当前位置：首页 > news >正文

5个Kubernetes网络策略常见误区：从Network Policy Recipes中学习正确配置

news 2026/5/12 18:13:18

5个Kubernetes网络策略常见误区：从Network Policy Recipes中学习正确配置

【免费下载链接】kubernetes-network-policy-recipesExample recipes for Kubernetes Network Policies that you can just copy paste项目地址: https://gitcode.com/gh_mirrors/ku/kubernetes-network-policy-recipes

Kubernetes网络策略是保障集群安全的关键组件，但许多开发者在配置时容易陷入常见误区。本文将基于Kubernetes Network Policy Recipes项目，深入解析5个最常见的网络策略配置误区，并提供正确的解决方案。通过实际案例和可视化图表，帮助您避免安全漏洞和通信故障。

误区一：误以为Kubernetes默认阻止所有流量

错误认知：许多开发者错误地认为Kubernetes默认阻止所有Pod间的通信，实际上Kubernetes的默认策略是允许所有流量。

实际情况：在没有应用任何NetworkPolicy的情况下，所有Pod之间可以自由通信。这个默认行为与许多安全模型相悖，可能导致潜在的安全风险。

正确做法：采用"默认拒绝，明确允许"的安全模型。首先创建一个全局拒绝策略，然后逐步添加允许规则：

# 01-deny-all-traffic-to-an-application.md中的示例 kind: NetworkPolicy apiVersion: networking.k8s.io/v1 metadata: name: web-deny-all spec: podSelector: matchLabels: app: web ingress: [] # 空数组表示拒绝所有入站流量

误区二：混淆命名空间选择器和Pod选择器

错误配置：开发者经常错误地使用命名空间名称而非命名空间标签来选择流量源。

问题分析：从06-allow-traffic-from-a-namespace.md可以看到，正确的做法是通过命名空间标签（而非名称）来筛选流量：

# 错误示例 - 不能直接使用命名空间名称 ingress: - from: - namespaceSelector: matchLabels: name: prod # 错误：这是命名空间名称，不是标签

# 正确示例 - 使用命名空间标签 ingress: - from: - namespaceSelector: matchLabels: purpose: production # 正确：这是命名空间标签

关键区别：Kubernetes NetworkPolicy使用namespaceSelector来匹配命名空间标签，而不是命名空间名称。您需要先给命名空间打上标签：

kubectl label namespace/prod purpose=production

误区三：忽略端口级别的精细控制

常见问题：开发者只控制了IP级别的访问，却忽略了端口级别的安全控制。

风险分析：即使限制了哪些Pod可以访问您的服务，如果没有限制端口，攻击者仍然可能通过其他开放的端口进行攻击。

正确配置：从09-allow-traffic-only-to-a-port.md学习如何实现端口级别的控制：

kind: NetworkPolicy apiVersion: networking.k8s.io/v1 metadata: name: api-allow-specific-ports spec: podSelector: matchLabels: app: api ingress: - from: - podSelector: matchLabels: app: prometheus ports: - protocol: TCP port: 5000 # 只允许metrics端口

最佳实践：为每个服务只开放必要的端口，例如：

Web服务：只开放80/443端口
数据库：只开放特定数据库端口
监控服务：只开放metrics端口

误区四：错误处理跨命名空间通信

配置混乱：许多团队在管理跨命名空间通信时，要么过于宽松（允许所有），要么过于严格（阻止所有）。

从04-deny-traffic-from-other-namespaces.md学到的正确方法：

# 阻止来自其他命名空间的所有流量 kind: NetworkPolicy apiVersion: networking.k8s.io/v1 metadata: name: deny-from-other-namespaces spec: podSelector: {} # 应用到所有Pod ingress: - from: - podSelector: {} # 只允许来自同一命名空间的流量

进阶策略：从07-allow-traffic-from-some-pods-in-another-namespace.md学习如何有选择地允许跨命名空间通信：

# 只允许特定命名空间中的特定Pod访问 ingress: - from: - namespaceSelector: matchLabels: environment: production podSelector: matchLabels: app: monitoring

误区五：忽视出站流量（Egress）控制

安全盲点：大多数团队只关注入站流量（Ingress）控制，却忽略了出站流量（Egress）的安全管理。

风险暴露：恶意Pod可能向外部的恶意服务器发送敏感数据，或者被用作DDoS攻击的跳板。

正确方案：从11-deny-egress-traffic-from-an-application.md和14-deny-external-egress-traffic.md学习Egress控制：

# 阻止应用的所有出站流量 kind: NetworkPolicy apiVersion: networking.k8s.io/v1 metadata: name: deny-egress spec: podSelector: matchLabels: app: sensitive-app policyTypes: - Egress egress: [] # 空数组表示拒绝所有出站流量

# 只允许访问集群内部服务，阻止所有外部访问 kind: NetworkPolicy apiVersion: networking.k8s.io/v1 metadata: name: deny-external-egress spec: podSelector: {} policyTypes: - Egress egress: - to: - namespaceSelector: {} # 只允许访问集群内服务