乐趣区

关于kubernetes:Kubernetes-Egress-网络策略指南

jiezi

作者：Viswajith Venugopal

翻译：Bach（才云）

校对：bot（才云）、星空下的文仔（才云）

Kubernetes 中的网络策略用于指定 Pod 组之间以及其与内部网络端点之间的通信，它就像是 Kubernetes 的防火墙。与大多数 Kubernetes 对象一样，网络策略非常灵活，性能也很弱小。如果理解应用程序中服务的确切通信模式，咱们就能够通过网络策略将通信限度在咱们想要范畴之内。

Ingress 与 Egress

网络策略可用于指定 Pod 的 入口（Ingress）流量 和进口（Egress）流量，其规定如下：

  • 如果容许集群内部网络端点到 Pod 的通信，那么该端点能够拜访 Pod。
  • 如果容许 Pod 到集群内部网络端点的通信，那么 Pod 也能够拜访该端点。
  • 如果 Pod（A）到 Pod（B）的流量被容许，那么流量能够通过 A 的进口以及 B 的入口。留神这是单向的，流量从 B 到 A，那么只能从 B 的进口到 A 的入口。

设置 Ingress

在实现入 口网络策略的设置并胜利运行后，咱们再设置进口网络策略。这样做的起因有两个：首先，一次执行两项操作比拟艰难，而且咱们很难晓得是因为入口还是进口配置导致的网络连接失败；其次，进口网络策略通常更难以施行。限度进口可能会引发各种谬误，从而影响利用程序运行。

尽管确定网络端点到 Pod 的通信非常简单，但要确定 Pod 到网络端点的连贯形式会比较复杂。之所以呈现这一问题，这是因为：

  • 作为惯例性能的一部分，Deployment 通常会查问一堆内部服务，依据它们在拜访这些服务时解决超时的形式，性能可能会受到一些轻微而又难以察看的影响。
  • Deployment 须要可能与 DNS 服务器通信，以便和其余任何服务器通信，除非这些服务器间接通过 IP 与服务分割。

对 Pod Egress 进行隔离

每个网络策略都有一个 podSelector 字段，该字段会抉择一组（0 个或多个）Pod。当网络策略抉择了一个 Pod 时，就称该网络策略实用于该 Pod。

此外，每个网络策略都能够依据 policyTypes 字段的值利用于入口和进口。如果 YAML 中未指定此字段，它的值会基于策略中的入口、进口规定默认设置，但默认设置并不靠谱，咱们最好进行明确的设置。

个别状况下，如果没有任何进口网络策略实用于 Pod，那么它就是非隔离的进口。这里要留神，隔离是针对入口和进口独立评估的。一个 Pod 的入口和进口能够都隔离，也能够都不隔离，甚至进行单个隔离。如果一个 Pod 的进口没有进行隔离，那么所有的流量都能够从这个 Pod 中进去。

当一个进口网络策略实用于某个 Pod 时，该 Pod 的进口就会被隔离。对于隔离的 Pod，只有在网络策略容许的状况下，才容许网络进口，也就是网络策略白名单。

设置进口网络策略的第一步是对 Pod 进行进口隔离。咱们最好先利用“默认回绝所有”的策略，将所有 Pod 的进口都隔离了。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-all-egress
spec:
  podSelector: {}
  egress:
  - to:
    ports:
    - protocol: TCP
      port: 53
    - protocol: UDP
      port: 53
  policyTypes:
  - Egress

不过要留神，默认状况下这个策略容许流量连贯到任意 IP 上的 53 端口，以不便 DNS 查找。因而，只管它能够避免进口呈现问题，但不能避免数据泄露，因为攻击者能够将数据发送到 53 端口。

如果想晓得 Pod 应用的是哪些 DNS 服务器，咱们能够通过放大拜访范畴进行确定。例如，要将 DNS 范畴放大到仅提供 kube-dns 服务，能够执行以下操作：

标记 kube-system 命名空间：

kubectl label namespace kube-system networking/namespace=kube-system

利用以下网络策略：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-all-egress
spec:
  podSelector: {}
  egress:
  - to:
    - namespaceSelector:
        matchLabels:
          networking/namespace: kube-system
      podSelector:
        matchLabels:
          k8s-app: kube-dns
    ports:
    - protocol: TCP
      port: 53
    - protocol: UDP
      port: 53
  policyTypes:
  - Egress

重要提醒：因为网络策略是带命名空间资源，因而每个命名空间都须要创立此策略。咱们能够运行以下命令：

kubectl -n <namespace> create -f <filename>

另外，最好不要将其利用于 kube-system 命名空间，因为它可能会影响集群性能。

明确 Pod 到互联网的进口

在每个命名空间中都采纳了 default-deny-all-egress（默认回绝所有进口）策略后，Pod 将无奈连贯到互联网，然而在大多数的应用程序中，会有一些 Pod 须要连贯到互联网。对此，有一种设置办法：为容许连贯互联网的 Pod 指定标签，并创立一个针对这些标签的网络策略。例如，以下网络策略容许具备 networking/allow-internet-egress=true 标签的 Pod 发送流量至所有网络端点（包含集群内部的端点）。另外，还是要留神，咱们必须为每个命名空间创立该策略：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: internet-egress
spec:
  podSelector:
    matchLabels:
      networking/allow-internet-egress: "true"
  egress:
  - {}
  policyTypes:
  - Egress

这个策略比默认设置具备更高的安全性。不过对于更严格的策略集，现实状况下最好指定更细粒度的 CIDR 块，并明确列出容许的端口和协定。

明确 Pod 间的点对点通信

如果将 Pod 隔离，而后明确 Pod 到 Pod 之间的通信之后，在利用失常工作时，咱们会发现，在应用 default-deny-all-egress 策略后，所有的通信都被限度了。对此，咱们在入口方向上将每个连贯放入白名单后，还须要把进口方向上的连贯也放入白名单。无论是遵循下面的倡议，容许所有名称空间外部通信，还是将各个 Pod 之间的连贯列入白名单，或者采纳自定义的办法，对于构建的每个入口策略，都须要制订相应的进口策略。

补充进口网络策略

对于从一组 Pod 到另一组 Pod 之间进行通信的入口策略，构建对应的进口策略非常简单。首先，将 policyTypes 字段更改为仅蕴含 Egress 的数组，将 spec.podSelector 放在 spec.egress.to.podSelector 中，删除 ingress.from，并将从中提取的 ingress.from.podSelector 放到新的进口策略 spec.podSelector 中。这样就实现了命名空间内的一个入口策略。

至于跨命名空间的策略，如果曾经用 network/namespace: 用标签标记了每个命名空间：

kubectl label namespace <name> networking/namespace=<name>

那么，咱们须要在入口策略中抉择 ingress.from.namespaceselector 的命名空间作为进口策略的 metadata.namespace，并将在入口策略的 metadata.namespace 中指定的命名空间，放到进口策略的 egress.to.namespaceSelector 字段中。

这是一个例子：

最初，上述倡议仅仅提供了一个学习网络策略的终点，实际上它会简单得多。如果想更具体地对它们进行理解，最好多多查看 Kubernetes 教程以及更多的网络策略配置。

原文请点击：https://mp.weixin.qq.com/s/0F…

退出移动版