Настройка сетевых политик для ограничения доступа к Pod

Например, pod с меткой role=db открывает порт 6379 и принимает трафик только от pods с меткой role=frontend. Чтобы достичь этого, выполните следующие шаги:

1. Войдите в CCE console и нажмите название кластера, чтобы открыть cluster console.
2. Выберите Policies в панели навигации, нажмите вкладку Network Policies и нажмите Create Network Policy в правом верхнем углу.
3. Настройте параметры network policy.

   Table 1 Параметры создания network policy

   Parameter	Description	Example
   Policy Name	Настройте имя для network policy.	access-ingress1
   Namespace	Выберите пространство имён, к которому применяется политика.	default
   Selector	Введите селектор меток для целевого pod и нажмите Add. Если оставить пустым, будут выбраны все pod в пространстве имён. Нажмите Reference Workload Label, чтобы использовать метку существующей рабочей нагрузки.	Ключ: role Значение: db
   Inbound Rule	Нажмите , чтобы добавить входящее правило.	Table 2
   Outbound Rule	Нажмите , чтобы добавить исходящее правило.	N/A

   Table 2 Параметры для добавления входящего правила

   Parameter	Description	Пример
   Protocol & Port	Выберите тип протокола и порт. Поддерживаются TCP и UDP.	Protocol: TCP Port: 6379
   Source CIDR Block	Для кластеров v1.27.16-r10, v1.28.15-r0, v1.29.10-r0, v1.30.6-r0 или более поздних версий с включённым DataPlane V2 вы можете настроить source CIDR block. Указанный source CIDR block разрешает трафик из destination CIDR block (можно указать несколько exception CIDR block). Разделяйте destination и exception CIDR block вертикальной чертой (|). Если указано несколько exception CIDR block, разделяйте их запятыми (,). Например, 172.17.0.0/16|172.17.1.0/24,172.17.2.0/24 разрешает трафик из 172.17.0.0/16, за исключением 172.17.1.0/24 и 172.17.2.0/24.	N/A
   Source Namespace	Выберите namespace, объекты которого могут быть доступны. По умолчанию используется namespace политики, если не указано.	default
   Source Pod Label	Введите селектор меток для разрешённых source pod и нажмите Add. Если оставить пустым, все pod в source namespace разрешены.	Key: role Value: frontend

4. нажмите OK.

1. Создайте файл access-ingress1.yaml.

   vim access-ingress1.yaml
   
   

   Содержимое файла:

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: access-ingress1
     namespace: default
   spec:
     podSelector:                  # This rule applies only to pods labeled  role=db .
       matchLabels:
         role: db
     ingress:                      # This is an ingress rule.
     - from:
       - podSelector:              # Allow access only from pods labeled  role=frontend .
           matchLabels:
             role: frontend
       ports:                      # Only TCP can be used to access port 6379.
       - protocol: TCP
         port: 6379
   
   

2. Выполните следующую команду для создания сетевой политики, определённой в файле access-ingress1.yaml:

   kubectl apply -f access-ingress1.yaml
   
   

   Ожидаемый вывод:

   networkpolicy.networking.k8s.io/access-ingress1 created
   
   

Pod с меткой role=db разрешает доступ к своему порту 6379 только из pod‑ов в пространстве имён с меткой project=myproject. Чтобы выполнить это, выполните следующие действия:

1. Войдите в CCE console и нажмите название кластера, чтобы открыть консоль кластера.
2. Выберите Policies в панели навигации, нажмите вкладку Network Policies и нажмите Create Network Policy в правом верхнем углу.
3. Настройте параметры сетевой политики.

   Таблица 3 Параметры создания сетевой политики

   Параметр	Описание	Пример
   Имя политики	Настройте имя для сетевой политики.	access-ingress2
   Namespace	Выберите namespace, в котором применяется политика.	default
   Selector	Введите селектор меток для целевого pod и нажмите Add. Если оставить пустым, будут выбраны все pod в namespace. Нажмите Reference Workload Label, чтобы использовать метку существующей workload.	Key: role Value: db
   Inbound Rule	Нажмите , чтобы добавить входящее правило.	Таблица 4
   Исходящее правило	Нажмите , чтобы добавить исходящее правило.	N/A

   Таблица 4 Параметры для добавления входящего правила

   Параметр	Описание	Пример
   Протокол и порт	Выберите тип протокола и порт. Поддерживаются TCP и UDP.	Protocol: TCP Port: 6379
   Исходный CIDR-блок	Для кластеров v1.27.16-r10, v1.28.15-r0, v1.29.10-r0, v1.30.6-r0 или более поздних версий с включённым DataPlane V2 вы можете настроить исходный CIDR-блок. Указанный исходный CIDR-блок разрешает трафик из целевого CIDR-блока (можно указать несколько CIDR-блоков‑исключений). Разделяйте целевой и исключающие CIDR-блоки вертикальной чертой (|). Если указано несколько CIDR‑блоков‑исключений, разделяйте их запятыми (,). Например, 172.17.0.0/16|172.17.1.0/24,172.17.2.0/24 разрешает трафик из 172.17.0.0/16, за исключением 172.17.1.0/24 и 172.17.2.0/24.	N/A
   Source Namespace	Выберите пространство имён, объекты которого могут быть доступны. По умолчанию используется пространство имён политики, если не указано.	myproject
   Source Pod Label	Введите селектор меток для разрешённых исходных pod‑ов и нажмите Add. Если оставить пустым, разрешены все pod‑ы в исходном пространстве имён.	N/A

4. Нажмите OK.

1. Создайте файл access-ingress2.yaml.

   vim access-ingress2.yaml
   
   

   Содержимое файла:

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: access-ingress2
   spec:
     podSelector:                  # This rule applies only to pods labeled  role=db .
       matchLabels:
         role: db
     ingress:                      # This is an ingress rule.
     - from:
       - namespaceSelector:        # Allow access only from pods in namespaces labeled  project=myproject .
           matchLabels:
             project: myproject
       ports:                      # Only TCP can be used to access port 6379.
       - protocol: TCP
         port: 6379
   
   

2. Выполните следующую команду, чтобы создать сетевую политику, определённую в файле access-ingress2.yaml:

   kubectl apply -f access-ingress2.yaml
   
   

   Ожидаемый вывод:

   networkpolicy.networking.k8s.io/access-ingress2 created
   
   

Pod, помеченный role=db, разрешает доступ к своему порту 6379 только из pod с меткой role=frontend в пространстве имён, помеченном project=myproject. Чтобы достичь этого, выполните следующие шаги:

1. Войдите в CCE console и нажмите cluster name, чтобы открыть cluster console.
2. Выберите Policies в панели навигации, нажмите вкладку Network Policies и нажмите Create Network Policy в правом верхнем углу.
3. Настройте параметры сетевой политики.

   Table 5 Параметры создания сетевой политики

   Параметр	Описание	Пример
   Имя политики	Укажите имя для сетевой политики.	access-ingress3
   Пространство имён	Выберите пространство имён, к которому применяется политика.	default
   Selector	Введите селектор меток для целевого pod и нажмите Add. Если оставить пустым, все pod в пространстве имён будут выбраны. Нажмите Reference Workload Label, чтобы использовать метку существующей рабочей нагрузки.	Key: role Value: db
   Inbound Rule	Нажмите , чтобы добавить inbound rule.	Table 6
   Outbound Rule	Нажмите , чтобы добавить outbound rule.	N/A

   Table 6 Параметры для добавления inbound rule

   Parameter	Description	Example
   Protocol & Port	Выберите тип протокола и порт. Поддерживаются TCP и UDP.	Protocol: TCP Port: 6379
   Source CIDR Block	Для кластеров v1.27.16-r10, v1.28.15-r0, v1.29.10-r0, v1.30.6-r0 или более поздних версий с включённым DataPlane V2 вы можете настроить исходный CIDR‑блок. Указанный исходный CIDR‑блок разрешает трафик из целевого CIDR‑блока (можно указать несколько CIDR‑блоков‑исключений). Разделяйте целевой и исключающие CIDR‑блоки вертикальной чертой (|). Если указано несколько CIDR‑блоков‑исключений, разделяйте их запятыми (,). Например, 172.17.0.0/16|172.17.1.0/24,172.17.2.0/24 разрешает трафик из 172.17.0.0/16, за исключением 172.17.1.0/24 и 172.17.2.0/24.	N/A
   Source Namespace	Выберите пространство имён, объекты которого могут быть доступны. Если не указано, по умолчанию используется пространство имён политики.	myproject
   Source Pod Label	Введите селектор меток для разрешённых исходных pod‑ов и нажмите Add. Если оставить пустым, разрешены все pod‑ы в исходном пространстве имён.	Key: role Value: frontend

4. Нажмите OK.

1. Создайте файл access-ingress3.yaml.

   vim access-ingress3.yaml
   
   

   Содержимое файла:

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: access-ingress3
   spec:
     podSelector:                  # This rule applies only to pods labeled  role=db .
       matchLabels:
         role: db
     ingress:                      # This is an ingress rule.
     - from:
       - namespaceSelector:        # Allow access only from pods in namespaces labeled  project=myproject .
           matchLabels:
             project: myproject
         podSelector:              # Allow access only from pods labeled  role=frontend .
           matchLabels:
             role: frontend
       ports:                      # Only TCP can be used to access port 6379.
       - protocol: TCP
         port: 6379
   
   

2. Выполните следующую команду, чтобы создать сетевую политику, определённую в файле access-ingress3.yaml:

   kubectl apply -f access-ingress3.yaml
   
   

   Ожидаемый вывод:

   networkpolicy.networking.k8s.io/access-ingress3 created
   
   

Pods с меткой role=db допускают доступ только к 172.16.0.0/16, исключая 172.16.0.40/32. Чтобы выполнить это, выполните следующие действия:

1. Войдите в CCE console и нажмите название кластера, чтобы открыть консоль кластера.
2. Выберите Policies в панели навигации, нажмите вкладку Network Policies и нажмите Create Network Policy в правом верхнем углу.
3. Настройте параметры сетевой политики.

   Таблица 7 Параметры создания сетевой политики

   Параметр	Описание	Пример
   Имя политики	Настройте имя для сетевой политики.	access-ingress3
   Namespace	Выберите namespace, к которому применяется политика.	default
   Selector	Введите селектор меток для целевого pod и нажмите Add. Если оставить пустым, все pod в namespace будут выбраны. Нажмите Reference Workload Label, чтобы использовать метку существующего workload.	Key: role Value: db
   Inbound Rule	Нажмите , чтобы добавить inbound rule.	N/A
   Outbound Rule	Нажмите для добавления outbound rule.	Table 8

   Table 8 Параметры для добавления outbound rule

   Parameter	Description	Example
   Protocol & Port	Выберите тип протокола и порт. Поддерживаются TCP и UDP. Если не указано, разрешены все протоколы и порты.	N/A
   Destination CIDR Block	Разрешить маршрутизацию запросов к указанному CIDR‑блоку (и не к блокам CIDR‑исключений). Разделяйте CIDR‑блок назначения и CIDR‑блоки исключений вертикальной чертой (|). Если указано несколько CIDR‑блоков исключений, разделяйте их запятыми (,). Например, 172.17.0.0/16|172.17.1.0/24,172.17.2.0/24 позволяет использовать 172.17.0.0/16 за исключением 172.17.1.0/24 и 172.17.2.0/24.	172.16.0.0/16|172.16.0.40/32
   Destination Namespace	Выберите пространство имён, объекты которого могут быть доступны. Если не указано, по умолчанию используется пространство имён политики.	N/A
   Destination Pod Label	Label selector для целевого pod, разрешённый этим правилом. Если оставить пустым, разрешаются все pod в destination namespace.	N/A

4. нажмите OK.

1. Создайте файл access-egress1.yaml.

   vim access-egress1.yaml
   
   

   Содержимое файла:

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: access-egress1
     namespace: default
   spec:
     policyTypes:                  # Must be specified for egress rules.
       - Egress
     podSelector:                  # This rule applies only to pods labeled  role=db .
       matchLabels:
         role: db
     egress:                       # This is an egress rule.
     - to:
       - ipBlock:
           cidr: 172.16.0.0/16    # Allows outbound traffic to this CIDR block.
           except:
           - 172.16.0.40/32        # Blocks access to this CIDR block, which is in the range specified by the  cidr  parameter.
   
   

2. Выполните следующую команду для создания network policy, определённой в файле access-egress1.yaml:

   kubectl apply -f access-egress1.yaml
   
   

   Ожидаемый вывод:

   networkpolicy.networking.k8s.io/access-egress1 created
   
   

Pod с меткой role=db разрешает доступ к своему порту 6379 только от pod с меткой role=frontend, и этот pod может обращаться только к pod с меткой role=web. Вы можете использовать то же правило для настройки как входящего, так и исходящего трафика в network policy. Чтобы выполнить это, выполните следующие действия:

1. Войдите в CCE console и нажмите название кластера, чтобы открыть консоль кластера.
2. Выберите Policies в панели навигации, нажмите вкладку Network Policies и нажмите Create Network Policy в правом верхнем углу.
3. Настройте параметры сетевой политики.

   Table 9 Параметры создания сетевой политики

   Параметр	Описание	Пример
   Policy Name	Настройте имя для сетевой политики.	access-ingress3
   Namespace	Выберите пространство имён, к которому применяется политика.	default
   Selector	Введите селектор меток для целевого pod и нажмите Add. Если оставить пустым, будут выбраны все pod в пространстве имён. Нажмите Reference Workload Label, чтобы использовать метку существующей рабочей нагрузки.	Key: role Value: db
   Inbound Rule	Нажмите , чтобы добавить inbound rule.	Table 10
   Outbound Rule	Нажмите , чтобы добавить outbound rule.	Table 11

   Table 10 Параметры добавления inbound rule

   Parameter	Description	Example
   Protocol & Port	Выберите тип протокола и порт. Поддерживаются TCP и UDP.	Protocol: TCP Port: 6379
   Source CIDR Block	Для кластеров v1.27.16-r10, v1.28.15-r0, v1.29.10-r0, v1.30.6-r0 или более поздних версий с включённым DataPlane V2 вы можете настроить исходный CIDR‑блок. Указанный исходный CIDR‑блок разрешает трафик из CIDR‑блока назначения (можно указать несколько исключающих CIDR‑блоков). Разделяйте CIDR‑блок назначения и исключающие CIDR‑блоки вертикальной чертой (|). Если указано несколько исключающих CIDR‑блоков, разделяйте их запятыми (,). Например, 172.17.0.0/16|172.17.1.0/24,172.17.2.0/24 разрешает трафик из 172.17.0.0/16, за исключением 172.17.1.0/24 и 172.17.2.0/24.	N/A
   Source Namespace	Выберите пространство имён, объекты которого могут быть доступны. Если не указано, по умолчанию используется пространство имён политики.	default
   Source Pod Label	Введите селектор меток для разрешённых исходных pod и нажмите Add. Если оставить пустым, разрешены все pod в исходном пространстве имён.	Key: role Value: frontend

   Table 11 Параметры для добавления исходящего правила

   Parameter	Description	Example
   Protocol & Port	Выберите тип протокола и порт. Поддерживаются TCP и UDP. Если не указано, разрешены все протоколы и порты.	N/A
   Destination CIDR Block	Разрешить маршрутизацию запросов к указанному CIDR‑блоку (и не к CIDR‑блокам‑исключения). Разделяйте целевой и исключающие CIDR‑блоки вертикальной чертой (|). Если несколько CIDR‑блоков‑исключений, разделяйте их запятыми (,). Например, 172.17.0.0/16|172.17.1.0/24,172.17.2.0/24 разрешает 172.17.0.0/16, за исключением 172.17.1.0/24 и 172.17.2.0/24.	N/A
   Destination Namespace	Выберите пространство имён, объекты которого могут быть доступны. Если не указано, по умолчанию используется пространство имён политики.	default
   Destination Pod Label	Селектор меток для целевого pod, разрешённого этим правилом. Если оставить пустым, разрешены все pod в целевом пространстве имён.	Ключ: role Значение: web

4. Нажмите OK.

1. Создайте файл access-egress2.yaml.

   vim access-egress2.yaml
   
   

   Содержимое файла:

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: access-egress2
     namespace: default
   spec:
     policyTypes:
     - Ingress
     - Egress
     podSelector:                  # This rule applies only to pods labeled  role=db .
       matchLabels:
         role: db
     ingress:                      # This is an ingress rule.
     - from:
       - podSelector:              # Allow access only from pods labeled  role=frontend .
           matchLabels:
             role: frontend
       ports:                      # Only TCP can be used to access port 6379.
       - protocol: TCP
         port: 6379
     egress:                       # This is an egress rule.
     - to:
       - podSelector:              # The rule takes effect for pods with the  role=web  label.
           matchLabels:
             role: web
   
   

2. Выполните следующую команду, чтобы создать политику сети, определённую в файле access-egress2.yaml.

   kubectl apply -f access-egress2.yaml
   
   

   Ожидаемый вывод:

   networkpolicy.networking.k8s.io/access-egress2 created