k8s 网络概念与策略控制

K8s网络策略对于保护和管理 Kubernetes 集群内的流量至关重要。它们使您能够控制 Pod 之间的通信、增强安全性并提供对网络流量的精细控制。在像 K8s 这样的动态且可扩展的环境中，拥有强大的网络策略对于维护安全高效的基础设施至关重要。本章详细介绍k8s网络策略。

目录 一、网络前提条件-网络模型 二、需要解决的网络问题 1.容器和容器之间的网络 2.pod与pod之间的网络 同一台node节点上pod和pod通信 不同node节点上pod和pod通信 3.pod与service之间...

除此之外，还需要了解一下K8S里面常用的网络插件，包括flannel、calico、cilium等，本文并不会过于详细的介绍一些技术实现细节，只是会大致生成一个整个k8s网络模型的框架，方便理解。

Kubernetes能够把集群中不同Node节点上的Pod连接起来，并且默认情况下，每个Pod之间是可以相互访问的。但在某些场景中，不同的Pod不应该互通，这个时候就需要进行访问控制。亲测：在kubernetes集群中，默认可以设定NetworkPolicy资源，但是必须安装支持网络策略的插件，否则即使设置好网络策略也不会生效。 calico提供了多种解决方案： （1）使用fla...

同一个pod的多个容器间：lo pod之间的通讯：Overlay Network pod和service之间的通讯：各节点的Iptables etcd之 Flanneld说明： 存储管理flannel可分配的ip资源 监控ETCD中每个pod的实际地址，并在内存中建立维护pod节点路由表。 ...

Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完；在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；k8s的Pod是没有隔离行的，任意命名空间下的Pod可以访问任意命名空间下的Pod。

网络策略是控制Pod之间如何进行通信的规则，它使用标签来筛选Pod，并在该组Pod之上定义规则来定义管控其流量，从而为k8s提供更精细的流量控制和租户隔离机制。管理员和用户可以通过NetworkPolicy资源按需定义网络访问控制策略网络策略的具体实现要依靠CNI网络插件完成，例如Calico、Weave和Antrea等。因此，仅在使用支持网络策略的网络插件时才能让自定义的网络策略生效。不同的网络插件实现网络策略的方式也是不一样的。

注：本文基于K8S v1.21.2版本编写 1 关于网络策略 k8s的网络能力主要表现在两个方面，一个是连通性，保证pod之间能够互通，另一个就是隔离性，考虑安全、流量限制等业务需求。 而默认情况下，k8s集群的网络没任何限制，集群中的所有pod都是互通的，这对于一些业务来说是不符合安全需求的。同时如果考虑多租户的场景，这就更不能接受了，因此需要有方法能对集群网络进行限制，这就有了Network Policy。 但有一点，并不是所有网络插件都支持Network Policy，比如flannel就不支持网络策

1. 网络策略 NetworkPolicy 是一种以应用为中心的结构，允许你设置如何允许 Pod 与网络上的各类网络 “实体” 通信，在 IP/Port (L3/L4) 层面控制网络流量，用于隔离应用以减少攻击面。 Pod 之间能否通信，可通过如下三个组合进行确认： 其他被允许的 Pods (例如：Pod 无法限制对自身的访问) 被允许的 namespace IP CIDR (例如：与Pod运行所在节点的节点的通信总是被允许的) 支持的网络插件： Calico Canal Cilium Kube-ro

----------------------------- 部署 Dashboard ------------------------------------------------------------ 负载均衡部署 ------------------------------cni是一个标准接口，用于容器运行时调用网络插件，配置容器网络，负责设置容器的网络命名空间，IP地址，路由等等参数。每一个pod都有一个全局的真实的IP地址，同一个node之间的不同的pod可以直接使用对方的IP地址进行通信。

http://dockone.io/question/464

K8s网络 Docker中可以使用网桥方式给主机上的容器分配地址，K8s容器的网络通过插件的方式来实现，K8s管理集群核心解决的就是每个主机节点的IP地址网段划分，以及单个Pod的IP地址分配 保证每个Pod拥有集群内唯一的IP地址（唯一IP） 保证不同节点IP地址段不重复 保证跨界点Pod可以互相通信（Pod互通） 保证节点的Pod可以与其他主机互相通信（Pod与主机互通） 常用插件 只要可以实现CNI的接口，就能作为K8s的网络插件了 flannel calico kube-ovn Flannel

ip地址fenpei：veth pair连接容器的部分给容器分配一个ip地址，这个ip地址是唯一标识，宿主机也会被veth pair分配一个calico网络的内部ip地址，和其他节点上的容器进行通信。BGP模式的特点：交换路由信息的外部网关协议，可以连接不同的节点，node节点可能不是一个网段，BGP实现可靠的，最佳的，而且是动态的路由选择。cni是一个标准接口，用于容器运行时调用网络插件，配置容器网络，负责设置容器的网络命名空间，ip地址，路由等等参数。封装：宿主机ip，容器内部的ip地址。