Kubernetes Network Policy

Se7en258

发布于 2021-05-18 11:11:10

6320

发布于 2021-05-18 11:11:10

文章被收录于专栏：Se7en的架构笔记Se7en的架构笔记

Network Policy介绍

网络策略（NetworkPolicy）是一种关于 Pod 间及与其他Network Endpoints间所允许的通信规则的规范。
NetworkPolicy 资源使用标签选择 Pod，并定义选定 Pod 所允许的通信规则。
网络策略通过网络插件来实现。要使用网络策略，用户必须使用支持 NetworkPolicy 的网络解决方案。
默认情况下，Pod间是非隔离的，它们接受任何来源的流量。
Pod 可以通过相关的网络策略进行隔离。一旦命名空间中有网络策略选择了特定的 Pod，该 Pod 会拒绝网络策略所不允许的连接。(命名空间下其他未被网络策略所选择的 Pod 会继续接收所有的流量)
网络策略不会冲突，它们是附加的。如果任何一个或多个策略选择了一个 Pod, 则该 Pod 受限于这些策略的 ingress/egress 规则的并集。因此策略的顺序并不会影响策略的结果。

Network Policy 简单例子

首先分别在两个namespace创建pod：

apiVersion: v1
kind: Namespace
metadata:
  name: network-policy-1
---
apiVersion: v1
kind: Namespace
metadata:
  name: network-policy-2
---
apiVersion: v1
kind: Pod
metadata:
  name: busybox-1
  namespace: network-policy-1
  labels:
      name: busybox-1
spec:
    containers:
        - name: busybox
          image: busybox:1.28
          command: ['sh','-c','sleep 3600']
          imagePullPolicy: IfNotPresent
---
apiVersion: v1
kind: Pod
metadata:
  name: busybox-2
  namespace: network-policy-2
  labels:
      name: busybox-2
spec:
    containers:
        - name: busybox
          image: busybox:1.28
          command: ['sh','-c','sleep 3600']
          imagePullPolicy: IfNotPresent

未部署NetworkPolicy之前，两个不同namespace的pod是可以相互通信的。

busybox-2   1/1     Running   0          23s   10.244.139.253   k8s-calico-node02   <none>           <none>
❯ kubectl get pod -n network-policy-1 -o wide
NAME        READY   STATUS    RESTARTS   AGE   IP              NODE                NOMINATED NODE   READINESS GATES
busybox-1   1/1     Running   0          26s   10.244.195.91   k8s-calico-master   <none>           <none>

#刚开始busybox-1和busybox-2是可以互相访问的
❯ kubectl exec -n network-policy-1 busybox-1 -- ping 10.244.139.253
PING 10.244.139.253 (10.244.139.253): 56 data bytes
64 bytes from 10.244.139.253: seq=0 ttl=62 time=1.220 ms
64 bytes from 10.244.139.253: seq=1 ttl=62 time=1.079 ms
64 bytes from 10.244.139.253: seq=2 ttl=62 time=1.093 ms
64 bytes from 10.244.139.253: seq=3 ttl=62 time=1.044 ms

❯ kubectl exec -n network-policy-2 busybox-2 -- ping 10.244.195.91
PING 10.244.195.91 (10.244.195.91): 56 data bytes
64 bytes from 10.244.195.91: seq=0 ttl=62 time=0.998 ms
64 bytes from 10.244.195.91: seq=1 ttl=62 time=1.230 ms

默认拒绝所有入口流量

部署一条NetworkPolicy，作用在namespace为network-policy-1的pod上，禁止入访流量:

---
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-ingress
  namespace: network-policy-1 #networkPolicy配置在busybox-1的namespace,不允许外部流量主动访问
spec:
  podSelector: {}
  #policyType写了Ingress,在Ingress里没写内容，表示拒绝所有ingress流量
  policyTypes:
  - Ingress

#busybox-1可以访问busybox-2
❯ kubectl exec -n network-policy-1 busybox-1 -- ping 10.244.139.253
PING 10.244.139.253 (10.244.139.253): 56 data bytes
64 bytes from 10.244.139.253: seq=0 ttl=62 time=2.895 ms
64 bytes from 10.244.139.253: seq=1 ttl=62 time=0.605 ms

#busybox-2无法访问busybox-1
❯ kubectl exec -n network-policy-2 busybox-2 -- ping 10.244.195.91
^C

默认允许所有入口流量

在前面那条NetworkPolicy不删除的同时，添加一条允许所有入访流量的networkPolicy，流量最终会允许。可以看到只要流量能够匹配到一条满足放行的NetworkPolicy，则流量就会被放行。

---
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-all-ingress
  namespace: network-policy-1
spec:
  podSelector: {}
  #policyType写了Ingress,在ingress写了{}，表示放行所有ingress流量
  ingress:
  - {}
  policyTypes:
  - Ingress

#两条networkPolicy同时存在
❯ kubectl get -n network-policy-1  networkpolicies.networking.k8s.io
NAME                   POD-SELECTOR   AGE
allow-all-ingress      <none>         27s
default-deny-ingress   <none>         94s

#busybox-2重新可以访问busybox-1了
❯ kubectl exec -n network-policy-2 busybox-2 -- ping 10.244.195.91
PING 10.244.195.91 (10.244.195.91): 56 data bytes
64 bytes from 10.244.195.91: seq=0 ttl=62 time=1.057 ms
64 bytes from 10.244.195.91: seq=1 ttl=62 time=0.872 ms

Network Policy 综合例子

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: network-policy-cidr
  namespace: network-policy-1
spec:
  podSelector:
    matchLabels:
      name: centos-1  #只有pod的label为name=centos-1的pod才会收到下面的policy的约束
  policyTypes:
  - Ingress
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
           project: centos-2
    - podSelector:
         matchLabels:
            name: centos-2
    - ipBlock:
        cidr: 10.244.0.0/16 #只允许源是10.244.0.0/16的网段来访问
        except:
        - 10.244.195.0/24  #源是10.244.195.0/24的网段不允许来访问
    ports:
      - protocol: TCP
        port: 80  #只有80端口允许被访问

查看生成的具体规则

❯ kubectl describe -n network-policy-1 networkpolicies.
Name:         network-policy-cidr
Namespace:    network-policy-1
Created on:   2020-05-19 21:01:49 +0800 CST
Labels:       <none>
Annotations:  kubectl.kubernetes.io/last-applied-configuration:
                {"apiVersion":"networking.k8s.io/v1","kind":"NetworkPolicy","metadata":{"annotations":{},"name":"network-policy-cidr","namespace":"network...
Spec:
  PodSelector:     name=centos-1
  Allowing ingress traffic:
    To Port: 80/TCP
    From:
      NamespaceSelector: project=centos-2
    From:
      PodSelector: name=centos-2
    From:
      IPBlock:
        CIDR: 10.244.0.0/16
        Except: 10.244.195.0/24

现在尝试在不同条件下（namespace label，pod label，pod ip地址）去访问名为centos-1的pod，以下表格为整理出的不同条件下的访问结果：（这里的策略是或的关系，只要满足一个就放行）

以下黑色字体加粗的为不满足要求的条件：

namespace label	pod label	pod CIDR	访问centos1的80端口	ping
project=centos-2	name=centos-2	10.244.139.0/24	可以	不可以
project=centos-2	name=centos-2	10.244.195.0/24	可以	不可以
project=centos-2	无	10.244.139.0/24	可以	不可以
无	name=centos-2	10.244.139.0/24	可以	不可以
无	无	10.244.139.0/24	可以	不可以
无	name=centos-2	10.244.195.0/24	可以	不可以
project=centos-2	无	10.244.195.0/24	可以	不可以
无	无	10.244.195.0/24	不可以	不可以

Network Policy 与和或的关系

这个策略表示放行namespace label为project=centos2这个命名空间中的pod，或者pod label为name=centos2的pod：

ingress:
  - from:
    - namespaceSelector:
        matchLabels:
           project: centos-2
    - podSelector:
         matchLabels:
            name: centos-2

注意观察，podSelector前面没有-，此时namespaceSelector和podSelector是与的关系，表示放行的是在namespace label为project=centos2这个命名空间中，并且pod的label为name=centos2的pod。

ingress:
  - from:
    - namespaceSelector:
        matchLabels:
           project: centos-2
      podSelector:
         matchLabels:
            name: centos-2