助大家加深對這

一文搞懂c# await,async執行流

昨天有朋友在公眾號發訊息說看不懂await，async執行流，其實看不懂太正常了，因為你沒經過社會的毒打，沒吃過牢飯就不知道自由有多重要，沒生過病就不知道健康有多重要，沒用過ContinueWith就不知道await,async有多重

一文搞懂C++ 动态内存

了解动态内存在 C++ 中是如何工作的是成为一名合格的 C++ 程序员必不可少的。C++ 程序中的内存分为两个部分：

一文搞懂JAVA 修飾符

Java語言提供了很多修飾符，主要分為以下兩類： 訪問修飾符 非訪問修飾符 修飾符用來定義類、方法或者變數，通常放在語句的最前端。我們通過下面的例子來說明：

一文搞懂MySQL預編譯

1、預編譯的好處 　　大家平時都使用過JDBC中的PreparedStatement介面，它有預編譯功能。什麼是預編譯功能呢？它有什麼好處呢？

一文搞懂C# 資料型別

在 C# 中，變數分為以下幾種型別： 值型別（Value types） 引用型別（Reference types）

一文搞懂Java8 Lambda表示式(附帶視訊教程)

Lambda表示式介紹 Java 8的一個大亮點是引入Lambda表示式，使用它設計的程式碼會更加簡潔。通過Lambda表示式，可以替代我們以前經常寫的匿名內部類來實現介面。Lambda表示式本質是一個匿名函式；

一文搞懂Java中的反射機制

　　前一段時間一直忙，所以沒什麼時間寫部落格，拖了這麼久，也該更新更新了。最近看到各種知識付費的推出，感覺是好事，也是壞事，好事是對知識沉澱的認可與推動，壞事是感覺很多人忙於把自己的知識變現，相對的在