Настройка Network Policies для ограничения доступа к Pod

Pod с меткой role=db разрешает доступ к своему порту 6379 только от pod‑ов с меткой role=frontend. Чтобы выполнить это, выполните следующие действия:

1. Создайте файл access-ingress1.yaml.

   vim access-ingress1.yaml
   
   

   Содержимое файла:

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: access-ingress1
     namespace: default
   spec:
     podSelector:                  # The rule applies only to pods labeled with  role=db .
       matchLabels:
         role: db
     ingress:                      # This is an ingress rule.
     - from:
       - podSelector:              # Allow access only from pods labeled with  role=frontend .
           matchLabels:
             role: frontend
       ports:                      # Only TCP can be used to access port 6379.
       - protocol: TCP
         port: 6379
   
   

2. Выполните следующую команду для создания сетевой политики, определённой в файле access-ingress1.yaml:

   kubectl apply -f access-ingress1.yaml
   
   

   Ожидаемый вывод:

   networkpolicy.networking.k8s.io/access-ingress1 created
   
   

Pod с меткой role=db разрешает доступ к своему порту 6379 только от pod‑ов в пространстве имён с меткой project=myproject. Чтобы выполнить это, выполните следующие действия:

1. Создайте файл access-ingress2.yaml.

   vim access-ingress2.yaml
   
   

   Содержимое файла:

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: access-ingress2
   spec:
     podSelector:                  # The rule applies only to pods labeled with  role=db .
       matchLabels:
         role: db
     ingress:                      # This is an ingress rule.
     - from:
       - namespaceSelector:        # Allow access only from pods in namespaces labeled with  project=myproject .
           matchLabels:
             project: myproject
       ports:                      # Only TCP can be used to access port 6379.
       - protocol: TCP
         port: 6379
   
   

2. Выполните следующую команду для создания сетевой политики, определённой в файле access-ingress2.yaml:

   kubectl apply -f access-ingress2.yaml
   
   

   Ожидаемый вывод:

   networkpolicy.networking.k8s.io/access-ingress2 created
   
   

Pod с меткой role=db разрешает доступ к своему порту 6379 только от pod‑ов с меткой role=frontend в пространстве имён с меткой project=myproject. Чтобы выполнить это, выполните следующие действия:

1. Создайте файл access-ingress3.yaml.

   vim access-ingress3.yaml
   
   

   Содержимое файла:

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: access-ingress3
   spec:
     podSelector:                  # The rule applies only to pods labeled with  role=db .
       matchLabels:
         role: db
     ingress:                      # This is an ingress rule.
     - from:
       - namespaceSelector:        # Allow access only from pods in namespaces labeled with  project=myproject .
           matchLabels:
             project: myproject
         podSelector:              # Allow access only from pods labeled with  role=frontend .
           matchLabels:
             role: frontend
       ports:                      # Only TCP can be used to access port 6379.
       - protocol: TCP
         port: 6379
   
   

2. Выполните следующую команду для создания сетевой политики, определённой в файле access-ingress3.yaml:

   kubectl apply -f access-ingress3.yaml
   
   

   Ожидаемый вывод:

   networkpolicy.networking.k8s.io/access-ingress3 created
   
   

Pod‑ы с меткой role=db допускают доступ только к 172.16.0.0/16, исключая 172.16.0.40/32. Чтобы достичь этого, выполните следующие действия:

1. Создайте файл access-egress1.yaml.

   vim access-egress1.yaml
   
   

   Содержимое файла:

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: access-egress1
     namespace: default
   spec:
     policyTypes:                  # This policy type must be specified for egress rules.
       - Egress
     podSelector:                  # The rule applies only to pods labeled with  role=db .
       matchLabels:
         role: db
     egress:                       # This is an egress rule.
     - to:
       - ipBlock:
           cidr: 172.16.0.0/16    # Allows access to this CIDR block in the outbound direction.
           except:
           - 172.16.0.40/32        # Blocks access to this CIDR block, which is in the range specified by the  cidr  parameter.
   
   

2. Выполните следующую команду для создания сетевой политики, определённой в файле access-egress1.yaml:

   kubectl apply -f access-egress1.yaml
   
   

   Ожидаемый вывод:

   networkpolicy.networking.k8s.io/access-egress1 created
   
   

Под, помеченный role=db, разрешает доступ к своему порту 6379 только от подов, помеченных role=frontend, и этот под может обращаться только к подам, помеченным role=web. Вы можете использовать то же правило для настройки как ingress, так и egress в сетевой политике. Чтобы выполнить это, выполните следующие действия:

1. Создайте файл access-egress2.yaml.

   vim access-egress2.yaml
   
   

   Содержимое файла:

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: access-egress2
     namespace: default
   spec:
     policyTypes:
     - Ingress
     - Egress
     podSelector:                  # The rule applies only to pods labeled with  role=db .
       matchLabels:
         role: db
     ingress:                      # This is an ingress rule.
     - from:
       - podSelector:              # Allow access only from pods labeled with  role=frontend .
           matchLabels:
             role: frontend
       ports:                      # Only TCP can be used to access port 6379.
       - protocol: TCP
         port: 6379
     egress:                       # This is an egress rule.
     - to:
       - podSelector:              # The rule takes effect for pods with the  role=web  label.
           matchLabels:
             role: web
   
   

2. Выполните следующую команду для создания сетевой политики, определённой в файле access-egress2.yaml:

   kubectl apply -f access-egress2.yaml
   
   

   Ожидаемый вывод:

   networkpolicy.networking.k8s.io/access-egress2 created