23.4. 配置多网络策略

流程

1. 创建策略规则：

   1. 创建一个 <policy_name>.yaml 文件：

      $ touch <policy_name>.yaml

      其中：

      <policy_name>

      指定多网络策略文件名。

   2. 在您刚才创建的文件中定义多网络策略，如下例所示：

      拒绝来自所有命名空间中的所有 pod 的入口流量

      这是一个基本的策略，阻止配置其他网络策略所允许的跨 pod 流量以外的所有跨 pod 网络。

      apiVersion: k8s.cni.cncf.io/v1beta1
      kind: MultiNetworkPolicy
      metadata:
        name: deny-by-default
        annotations:
          k8s.v1.cni.cncf.io/policy-for: <network_name>
      spec:
        podSelector:
        ingress: []

      其中：

      <network_name>

      指定网络附加定义的名称。

      允许来自所有命名空间中的所有 pod 的入口流量

      apiVersion: k8s.cni.cncf.io/v1beta1
      kind: MultiNetworkPolicy
      metadata:
        name: allow-same-namespace
        annotations:
          k8s.v1.cni.cncf.io/policy-for: <network_name>
      spec:
        podSelector:
        ingress:
        - from:
          - podSelector: {}

      其中：

      <network_name>

      指定网络附加定义的名称。

      允许从特定命名空间中到一个 pod 的入口流量

      此策略允许流量从在 namespace-y 中运行的容器集到标记 pod-a 的 pod。

      apiVersion: k8s.cni.cncf.io/v1beta1
      kind: MultiNetworkPolicy
      metadata:
        name: allow-traffic-pod
        annotations:
          k8s.v1.cni.cncf.io/policy-for: <network_name>
      spec:
        podSelector:
         matchLabels:
            pod: pod-a
        policyTypes:
        - Ingress
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                 kubernetes.io/metadata.name: namespace-y

      其中：

      <network_name>

      指定网络附加定义的名称。

      限制到服务的流量

      应用此策略可确保每个带有标签 app=bookstore 和标签 role=api 的 pod 只能被带有标签 app=bookstore 的 pod 访问。在本例中，应用可以是 REST API 服务器，标记为标签 app=bookstore 和 role=api。

      这个示例可以解决了以下用例：

      • 将到一个服务的流量限制为仅使用需要它的其他微服务。

      • 将连接限制为只允许使用它的应用程序。

        apiVersion: k8s.cni.cncf.io/v1beta1
        kind: MultiNetworkPolicy
        metadata:
          name: api-allow
          annotations:
            k8s.v1.cni.cncf.io/policy-for: <network_name>
        spec:
          podSelector:
            matchLabels:
              app: bookstore
              role: api
          ingress:
          - from:
              - podSelector:
                  matchLabels:
                    app: bookstore

        其中：

        <network_name>

        指定网络附加定义的名称。

2. 运行以下命令来创建多网络策略对象：

   $ oc apply -f <policy_name>.yaml -n <namespace>

   其中：

   <policy_name>

   指定多网络策略文件名。

   <namespace>

   可选： 如果对象在与当前命名空间不同的命名空间中定义，使用它来指定命名空间。

   输出示例

   multinetworkpolicy.k8s.cni.cncf.io/deny-by-default created

流程

1. 可选： 要列出命名空间中的多网络策略对象，请输入以下命令：

   $ oc get multi-networkpolicy

   其中：

   <namespace>

   可选： 如果对象在与当前命名空间不同的命名空间中定义，使用它来指定命名空间。

2. 编辑多网络策略对象。

   • 如果您在文件中保存了多网络策略定义，请编辑该文件并进行必要的更改，然后输入以下命令。

     $ oc apply -n <namespace> -f <policy_file>.yaml

     其中：

     <namespace>

     可选： 如果对象在与当前命名空间不同的命名空间中定义，使用它来指定命名空间。

     <policy_file>

     指定包含网络策略的文件的名称。

   • 如果您需要直接更新多网络策略对象，请输入以下命令：

     $ oc edit multi-networkpolicy <policy_name> -n <namespace>

     其中：

     <policy_name>

     指定网络策略的名称。

     <namespace>

     可选： 如果对象在与当前命名空间不同的命名空间中定义，使用它来指定命名空间。

3. 确认已更新多网络策略对象。

   $ oc describe multi-networkpolicy <policy_name> -n <namespace>

   其中：

   <policy_name>

   指定多网络策略的名称。

   <namespace>

   可选： 如果对象在与当前命名空间不同的命名空间中定义，使用它来指定命名空间。

流程

1. 创建以下 YAML，以定义 deny-by-default 策略，以拒绝所有命名空间中的所有 pod 的入口流量。将 YAML 保存到 deny-by-default.yaml 文件中：

   apiVersion: k8s.cni.cncf.io/v1beta1
   kind: MultiNetworkPolicy
   metadata:
     name: deny-by-default
     namespace: default 1
     annotations:
       k8s.v1.cni.cncf.io/policy-for: <network_name> 2
   spec:
     podSelector: {} 3
     ingress: [] 4

   1

   namespace：default 将此策略部署到 default 命名空间。

   2

   network_name ：指定一个网络附加定义的名称。

   3

   podSelector: 为空，这意味着它与所有 pod 匹配。因此，该策略适用于 default 命名空间中的所有 pod。

   4

   没有指定 ingress 规则。这会导致传入的流量丢弃至所有 pod。

2. 输入以下命令应用策略：

   $ oc apply -f deny-by-default.yaml

   输出示例

   multinetworkpolicy.k8s.cni.cncf.io/deny-by-default created

流程

1. 创建策略，以直接从公共互联网的流量或使用负载均衡器访问 pod。将 YAML 保存到 web-allow-external.yaml 文件中：

   apiVersion: k8s.cni.cncf.io/v1beta1
   kind: MultiNetworkPolicy
   metadata:
     name: web-allow-external
     namespace: default
     annotations:
       k8s.v1.cni.cncf.io/policy-for: <network_name>
   spec:
     policyTypes:
     - Ingress
     podSelector:
       matchLabels:
         app: web
     ingress:
       - {}

2. 输入以下命令应用策略：

   $ oc apply -f web-allow-external.yaml

   输出示例

   multinetworkpolicy.k8s.cni.cncf.io/web-allow-external created

流程

1. 创建一个策略，允许从所有命名空间中的所有 pod 流量到特定应用。将 YAML 保存到 web-allow-all-namespaces.yaml 文件中：

   apiVersion: k8s.cni.cncf.io/v1beta1
   kind: MultiNetworkPolicy
   metadata:
     name: web-allow-all-namespaces
     namespace: default
     annotations:
       k8s.v1.cni.cncf.io/policy-for: <network_name>
   spec:
     podSelector:
       matchLabels:
         app: web 1
     policyTypes:
     - Ingress
     ingress:
     - from:
       - namespaceSelector: {} 2

   1

   仅将策略应用到 default 命名空间中的 app:web pod。

   2

   选择所有命名空间中的所有 pod。

   注意

   默认情况下，如果您省略了指定 namespaceSelector 而不是选择任何命名空间，这意味着策略只允许从网络策略部署到的命名空间的流量。

2. 输入以下命令应用策略：

   $ oc apply -f web-allow-all-namespaces.yaml

   输出示例

   multinetworkpolicy.k8s.cni.cncf.io/web-allow-all-namespaces created

验证

1. 输入以下命令在 default 命名空间中启动 web 服务：

   $ oc run web --namespace=default --image=nginx --labels="app=web" --expose --port=80

2. 运行以下命令在 secondary 命名空间中部署 alpine 镜像并启动 shell：

   $ oc run test-$RANDOM --namespace=secondary --rm -i -t --image=alpine -- sh

3. 在 shell 中运行以下命令，并观察是否允许请求：

   # wget -qO- --timeout=2 http://web.default

   预期输出

   <!DOCTYPE html>
   <html>
   <head>
   <title>Welcome to nginx!</title>
   <style>
   html { color-scheme: light dark; }
   body { width: 35em; margin: 0 auto;
   font-family: Tahoma, Verdana, Arial, sans-serif; }
   </style>
   </head>
   <body>
   <h1>Welcome to nginx!</h1>
   <p>If you see this page, the nginx web server is successfully installed and
   working. Further configuration is required.</p>
   
   <p>For online documentation and support please refer to
   <a href="http://nginx.org/">nginx.org</a>.<br/>
   Commercial support is available at
   <a href="http://nginx.com/">nginx.com</a>.</p>
   
   <p><em>Thank you for using nginx.</em></p>
   </body>
   </html>

流程

1. 创建一个策略，允许来自特定命名空间中所有 pod 的流量，其标签为 purpose=production。将 YAML 保存到 web-allow-prod.yaml 文件中：

   apiVersion: k8s.cni.cncf.io/v1beta1
   kind: MultiNetworkPolicy
   metadata:
     name: web-allow-prod
     namespace: default
     annotations:
       k8s.v1.cni.cncf.io/policy-for: <network_name>
   spec:
     podSelector:
       matchLabels:
         app: web 1
     policyTypes:
     - Ingress
     ingress:
     - from:
       - namespaceSelector:
           matchLabels:
             purpose: production 2

   1

   仅将策略应用到 default 命名空间中的 app:web pod。

   2

   将流量仅限制为具有标签 purpose=production 的命名空间中的 pod。

2. 输入以下命令应用策略：

   $ oc apply -f web-allow-prod.yaml

   输出示例

   multinetworkpolicy.k8s.cni.cncf.io/web-allow-prod created

验证

1. 输入以下命令在 default 命名空间中启动 web 服务：

   $ oc run web --namespace=default --image=nginx --labels="app=web" --expose --port=80

2. 运行以下命令来创建 prod 命名空间：

   $ oc create namespace prod

3. 运行以下命令来标记 prod 命名空间：

   $ oc label namespace/prod purpose=production

4. 运行以下命令来创建 dev 命名空间：

   $ oc create namespace dev

5. 运行以下命令来标记 dev 命名空间：

   $ oc label namespace/dev purpose=testing

6. 运行以下命令在 dev 命名空间中部署 alpine 镜像并启动 shell：

   $ oc run test-$RANDOM --namespace=dev --rm -i -t --image=alpine -- sh

7. 在 shell 中运行以下命令，并观察请求是否被阻止：

   # wget -qO- --timeout=2 http://web.default

   预期输出

   wget: download timed out

8. 运行以下命令，在 prod 命名空间中部署 alpine 镜像并启动 shell：

   $ oc run test-$RANDOM --namespace=prod --rm -i -t --image=alpine -- sh

9. 在 shell 中运行以下命令，并观察是否允许请求：

   # wget -qO- --timeout=2 http://web.default

   预期输出

   <!DOCTYPE html>
   <html>
   <head>
   <title>Welcome to nginx!</title>
   <style>
   html { color-scheme: light dark; }
   body { width: 35em; margin: 0 auto;
   font-family: Tahoma, Verdana, Arial, sans-serif; }
   </style>
   </head>
   <body>
   <h1>Welcome to nginx!</h1>
   <p>If you see this page, the nginx web server is successfully installed and
   working. Further configuration is required.</p>
   
   <p>For online documentation and support please refer to
   <a href="http://nginx.org/">nginx.org</a>.<br/>
   Commercial support is available at
   <a href="http://nginx.com/">nginx.com</a>.</p>
   
   <p><em>Thank you for using nginx.</em></p>
   </body>
   </html>