容器网络策略深度解析：Kubernetes NetworkPolicy 实战指南

在现代微服务架构中，网络策略是确保服务间安全和隔离的关键组成部分。Kubernetes 提供了强大的 NetworkPolicy 资源，允许我们定义 Pod 之间的网络通信规则。本文将深入探讨如何在 Kubernetes 中通过 NetworkPolicy 禁止 Pod 访问特定端口，并详细解释 “namespaceSelector” 和 “podSelector” 的匹配规则，最后给出微服务架构中数据库 Pod 的网络隔离策略。

一、Kubernetes NetworkPolicy 基础

NetworkPolicy 是 Kubernetes 中用于控制 Pod 网络访问的策略资源。它允许你指定哪些 Pod 可以与哪些其他 Pod 通信，基于标签选择器进行匹配。

1.1 NetworkPolicy 的基本结构

一个基本的 NetworkPolicy 包含以下部分：

metadata: 定义 NetworkPolicy 的名称和命名空间。
spec: 定义 NetworkPolicy 的具体规则。
podSelector: 选择受该策略影响的 Pod。
policyTypes: 定义策略的类型，如 Ingress 和 Egress。
ingress: 定义入站规则。
egress: 定义出站规则。

二、禁止 Pod 访问特定端口

假设我们需要禁止所有 Pod 访问 22 端口（SSH 端口），可以通过以下 NetworkPolicy 实现：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: block-ssh
  namespace: default
spec:
  podSelector: {}  # 匹配所有 Pod
  policyTypes:
  - Egress
  egress:
  - to:
    - ipBlock:
        cidr: 0.0.0.0/0
        except:
        - "0.0.0.0/0"  # 拒绝所有出站流量
    ports:
    - protocol: TCP
      port: 22

2.1 解释

podSelector: {}: 匹配所有 Pod。
policyTypes: [“Egress”]: 定义出站规则。
egress: 定义具体的出站规则。
to: 目标地址，这里使用 ipBlock 拒绝所有 IP。
ports: 指定端口，这里指定 TCP 22 端口。

三、namespaceSelector 和 podSelector 的匹配规则

3.1 namespaceSelector

namespaceSelector 用于选择特定的命名空间。其匹配规则基于标签选择器。例如：

namespaceSelector:
  matchLabels:
    project: myproject

上述配置将匹配所有带有 project=myproject 标签的命名空间。

3.2 podSelector

podSelector 用于选择特定的 Pod。其匹配规则同样基于标签选择器。例如：

podSelector:
  matchLabels:
    role: frontend

上述配置将匹配所有带有 role=frontend 标签的 Pod。

四、微服务架构中数据库 Pod 的网络隔离策略

在微服务架构中，数据库通常需要更高的安全性和隔离性。以下是一个数据库 Pod 的网络隔离策略示例：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: db-isolation
  namespace: database
spec:
  podSelector:
    matchLabels:
      app: mysql
  policyTypes:
  - Ingress
  - Egress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          role: backend
    ports:
    - protocol: TCP
      port: 3306
  egress:
  - to:
    - ipBlock:
        cidr: 10.0.0.0/24

4.1 解释

podSelector: 匹配所有带有 app=mysql 标签的 Pod。
ingress: 只允许带有 role=backend 标签的 Pod 访问 MySQL 的 3306 端口。
egress: 只允许访问 10.0.0.0/24 网段。

总结

通过 Kubernetes 的 NetworkPolicy，我们可以灵活地控制 Pod 之间的网络通信，确保微服务架构的安全性和隔离性。本文详细介绍了如何禁止 Pod 访问特定端口，并解释了 namespaceSelector 和 podSelector 的匹配规则，最后给出了数据库 Pod 的网络隔离策略示例。希望这些内容能帮助你更好地理解和应用 Kubernetes 的网络策略。

通过不断实践和深入学习，你将能够掌握 Kubernetes 网络策略的高级配置，为你的微服务架构提供坚实的安全保障。

喵呜刷题：让学习像火箭一样快速，快来微信扫码，体验免费刷题服务，开启你的学习加速器！