【精品】k8s(kubernetes)的网络策略networkpolicy实例精讲

已于 2023-01-11 17:18:10 修改
阅读量362 收藏
点赞数 1
分类专栏： 玩会k8s实战 文章标签： kubernetes 网络 运维 容器 pod
于 2022-11-24 19:25:58 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Friendsofthewind/article/details/127843798
版权
本文深入探讨了Kubernetes NetworkPolicy的原理，详细介绍了如何创建和应用NetworkPolicy进行流量控制，包括允许特定namespace的Pods访问内部Pods的80端口，以及在namespace内部实现更精细的访问策略。通过实例演示了配置、验证和调整网络策略的方法，强调了正确理解和使用官方文档的重要性。
摘要由CSDN通过智能技术生成

重点

1、了解networkpolicy的原理
在这里插入图片描述

2、掌握创建networkpolicy实现流量控制的方法

内容一

网络策略是控制pod资源组间以及与其他网络端点如何通信的规范。
实现原理：使用标签来分组pod，并在该组pod之上定义规则来控其流量，从而为kubernetes提供更为精细的流量控制以及租户隔离机制。

内容二

要求：在现有的namespace internal中创建一个名为allow-port-from-namespace的新NetworkPolicy。
确保新的NetworkPolicy允许namespace default中的Pods连接到namespace internal中的Pods的80端口。

分析：
简化要求描述，在名称空间internal中创建网络策略：仅允许default名称空间的pod访问它里面的pod

（1）为default名称空间打个标签，以app=nginx为例（为了便于反向验证，先不打标签）
࿰

了解本专栏 订阅专栏 解锁全文 超级会员免费看
Friends of the wind
关注
专栏目录
订阅专栏
2、玩转k8s之网络策略 network policy 快速入门
weixin_40807433的博客
02-29 980
当为namespaceSelector选中 kubernetes.io/metadata.name 为 lisi 的时候，此刻该名称空间下的所有pod 都能访问 目标 tanqidi 名称空间下的 tanqidi-db的pod，但是紧接着你使用了 and关系添加了podSelector 为 app: lisi-service，换而言之条件就变小了变成 lisi的namespace 下的 lisi-service的pod能访问目标 tanqidi 名称空间下的 tanqidi-db的pod。
Kubernetes之Network Policy
山不转的博客
07-27 2261
概述 Kubernetes要求集群中所有pod，无论是节点内还是跨节点，都可以直接通信，或者说所有pod工作在同一跨节点网络，此网络一般是二层虚拟网络，称为pod网络。在安装引导kubernetes时，由选择并安装的network plugin实现。默认情况下，集群中所有pod之间、pod与节点之间可以互通。 网络主要解决两个问题，一个是连通性，实体之间能够通过网络互通。另一个是隔离性，出于安...
k8s学习-网络策略NetworkPolicy（概念、模版、创建、删除等）
最新发布
2301_78399616的博客
07-22 876
如果你希望在 IP 地址或端口层面（OSI 第 3 层或第 4 层）控制网络流量， 则你可以考虑为集群中特定应用使用 Kubernetes 网络策略（NetworkPolicy）。是一种以应用为中心的结构，允许你设置如何允许与网络上的各类网络“实体” （我们这里使用实体以避免过度使用诸如“端点”和“服务”这类常用术语， 这些术语在 Kubernetes 中有特定含义）。NetworkPolicies 适用于一端或两端与 Pod 的连接，与其他连接无关。
k8s集群网络策略（Network Policy）
砚墨
07-04 1801
默认情况下，Kubernetes 集群网络没任何网络限制，Pod 可以与任何其他 Pod 通信，在某些场景下就需要进行网络控制，减少网络攻击面，提高安全性，这就会用到网络策略。 网络策略（Network Policy）：是一个K8s资源，用于限制Pod出入流量，提供Pod级别和Namespace级别网络访问控制。 网络策略的应用场景： • 应用程序间的访问控制，例如项目A不能访问项目B的Pod • 开发环境命名空间不能访问测试环境命名空间Pod • 当Pod暴露到外部时，需要做Pod白名单 • 多租户网络环
k8s中的网络（较详细汇总）
weixin_30752699的博客
07-19 1496
目录 一、网络前提条件-网络模型 二、需要解决的网络问题 1.容器和容器之间的网络 2.pod与pod之间的网络 同一台node节点上pod和pod通信 不同node节点上pod和pod通信 3.pod与service之间...
Kubernetes NetworkPolicy
散步的博客
05-06 542
网络策略（网络隔离策略） https://kubernetes.io/zh/docs/concepts/services-networking/network-policies/ 指定Pod间的网络隔离策略，默认是所有互通。 Pod 之间互通，是通过如下三个标识符的组合来辩识的： 其他被允许的 Pods（例外：Pod 无法阻塞对自身的访问） 被允许的名称空间 IP 组块（例外：与 Pod 运行所在的节点的通信总是被允许的， 无论 Pod 或节点的 IP 地址） 1、Pod隔离与非隔离 默认情况下，
k8s搭建Kubernetes（k8s）集群用到的部署CNI网络插件
02-21
问题场景：由于k8s安装master一直处于NotReady状态查看日志出现 failed to find plugin “flannel” in path [/opt/cni/bin]【CentOS7.9】(ps:不需要积分) 解决办法：下载CNI插件，在此提供amd和arm，其他可访问链接...
k8s-kubernetes--网络策略、flannel网络插件和calico网络插件
Gong_yz的博客
03-12 5453
网络策略通过网络插件来实现。要使用网络策略，你必须使用支持 NetworkPolicy 的网络解决方案。 创建一个 NetworkPolicy 资源对象而没有控制器来使它生效的话，是没有任何作用的。(Flannel不支持 NetworkPolicy，所以使用Flannei网络插件是不会隔离pod的)
云原生（二十三） | Kubernetes篇之Kubernetes 网络策略（NetworkPolicy）
Lansonli（蓝深李）的博客
06-11 1151
网络策略（网络隔离策略）网络策略 | Kubernetes指定Pod间的网络隔离策略，默认是所有互通。Pod 之间互通，是通过如下三个标识符的组合来辩识的：其他被允许的 Pods（例外：Pod 无法阻塞对自身的访问）被允许的名称空间IP 组块（例外：与 Pod 运行所在的节点的通信总是被允许的， 无论 Pod 或节点的 IP 地址） 默认情况下，Pod网络都是非隔离的（non-isolated），可以接受来自任何请求方的网络请求。如果一个 NetworkPolicy 的标签选择器选中了某个 Pod.....
K8s Kubernetes从入门到集群架构视频教程
04-20
K8s Kubernetes从入门到集群架构视频教程，集群搭建，教程，教学资料，Kubernetes视频教程
k8s基于canel的网络策略
weixin_30483495的博客
05-27 235
Kubernetes能够把集群中不同Node节点上的Pod连接起来，并且默认情况下，每个Pod之间是可以相互访问的。但在某些场景中，不同的Pod不应该互通，这个时候就需要进行访问控制。亲测：在kubernetes集群中，默认可以设定NetworkPolicy资源，但是必须安装支持网络策略的插件，否则即使设置好网络策略也不会生效。 calico提供了多种解决方案： （1）使用fla...
k8s NetworkPolicy 实战
Cyril的博客
12-10 476
NetworkPolicy 是一种以应用为中心的结构，允许设置如何允许 Pod 与网络上的各类网络“实体” （这里使用实体以避免过度使用诸如“端点”和“服务”这类常用术语， 这些术语在 Kubernetes 中有特定含义）通信。
K8S之网络策略
运维@小兵的博客
12-12 1400
k8s网络策略
k8s 网络策略
qq_39124041的博客
02-13 567
支持基于calico的网络策略 apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: test-network-policy namespace: default spec: podSelector: matchLabels: #该参数为空则保护当前命名空间下所有pod role: db policyTypes: - Ingress #其它客户端进入流量 - Egress
k8s网络策略
梵修
12-10 1485
网络策略是控制Pod之间如何进行通信的规则，它使用标签来筛选Pod，并在该组Pod之上定义规则来定义管控其流量，从而为k8s提供更精细的流量控制和租户隔离机制。管理员和用户可以通过NetworkPolicy资源按需定义网络访问控制策略网络策略的具体实现要依靠CNI网络插件完成，例如Calico、Weave和Antrea等。因此，仅在使用支持网络策略的网络插件时才能让自定义的网络策略生效。不同的网络插件实现网络策略的方式也是不一样的。
K8S网络策略
Blue summer的博客
11-30 1789
注：本文基于K8S v1.21.2版本编写 1 关于网络策略 k8s的网络能力主要表现在两个方面，一个是连通性，保证pod之间能够互通，另一个就是隔离性，考虑安全、流量限制等业务需求。 而默认情况下，k8s集群的网络没任何限制，集群中的所有pod都是互通的，这对于一些业务来说是不符合安全需求的。同时如果考虑多租户的场景，这就更不能接受了，因此需要有方法能对集群网络进行限制，这就有了Network Policy。 但有一点，并不是所有网络插件都支持Network Policy，比如flannel就不支持网络策
K8S 网络策略
elihe2011的专栏
03-15 1701
1. 网络策略 NetworkPolicy 是一种以应用为中心的结构，允许你设置如何允许 Pod 与网络上的各类网络 “实体” 通信，在 IP/Port (L3/L4) 层面控制网络流量，用于隔离应用以减少攻击面。 Pod 之间能否通信，可通过如下三个组合进行确认： 其他被允许的 Pods (例如：Pod 无法限制对自身的访问) 被允许的 namespace IP CIDR (例如：与Pod运行所在节点的节点的通信总是被允许的) 支持的网络插件： Calico Canal Cilium Kube-ro
Calico网络隔离与NetworkPolicy实战
"本文主要探讨了如何利用Calico和Kubernetes的NetworkPolicy实现租户间的网络隔离，包括Calico的基本介绍、其架构以及NetworkPolicy的详细解析和应用案例。" 在Kubernetes环境中，网络隔离是确保多租户安全性的关键...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Friends of the wind

您的是我坚持原创免费作品的不懈

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值