使用网络策略Network Policy - 容器服务 ACK

Kubernetes网络策略Network Policy提供基于策略的网络控制。如果您希望在IP地址或者端口层面控制网络流量，您可以为集群中特定应用使用网络策略。本文介绍如何使用ASK集群的网络策略及常见的使用场景。

索引

前提条件
注意事项
步骤一：开启网络策略
步骤二：创建可以被其他Pod正常访问的nginx测试应用
步骤三：使用网络策略

前提条件

注意事项

页面	配置项	说明	示例值
应用基本信息	应用名称	自定义名称。	nginx
应用基本信息	副本数量	按需选择。	1
容器配置	镜像名称	单击选择镜像，选择所需的镜像并单击确定。	本例选择官方Nginx镜像，可以在搜索页签中，选择 Docker官方镜像，然后在文本框中输入 `nginx` 进行搜索。
高级配置	服务（Service）	在服务（Service）右侧，单击创建设置服务配置项。	名称：nginx
			类型：负载均衡公网访问新建SLB
			端口映射：名称：nginx 服务端口：80 容器端口：80 协议：TCP

页面	配置项	说明	示例值
应用基本信息	应用名称	自定义名称。	busybox
应用基本信息	副本数量	按需取值。	1
容器启动项	镜像名称	单击选择镜像，选择所需的镜像并单击确定。	本例选择官方busybox镜像，可以在搜索页签中，选择 Docker官方镜像，然后在文本框中输busybox进行搜索。
容器启动项	容器启动项	无	选中 stdin 和 tty

kubectl run nginx --image=nginx

pod/nginx created

kubectl get pod

NAME                     READY   STATUS    RESTARTS   AGE
nginx                    1/1     Running   0          45s

kubectl expose pod nginx --port=80

service/nginx exposed

kubectl get service

NAME         TYPE        CLUSTER-IP      EXTERNAL-IP   PORT(S)   AGE
kubernetes   ClusterIP   172.XX.XX.1     <none>        443/TCP   30m
nginx        ClusterIP   172.XX.XX.48    <none>        80/TCP    12s

kubectl run busybox --rm -ti --image=busybox /bin/sh

If you don't see a command prompt, try pressing enter.
/ #

If you don't see a command prompt, try pressing enter.
/ # wget nginx  # wget nginx需要输入到此处。

Connecting to nginx (172.XX.XX.48:80)
saving to 'index.html'
index.html           100% |****************************************************************************************************************************************************|   612  0:00:00 ETA
'index.html' saved

配置项	说明	示例值
名称	自定义网络策略的名称。	access-nginx
Pod选择器	单击 + 选择工作负载添加标签，设置使用网络策略的Pod。	本文示例设置如下：设置类型为：无状态设置工作负载为： nginx 设置标签为： app=nginx
来源	每个网络策略可包含一个来源（ingress规则）的白名单列表。每个规则都允许同时匹配来源规则和特定端口部分的流量。规则： podSelector：此选择器将在与网络策略同命名空间中选择特定的 Pod，并将其允许作为入站流量来源。 namespaceSelector：此选择器将选择特定的命名空间，并将所有Pod 用作其入站流量来源。 ipBlock：此选择器将选择特定的IP CIDR范围以用作入站流量来源。端口：支持TCP和UDP协议。	本示例不添加任何来源规则。
去向	每个网络策略可包含一个egress规则的白名单列表。每个规则都允许匹配去向规则和特定端口部分的流量。规则： podSelector：此选择器将在与网络策略同命名空间中选择特定的Pod，并将其允许作为出站流量目的地。 namespaceSelector：此选择器将选择特定的命名空间，并将所有Pod用作其出站流量目的地。 ipBlock：此选择器将选择特定的IP CIDR范围以出站流量目的地。端口：支持TCP和UDP协议。	本示例不添加任何去向规则。

配置项	示例值
选择器	podSelector
类型	无状态
工作负载	busybox
标签	app=busybox

配置项	示例值
协议	TCP
端口	80

vim policy.yaml

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: access-nginx
spec:
  podSelector:
    matchLabels:
      run: nginx
  ingress:
  - from:
    - podSelector:
        matchLabels:
          access: "true"

```
kubectl apply -f policy.yaml 
```
```
networkpolicy.networking.k8s.io/access-nginx created
```
```
kubectl run busybox --rm -ti --image=busybox /bin/sh
```
```
wget nginx
```
```
Connecting to nginx (172.19.XX.XX:80)
wget: can't connect to remote host (172.19.XX.XX): Connection timed out
```

kubectl run busybox --rm -ti --labels="access=true" --image=busybox /bin/sh

wget nginx

Connecting to nginx (172.21.XX.XX:80)
saving to 'index.html'
index.html           100% |****************************************************************************************************************************************************|   612  0:00:00 ETA
'index.html' saved

配置项

示例值

选择器

ipBlock

cidr

<本机的IP地址>/32

例如：42.xx.xx.xx/32

配置项	示例值
选择器	ipBlock
cidr	100.0.0.0/8

参数	示例值
协议	TCP
端口	80

vim nginx-service.yaml

# 将以下YAML内容粘贴至nginx-service.yaml中。
apiVersion: v1
kind: Service
metadata:
  labels:
    run: nginx
  name: nginx-slb
spec:
  externalTrafficPolicy: Local
  ports:
  - port: 80
    protocol: TCP
    targetPort: 80
  selector:
    run: nginx
  type: LoadBalancer

kubectl apply -f nginx-service.yaml

service/nginx-slb created

kubectl get service nginx-slb

NAME        TYPE           CLUSTER-IP      EXTERNAL-IP      PORT(S)        AGE
nginx-slb   LoadBalancer   172.19.xx.xxx   47.110.xxx.xxx   80:32240/TCP   8m

```
wget 47.110.xxx.xxx
```
```
--2018-11-21 11:46:05--  http://47.110.xx.xxx/
Connecting to 47.110.XX.XX:80... failed: Connection refused.
```

curl myip.ipip.net

当前IP：10.0.x.x来自于：中国 北京 北京        # 此处仅为示例，具体请以实际设备为准。

vim policy.yaml

# 以下为YAML文件内容。
kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: access-nginx
spec:
  podSelector:
    matchLabels:
      run: nginx
  ingress:
  - from:
    - podSelector:
        matchLabels:
          access: "true"
    - ipBlock:
        cidr: 100.64.0.0/10
    - ipBlock:
        cidr: 10.0.0.1/24      # 本地IP地址，此处仅为示例，具体请以实际设备为准。

kubectl apply -f policy.yaml

networkpolicy.networking.k8s.io/access-nginx unchanged

kubectl run busybox --rm -ti --labels="access=true" --image=busybox /bin/sh

wget 47.110.XX.XX

Connecting to 47.110.XX.XX (47.110.XX.XX:80)
index.html           100% |***********************************************************|   612  0:00:00 ETA

配置项	说明	示例值
名称	自定义网络策略的名称。	busybox-policy
Pod选择器	单击 + 选择工作负载添加标签，设置使用网络策略的Pod。	本文示例设置如下：设置类型为：无状态设置工作负载为：busybox 设置标签为：app=busybox
去向	在去向右侧，单击 +添加，然后在规则右侧，单击 +添加。添加ipBlock为前面获取的 registry.aliyuncs.com 的解析的IP地址（120.55.XXX.XXX）/32的规则。	选择器：ipBlock cidr：120.55.XXX.XXX/32
去向	在去向右侧，单击 +添加，添加命名空间选择器为全部命名空间的UDP 53端口的访问的规则，用来保障应用可以解析DNS。在规则右侧，单击 +添加，添加命名空间选择器为全部的规则。在端口右侧，单击 +添加。添加UDP 53的规则用来保障应用可以解析DNS。	规则：选择器：namespaceSelector 命名空间：全部端口：协议：UDP 端口：53

```
nc -vz -w 1 www.aliyunc.com 443
```
```
nc -vz -w 1 registry.aliyuncs.com 443
```

dig +short www.aliyun.com

www-jp-de-intl-adns.aliyun.com.
www-jp-de-intl-adns.aliyun.com.gds.alibabadns.com.
v6wagbridge.aliyun.com.
v6wagbridge.aliyun.com.gds.alibabadns.com.
106.XX.XX.21
140.XX.XX.4
140.XX.XX.13
140.XX.XX.3

vim busybox-policy.yaml

# 以下为YAML文件内容。
kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: busybox-policy
spec:
  podSelector:
    matchLabels:
      run: busybox
  egress:
  - to:
    - ipBlock:
        cidr: 106.XX.XX.21/32
    - ipBlock:
        cidr: 140.XX.XX.4/32
    - ipBlock:
        cidr: 140.XX.XX.13/32
    - ipBlock:
        cidr: 140.XX.XX.3/32
  - to:
    - ipBlock:
        cidr: 0.0.0.0/0
    - namespaceSelector: {}
    ports:
    - protocol: UDP
      port: 53

kubectl apply -f busybox-policy.yaml

networkpolicy.networking.k8s.io/busybox-policy created

kubectl run busybox --rm -ti --image=busybox /bin/sh

wget www.taobao.com

Connecting to www.taobao.com (64.13.XX.XX:80)
wget: can't connect to remote host (64.13.XX.XX): Connection timed out

wget www.aliyun.com

Connecting to www.aliyun.com (140.205.XX.XX:80)
Connecting to www.aliyun.com (140.205.XX.XX:443)
wget: note: TLS certificate validation not implemented
index.html           100% |***********************************************************|  462k  0:00:00 ETA

配置项	示例值
名称	deny-public-net
Pod选择器	设置类型为全部。
来源	添加以下两条规则：设置namespaceSelector的全部允许的规则。设置ipBlock的全部允许的规则。
去向	添加只允许访问内网的规则：设置 namespaceSelector 的全部允许的规则，允许Pod访问内网的所有Pod。设置 ipBlock 的三条内网网段的规则，包括以下三个内网网段： 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16

```
nc -vz -w 1 www.aliyunc.com 443
```
```
nc -vz -w 1 10.xx.xx.xx:<IP端口> # 此处的IP地址为您的内网地址。
```

```
kubectl create ns test-np
```
```
namespace/test-np created
```

vim default-deny.yaml

# 以下为YAML文件内容。
kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  namespace: test-np
  name: deny-public-net
spec:
  podSelector: {}
  ingress:
  - from:
    - ipBlock:
        cidr: 0.0.0.0/0
  egress:
  - to:
    - ipBlock:
        cidr: 192.168.0.0/16
    - ipBlock:
        cidr: 172.16.0.0/12
    - ipBlock:
        cidr: 10.0.0.0/8

kubectl apply -f default-deny.yaml

networkpolicy.networking.k8s.io/deny-public-net created

kubectl get networkpolicy -n test-np

NAME                              POD-SELECTOR          AGE
deny-public-net                   <none>                1m

vim allow-specify-label.yaml

# 以下为YAML文件内容。
kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: allow-public-network-for-labels
  namespace: test-np
spec:
  podSelector:
    matchLabels:
      public-network: "true"
  ingress:
  - from:
    - ipBlock:
        cidr: 0.0.0.0/0
  egress:
  - to:
    - ipBlock:
        cidr: 0.0.0.0/0
    - namespaceSelector:
        matchLabels:
          ns: kube-system

kubectl apply -f allow-specify-label.yaml

networkpolicy.networking.k8s.io/allow-public-network-for-labels created

kubectl get networkpolicy -n test-np

NAME                              POD-SELECTOR          AGE
allow-public-network-for-labels   public-network=true    1m
deny-public-net                   <none>                 3m

```
kubectl run -it --namespace test-np --rm --image busybox  busybox-intranet
```
```
ping aliyun.com
```
```
PING aliyun.com (106.11.2xx.xxx): 56 data bytes
--- aliyun.com ping statistics ---
9 packets transmitted, 0 packets received, 100% packet loss
```

kubectl run -it --namespace test-np --labels public-network=true --rm --image busybox  busybox-internet

ping aliyun.com

PING aliyun.com (106.11.1xx.xx): 56 data bytes
64 bytes from 106.11.1xx.xx: seq=0 ttl=47 time=4.235 ms
64 bytes from 106.11.1xx.xx: seq=1 ttl=47 time=4.200 ms
64 bytes from 106.11.1xx.xx: seq=2 ttl=47 time=4.182 ms
--- aliyun.com ping statistics ---
3 packets transmitted, 3 packets received, 0% packet loss
round-trip min/avg/max = 4.182/4.205/4.235 ms

索引

前提条件

注意事项

步骤一：开启网络策略

步骤二：创建可以被其他Pod正常访问的nginx测试应用

通过控制台操作

通过命令行操作

步骤三：使用网络策略

场景一：通过网络策略限制服务只能被带有特定标签的应用访问

通过控制台操作

通过命令行操作

场景二：通过网络策略限制可访问公网服务的来源IP网段

通过控制台操作

通过命令行操作

场景三：通过网络策略限制一个Pod只能访问指定地址

通过控制台操作

通过命令行操作

场景四：通过网络策略控制命名空间下Pod公网访问权限

通过控制台操作

通过命令行操作