Защита трафика кластера Kubernetes с помощью сетевых политик Pod

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: network-policy
  namespace: app
spec:
  podSelector:
    matchLabels:
      component: database
  policyTypes:
    - Ingress
    - Egress
  ingress:
    - from:
      - podSelector:
          matchLabels:
            component: api
  egress:
    - to:
        - podSelector:
            matchLabels:
              component: api

Эта сетевая политика применяется к любому поду с меткой component: database в пространстве имен app. В нем указано, что входящий (входящий) и исходящий (исходящий) трафик разрешен только от и к модулям с меткой component: api. Любые запросы, исходящие от других модулей, таких как component: web-frontend, будут заблокированы.

Сетевые политики можно применять, как и любой другой объект, с помощью Kubectl. Они вступят в силу сразу после создания. Вы можете добавить сетевую политику перед запуском выбранных модулей.

$ kubectl apply -f policy.yaml
networkingpolicy.networking.k8s.io/network-policy created

Как работают сетевые политики

Сетевые политики реализуются активным сетевым плагином вашего кластера. Ваши политики не будут иметь никакого эффекта, если ваш плагин не поддерживает эту функцию. Большинство популярных опций, таких как Calico и Cilium, поставляются с включенной поддержкой сетевых политик.

Когда сетевая политика применяется к поду, плагин проверяет его трафик, чтобы убедиться, что он соответствует требованиям политики. Любые соединения, не соответствующие критериям, будут запрещены. Под, который пытался инициировать соединение, обнаружит, что удаленный хост недоступен, либо потому, что он пытался получить доступ к ресурсу, заблокированному правилом выхода, либо потому, что удаленный модуль отклонил входящее соединение с помощью правила входа.

Успешное соединение между двумя модулями может быть установлено только в том случае, если это разрешено сетевыми политиками обоих. Соединение может быть запрещено правилом выхода инициирующего пода или правилом входа в целевом устройстве.

Сетевые политики всегда имеют дополнительный характер. Когда несколько политик выбирают один и тот же модуль, список разрешенных источников входящего и исходящего трафика будет представлять собой комбинацию всех политик.

Пример сетевых политик

Сетевые политики поддерживают множество различных параметров для настройки целевых модулей и разрешенных типов подключения. Следующие примеры демонстрируют несколько распространенных вариантов использования.

Примените политику к каждому поду в пространстве имен, разрешив входящий трафик только с определенного блока IP-адресов.

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: network-policy
  namespace: app
spec:
  podSelector: {}
  policyTypes:
    - Ingress
  ingress:
    - from:
        - ipBlock:
            cidr: 172.17.0.0/16

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: network-policy
  namespace: app
spec:
  podSelector: {}
  policyTypes:
    - Ingress
  ingress:
    - from:
        - ipBlock:
            cidr: 172.17.0.0/16
            except:
              - 172.17.0.1/24
              - 172.17.0.2/24
              - 172.17.0.3/24

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: network-policy
  namespace: app
spec:
  podSelector: {}
  policyTypes:
    - Ingress
  ingress:
    - from:
        - podSelector: {}
          ports:
            - protocol: TCP
              port: 443

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: network-policy
  namespace: database
spec:
  podSelector: {}
  policyTypes:
    - Ingress
  ingress:
    - from:
        - namespaceSelector:
            matchLabels:
              application: demo-app
          podSelector:
            matchLabels:
              component: database

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: network-policy
  namespace: app
spec:
  podSelector: {}
  policyTypes:
    - Ingress
    - Egress
  ingress:
    - {}
  egress:
    - {}

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all
  namespace: app
spec:
  podSelector: {}
  policyTypes:
    - Ingress
    - Egress