Настройка сетевых политик для ограничения доступа к подам

Связи между сетевыми политиками и типами кластеров

Использование входящих правил через YAML

• Сценарий 1: Использовать сетевую политику для ограничения доступа к поду только подами с определёнными метками.

  Рисунок 1 podSelector

  
  

  Под с меткой role=db разрешает доступ к своему порту 6379 только подам с меткой role=frontend. Чтобы выполнить это, выполните следующие операции:

  1. Создайте access-demo1.yaml файл.

     vim access-demo1.yaml
     
     

     Содержание файла:

     apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: access-demo1
       namespace: default
     spec:
       podSelector:                  # The rule takes effect for pods with the role=db label.
         matchLabels:
           role: db
       ingress:                      # This is an ingress rule.
       - from:
         - podSelector:              # Only allow the access of the pods labeled with role=frontend.
             matchLabels:
               role: frontend
         ports:                      # Only TCP can be used to access port 6379.
         - protocol: TCP
           port: 6379
     
     

  2. Выполните следующую команду, чтобы создать сетевую политику на основе access-demo1.yaml файл:

     kubectl apply -f access-demo1.yaml
     
     

     Ожидаемый вывод:

     networkpolicy.networking.k8s.io/access-demo1 created
     
     

• Сценарий 2: Использовать сетевую политику для ограничения доступа к поду только подами в определённом пространстве имён.

  Рисунок 2 namespaceSelector

  
  

  Под с меткой role=db разрешает доступ к своему порту 6379 только подам в пространстве имён с меткой project=myproject. Чтобы выполнить это, выполните следующие операции:

  1. Создайте access-demo2.yaml файл.

     vim access-demo2.yaml
     
     

     Содержание файла:

     apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: access-demo2
     spec:
       podSelector:                  # The rule takes effect for pods with the role=db label.
         matchLabels:
           role: db
       ingress:                      # This is an ingress rule.
       - from:
         - namespaceSelector:        # Only allow the access of the pods in the namespace labeled with project=myproject.
             matchLabels:
               project: myproject
         ports:                      # Only TCP can be used to access port 6379.
         - protocol: TCP
           port: 6379
     
     

  2. Выполните следующую команду, чтобы создать сетевую политику на основе access-demo2.yaml file:

     kubectl apply -f access-demo2.yaml
     
     

     Expected output:

     networkpolicy.networking.k8s.io/access-demo2 created
     
     

Использование правил Egress через YAML

• Сценарий 1: Использовать сетевую политику для ограничения доступа Под к определённым адресам.

  Figure 3 IPBlock

  
  

  Под с меткой role=db разрешает доступ только к CIDR‑блоку 172.16.0.0/16, исключая 172.16.0.40/32 внутри него. Для этого выполните следующие операции:

  1. Создайте access-demo3.yaml файл.

     vim access-demo3.yaml
     
     

     Содержимое файла:

     apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: access-demo3
       namespace: default
     spec:
       policyTypes:                  # Must be specified for an egress rule.
         - Egress
       podSelector:                  # The rule takes effect for pods with the role=db label.
         matchLabels:
           role: db
       egress:                       # Egress rule
       - to:
         - ipBlock:
             cidr:172.16.0.0/16    # Allow access to this CIDR block in the outbound direction.
             except:
             - 172.16.0.40/32        # Block access to this address in the CIDR block.
     
     

  2. Выполните следующую команду, чтобы создать сетевую политику на основе access-demo3.yaml file:

     kubectl apply -f access-demo3.yaml
     
     

     Expected output:

     networkpolicy.networking.k8s.io/access-demo3 created
     
     

• Сценарий 2: Использовать сетевую политику, чтобы ограничить доступ к Поду только Подами с определёнными метками, и этот Под может получать доступ только к определённым Подам.

  Figure 4 Использование как ingress, так и egress

  
  

  Под с меткой role=db разрешает доступ к порту 6379 только от Подов с меткой role=frontend, и этот Под может получать доступ только к Подам с меткой role=web. Вы можете использовать то же правило для настройки как ingress, так и egress в сетевой политике. Для этого выполните следующие операции:

  1. Создайте access-demo4.yaml файл.

     vim access-demo4.yaml
     
     

     Содержимое файла:

     apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: access-demo4
       namespace: default
     spec:
       policyTypes:
       - Ingress
       - Egress
       podSelector:                  # The rule takes effect for pods with the role=db label.
         matchLabels:
           role: db
       ingress:                      # This is an ingress rule.
       - from:
         - podSelector:              # Only allow the access of the pods labeled with role=frontend.
             matchLabels:
               role: frontend
         ports:                      # Only TCP can be used to access port 6379.
         - protocol: TCP
           port: 6379
       egress:                       # Egress rule
       - to:
         - podSelector:              # Only pods with the role=web label can be accessed.
             matchLabels:
               role: web
     
     

  2. Выполните следующую команду, чтобы создать сетевую политику на основе access-demo4.yaml file:

     kubectl apply -f access-demo4.yaml
     
     

     Expected output:

     networkpolicy.networking.k8s.io/access-demo4 created
     
     

Создание сетевой политики в консоли

1. Войдите в консоль CCE и нажмите название кластера, чтобы перейти в консоль кластера.
2. Выберите Политики в навигационной панели, нажмите Сетевые политики вкладку и нажмите Создать сетевую политику в правом верхнем углу.
   • Имя политики: Укажите имя сетевой политики.
   • Пространство имен: Выберите пространство имен, в котором будет применяться сетевая политика.
   • Селектор: Введите метку, выберите Под, к которому будет привязка, и нажмите Добавить. Вы также можете нажать Reference Workload Label чтобы использовать метку существующей рабочей нагрузки.
   • Входящее правило: Нажмите чтобы добавить входящее правило. Подробную информацию о параметрах см. в Table 1.

     Table 1 Добавление входящего правила

     Параметр	Описание
     Протокол и порт	Выберите тип протокола и порт. В настоящее время поддерживаются TCP и UDP.
     Исходный CIDR‑блок	Для кластеров версии v1.27.16-r10, v1.28.15-r0, v1.29.10-r0, v1.30.6-r0 и более поздних версий с включённым DataPlane V2 можно настроить исходный CIDR‑блок. Указанный исходный CIDR‑блок разрешает трафик из целевого CIDR‑блока (можно указать несколько исключающих CIDR‑блоков). Разделяйте целевой и исключающие CIDR‑блоки вертикальной чертой (|). Если указано несколько исключающих CIDR‑блоков, разделяйте их запятыми (,). Например, 172.17.0.0/16|172.17.1.0/24,172.17.2.0/24 означает, что доступен 172.17.0.0/16, но недоступны 172.17.1.0/24 и 172.17.2.0/24.
     Исходное пространство имен	Выберите пространство имен, объекты которого могут быть доступны. Если параметр не указан, объект принадлежит тому же пространству имен, что и текущая политика.
     Исходная метка Пода	Разрешить доступ к Подам с этой меткой. Если параметр не указан, доступ возможен ко всем Подам в пространстве имен.

   • Исходящее правило: Нажмите чтобы добавить исходящее правило. Подробную информацию о параметрах см. в Table 2.

     Table 2 Добавление исходящего правила

     Параметр	Описание
     Протокол и порт	Выберите тип протокола и порт. В настоящее время поддерживаются TCP и UDP. Если параметр не указан, тип протокола не ограничивается.
     Целевой CIDR‑блок	Позволяет направлять запросы в указанный CIDR‑блок (и не в исключающие CIDR‑блоки). Разделяйте целевой и исключающие CIDR‑блоки вертикальной чертой (|). Если указано несколько исключающих CIDR‑блоков, разделяйте их запятыми (,). Например, 172.17.0.0/16|172.17.1.0/24,172.17.2.0/24 означает, что доступен 172.17.0.0/16, но недоступны 172.17.1.0/24 и 172.17.2.0/24.
     Целевое пространство имен	Выберите пространство имен, объекты которого могут быть доступны. Если параметр не указан, объект принадлежит тому же пространству имен, что и текущая политика.
     Целевая метка Пода	Разрешить доступ к pod'ам с этой меткой. Если этот параметр не указан, доступ будет разрешен ко всем pod'ам в пространстве имён.

3. Нажмите OK.