k8s-NetworkPolicy
NetworkPolicy 是k8s中的网络策略可以限制pod以及namespace之间的访问流量
演示一下名称空间之间基于端口的访问限制
官方对networkpolicy的介绍
官方网址： 网络策略 |Kubernetes （简体中文）
一：创建NetworkPolicy
vim networkpolicy.yaml
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata: name: test-network-policy # 策略的名称namespace: default # 策略所在的命名空间
spec: podSelector: matchLabels: {} # 空的标签选择器，意味着匹配default命名空间所有 PodpolicyTypes: - Ingress ingress: - from: - namespaceSelector: # 从特定命名空间选择器匹配的命名空间中的 Pod 允许访问matchLabels: app: echo ports: # 定义允许访问的端口- protocol: TCP port: 80 - protocol: TCPport: 8080
生成networkpolicy
kubectl apply -f networkpolicy.yaml
kubectl describe networkpolicy
#查看详细信息，因为我的default命名空间只有一个networkpolicy，所以没指定名字
kubectl get networkpolicy
可以看到这个networkpolicy是限制有app=echo的名称空间中的pod只允许访问default名称空间下的所有pod的80和8080端口，其他端口不允许访问
二：创建具有app=echo的名称空间
kubectl create ns test #创建namespace可以简写ns
kubectl label ns test app=echo #给test命名空间打上app=echo的标签
kubectl get ns --show-labels #查看test命名空间的标签
三：验证
在default命名空间下创建两个pod，分别为nginx和tomcat。
nginx是80端口 tomcat是8080端口
vim nginx.yaml
apiVersion: v1
kind: Pod
metadata:name: nginxnamespace: default
spec:containers:- image: nginx:v1imagePullPolicy: IfNotPresentname: nginxports:- containerPort: 80protocol: TCP
vim tomcat.yaml
apiVersion: v1
kind: Pod
metadata:name: tomcatnamespace: default
spec:containers:- image: tomcat:v1imagePullPolicy: IfNotPresentname: nginxports:- containerPort: 8080protocol: TCP
创建出来
kubectl apply -f nginx.yaml
kubectl apply -f tomcat.yaml
在test命名空间中创建一个pod进行访问验证
创建一个busybox
kubectl run busy-test --image=docker.io/library/busybox:1.28 --namespace=test -- /bin/sh -c "sleep 3600"
查看default命名空间下的pod ip
kubectl get pod -owide
kubectl -n test exec -it busy-test -- /bin/sh #进入容器内部
使用wget 来请求一下网页文件
可以看到80和8080都是可以下载到的
下面来多开两个终端进入到busybox容器里面用于下载网页文件，随后修改networkpolicy查看效果
看录屏查看效果
k8s-networkpolicy
这个测试方式就是上面的两个终端分别下载nginx和tomcat的网页文件
下面那个终端用于动态修改网络策略：第一次是取消掉了8080端口也就是tomcat的端口，可以发现tomcat的网页不被持续下载了，第二次我们又取消掉了nginx的80端口之后nginx的网页文件也不被下载了，第三次我们又恢复了80端口，可以看到nginx的网页文件又重新被下载了