k8s-基于Canal来定义网络策略

安装要求:

• https://docs.projectcalico.org/getting-started/kubernetes/flannel/flannel

1、 使用Kubernetes API数据存储进行安装(推荐)

2、CNI插件需要启用，Calico安装为CNI插件。必须通过传递--network-plugin=cni参数将kubelet配置为使用CNI网络。(在kubeadm上，这是默认设置。)

3、支持kube-proxy的模式

• - iptables
  - ipvs需要1.9以上的

4 如果您使用的是pod CIDR 10.244.0.0/16 可以直接apply 如果您使用其他Pod CIDR，请确保在清单中取消对CALICO_IPV4POOL_CIDR变量的注释，并将其设置为与所选Pod CIDR相同的值。

安装Clico用于策略和Flannel用于网络

我们这里使用Kubernetes的etcd进行安装，首先确保Kubernetes设置--cluster-cidr=10.244.0.0/16和--allocate-node-cidrs=true。(kubeadm是默认安装的)

安装Calico

kubectl apply -f https://docs.projectcalico.org/manifests/canal.yaml

kubernetes中的网络控制策略

NetworkPolicy是kubernetes对pod的隔离手段，可以看到，NetworkPolicy实际上只是宿主机上的一系列iptables规则。

• Egress 表示出站流量，就是pod作为客户端访问外部服务，pod地址作为源地址。策略可以定义目标地址或者目的端口
• Ingress 表示入站流量，pod地址和服务作为服务端，提供外部访问。pod地址作为目标地址。策略可以定义源地址和自己端口
• podSelector 规则生效在那个pod上，可以配置单个pod或者一组pod。可以定义单方向。空 podSelector选择命名空间中的Pod。

kubectl explain networkpolicy.spec讲解:

• egress 出站流量规则 可以根据ports和to去定义规则。ports下可以指定目标端口和协议。to(目标地址)：目标地址分为ip地址段、pod、namespace
• ingress 入站流量规则 可以根据ports和from。ports下可以指定目标端口和协议。from(来自那个地址可以进来)：地址分为ip地址段、pod、namespace
• podSelector 定义NetworkPolicy的限制范围。直白的说就是规则应用到那个pod上。podSelector: {},留空就是定义对当前namespace下的所有pod生效。没有定义白名单的话 默认就是Deny ALL (拒绝所有)
• policyTypes 指定那个规则 那个规则生效，不指定就是默认规则。

在dev的namespace下定义一个入站流量拒绝的规则：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all-policy
spec:
  podSelector: {}
  policyTypes:
  - Ingress

$ kubectl apply -f network-policy.yaml  -n dev

在dev和prod的namespace下个各自创建一个pod

apiVersion: v1
kind: Pod
metadata:
  name: pod-1
  labels:
    name: myapp
spec:
  containers:
  - name: myapp
    image: ikubernetes/myapp:v1

$  kubectl apply -f policy-pod.yaml  -n dev

$  kubectl apply -f policy-pod.yaml  -n prod# 测试一下

$ kubectl get pod -o wide   -n prod NAME      READY     STATUS    RESTARTS   AGE       IP           NODEpod-1     1/1       Running   0          3h        10.244.2.7   k8s-node02$

kubectl get pod -owide   -n dev NAME      READY     STATUS    RESTARTS   AGE       IP           NODEpod-1     1/1       Running   0          3h        10.244.2.8   k8s-node02$ curl 10.244.2.8
Hello MyApp | Version: v1 | <a href="hostname.html">Pod Name</a>$ 10.244.2.8 不通

放行dev名称空间所有入站流量

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-all-policy
spec:
  podSelector: {}
  ingress:
  - {}
  policyTypes:
  - Ingress

$ kubectl apply -f  network-policy.yaml  -n dev 

测试
$ curl 10.244.2.2                              
Hello MyApp | Version: v1 | <a href="hostname.html">Pod Name</a>

放行特定的入站访问流量

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-myapp-policy
spec:
  podSelector: 
    matchLabels:
      app: myapp   #选择app=myapp 的标签放行
  ingress:
  - from:
    - ipBlock:   #地址段
        cidr: 10.244.0.0/16  允许这个地址段访问
        except:    排除一下地址不可以访问
        - 10.244.1.2/32
    ports:
    - port: 80   只运行访问80端口
      protocol: TCP
$ kubectl apply -f alloy-pod.yaml -n dev

测试一下

$ curl 10.244.2.8
Hello MyApp | Version: v1 | <a href="hostname.html">Pod Name</a>

下面写一个完整的NetworkPolicy对象：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: test-network-policy
  namespace: default
spec:
  podSelector:
    matchLabels:
      role: db
  policyTypes:
  - Ingress
  - Egress
  ingress:
  - from:
    - ipBlock:
        cidr: 172.17.0.0/16
        except:
        - 172.17.1.0/24
    - namespaceSelector:
        matchLabels:
          project: myproject
    - podSelector:
        matchLabels:
          role: frontend
    ports:
    - protocol: TCP
      port: 6379
  egress:
  - to:
    - ipBlock:
        cidr: 10.0.0.0/24
    ports:
    - protocol: TCP
      port: 5978

大概意思：

• 该规则只在default 的namespace下，携带role:db标签的pod生效。限制请求的类型包括Ingress和Egress。
• Kubernetes会拒绝任何访问被隔离pod的请求，除非这个请求来自以下“白名单”里的对象。并且访问的是被隔离pod的6379端口。
• default Namespace里的,携带了role=fronted标签的pod可以访问
• 任何Namespace里的，携带了project=myproject标签的pod可以访问
• 任何源地址数据172.17.0.0/16网段，且不属于172.17.1.0/24网段的请求
• Kubernetes会拒绝被隔离pod对外发起任何请求，除非请求的目的地址属于10.0.0.0/24网段，并且访问的是该网段地址的5978端口。