Kubernetes概念： NetworkPolicy 详解

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: test-network-policy
  namespace: default # NetworkPolicy 是命名空间范围的资源
spec:
  # 1. 策略目标：此策略应用到哪里？
  podSelector:
    matchLabels:
      role: db # 选择所有具有标签 `role=db` 的 Pods

  # 2. 策略类型：定义此策略是管理入站、出站，还是两者都管。
  policyTypes:
  - Ingress
  - Egress

  # 3. 入站规则（白名单）：谁可以访问上述 `role=db` 的 Pods？
  ingress:
  - from:
      - podSelector: # (a) 来自集群内的 Pods
          matchLabels:
            role: api
      - namespaceSelector: # (b) 来自特定命名空间的所有 Pods
          matchLabels:
            project: myproject
      - ipBlock: # (c) 来自集群外部的特定 IP 段
          cidr: 172.17.0.0/16
          except:
          - 172.17.1.0/24
    ports:
    - protocol: TCP
      port: 6379

  # 4. 出站规则（白名单）：上述 `role=db` 的 Pods 可以访问谁？
  egress:
  - to:
      - podSelector:
          matchLabels:
            role: cache
    ports:
    - protocol: TCP
      port: 6379
  - to: # 允许访问外部 DNS 服务器
      - ipBlock:
          cidr: 8.8.8.8/32
    ports:
    - protocol: UDP
      port: 53

6. 常见场景示例

场景 1：拒绝所有入站流量（默认拒绝）

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all-ingress
  namespace: default
spec:
  podSelector: {} # 匹配命名空间中的所有 Pods
  policyTypes:
  - Ingress
  # 不指定任何 ingress 规则，意味着拒绝所有入站流量。

场景 2：允许来自特定 Pod 的访问

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-frontend-to-backend
  namespace: default
spec:
  podSelector:
    matchLabels:
      app: backend
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: frontend
    ports:
    - protocol: TCP
      port: 8080

场景 3：允许访问外部网络和 DNS

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-dns-egress
  namespace: default
spec:
  podSelector: {}
  policyTypes:
  - Egress
  egress:
  - to:
    - namespaceSelector: {}
      podSelector:
        matchLabels:
          k8s-app: kube-dns
    ports:
    - protocol: UDP
      port: 53
    - protocol: TCP
      port: 53

场景 4：跨命名空间访问

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-cross-namespace
  namespace: backend
spec:
  podSelector:
    matchLabels:
      app: api
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          name: frontend
      podSelector:
        matchLabels:
          app: frontend
    ports:
    - protocol: TCP
      port: 8080

给命名空间打上标签：

kubectl label namespace frontend name=frontend

7. 总结与最佳实践

默认拒绝：首先为每个命名空间创建 deny-all-ingress 策略，然后再创建允许特定流量的策略。
标签是关键：NetworkPolicy 严重依赖标签（podSelector 和 namespaceSelector）来工作。为 Pod 和命名空间设计清晰的标签体系。
策略是叠加的：如果多个 NetworkPolicy 选择了同一个 Pod，则所有策略的规则会叠加（取并集）。
从简单开始：先从保护最关键的服务（如数据库）开始，逐步扩大范围。

测试策略：

kubectl describe networkpolicy <name>
kubectl run -it --rm --image=nicolaka/netshoot testpod -- /bin/bash

然后使用 curl, dig, nc 等工具测试连通性。

NetworkPolicy 是 Kubernetes 生产环境安全加固的必备工具，能够在容器层面实现网络隔离，防止攻击蔓延，是零信任网络架构在 K8s 中的具体实践。