k8s基于canel的网络策略

Posted 2021-12-08 smbands

Kubernetes能够把集群中不同Node节点上的Pod连接起来，并且默认情况下，每个Pod之间是可以相互访问的。但在某些场景中，不同的Pod不应该互通，这个时候就需要进行访问控制。
亲测：在kubernetes集群中，默认可以设定NetworkPolicy资源，但是必须安装支持网络策略的插件，否则即使设置好网络策略也不会生效。

calico提供了多种解决方案：
        （1）使用flannel提供网络，使用calico插件提供网络策略；
        （2）使用calico同时提供网络和策略；
        （3）仅使用calico提供网络策略；
        。。。
        flannel并不能对集群中网络提供网络策略功能，但是并没有必要卸载flannel单独安装calico。
        多数情况下，我们使用calico提供的第一种解决方案，只需要安装calico的网络策略功能插件即可。
    
        我们使用第一种，让flannel提供网络功能，calico提供网络策略功能：
        有两种安装方式：1.使用kubernetes的etcd存储栈；
                                     2.单独创建专门用于canal插件的etcd存储栈；
        一般使用基于Kubernetes API的etcd存储栈，而且是官方推荐的方案。

官网：https://docs.projectcalico.org

安装：
    （1）安装calico的canal插件：
             curl https://docs.projectcalico.org/v3.7/manifests/canal.yaml -O
    （2）如果您使用的是pod cidr 10.244.0.0/16，请跳到下一步。如果您使用的是不同的pod cidr，请使用以下命令来设置包含pod cidr的环境变量pod cidr，并将清单中的10.244.0.0/16替换为pod cidr。
            POD_CIDR="<your-pod-cidr>" \
            sed -i -e "s?10.244.0.0/16?$POD_CIDR?g" canal.yaml  
    （3）部署canal插件：
            kubectl apply -f canal.yaml
        使用kubectl get pods -n kube-system中查看安装进程。

        安装完成后，即可编写networkPolicy的资源清单。
   

NetworkPolicy的配置清单编写：
        NetworkPolicy是kubernetes集群中标准的资源，所以书写格式和其他资源的清单差不多。
            主要字段：

 1 apiVersion: Networking.k8s.io/v1
 2 kind: NetworkPolicy
 3 metadata:
 4    name:
 5    namespace:
 6 spec:
 7    egress:              ##出站规则。不写则按默认允许所有出站；
 8    ingress:             ##入站规则。不写则按默认不允许所有入站；
 9    podSelector:      ##必写字段。不写则策略将应用在所在的命名空间下的所有资源；
10    policyTypes:       ##策略类型：egress或ingress或无或搭配；               

        例：禁止所有入站：

1 apiVersion: networking.k8s.io/v1
2 kind: NetworkPolicy
3 metadata:
4    name: deny-all-ingress
5 spec:
6    podSelector: {}
7    policyTypes:
8    - Ingress

        例：允许所有出站：

 1 apiVersion: networking.k8s.io/v1
 2 kind: NetworkPolicy
 3 metadata:
 4   name: allow-all-egress
 5 spec:
 6    podSelector: {}
 7    egress:
 8    - {}
 9    policyTypes:
10    - Egress

　　 例：允许特定的访问流量

 

 1 apiVersion: networking.k8s.io/v1
 2 kind: NetworkPolicy
 3 metadata:
 4   name: allow-myapp-policy
 5 spec:
 6   podSelector: 
 7     matchLabels:
 8       app: myapp   ##标签为app=myapp允许入站访问。
 9   ingress:
10   - from:
11     - ipBlock:     ##地址段。
12         cidr: 10.244.0.0/16  ##允许这个地址段访问。
13         except:    ##以下地址不可以访问。
14         - 10.244.1.2/32
15     ports:
16     - port: 80     ##只允许访问80端口。
17       protocol: TCP

 

        例：指定pod标签访问

　　　　我们要对namespace为dev，带有"role: backend"标签的所有pod进行访问控制：只允许标签为"role: frontend"的Pod，并且TCP端口为80的数据流入，其他流量都不允许。

 1 apiVersion: networking.k8s.io/v1
 2 kind: NetworkPolicy
 3 metadata:
 4   name: all-frontend
 5 spec:
 6   podSelector:
 7     matchLabels:
 8       role:backend
 9   ingress:
10   - from:
11     - podSelector:
12         matchLabels:
13           role: frontend
14     ports:
15     - protocol: TCP
16         port: 80

        例：指定namespaces标签访问
               我们要对标签为"role=frontend"的所有Pod进行访问控制：只允许namespace标签为"user=smbands"的各Pod，并且TCP端口为443的数据流入，其他流量都不允许。

 1 apiVersion: networking.k8s.io/v1
 2 kind: NetworkPolicy
 3 metadata:
 4   name: allow-tcp-443
 5 spec:
 6   podSelector:
 7     matchLabels:
 8       role: frontend
 9   ingress:
10   - ports:
11     - protocol: TCP
12       port: 443
13     from:
14     - namespaceSelector:
15         matchLabels:
16           user: smbands