如何在 K8s 內(nèi)部實(shí)現(xiàn)安全的網(wǎng)絡(luò)隔離？

在生產(chǎn)環(huán)境中，隨著微服務(wù)架構(gòu)和多租戶應(yīng)用的普及，網(wǎng)絡(luò)安全和流量控制成為 Kubernetes 集群中不可忽視的關(guān)鍵問題。Kubernetes 默認(rèn)允許集群內(nèi)所有 Pod 間自由通信，但這在安全要求高的場(chǎng)景下顯然不夠。通過引入網(wǎng)絡(luò)策略（NetworkPolicy），我們可以對(duì) Pod 之間甚至 Pod 與外部之間的網(wǎng)絡(luò)流量進(jìn)行精細(xì)化控制，從而實(shí)現(xiàn)安全隔離和最小權(quán)限訪問。

本文將詳細(xì)介紹 Kubernetes 網(wǎng)絡(luò)策略的基本概念、工作原理、配置方法及實(shí)踐中的陷阱與最佳實(shí)踐，幫助你構(gòu)建一個(gè)更加安全的集群網(wǎng)絡(luò)環(huán)境。

網(wǎng)絡(luò)策略簡(jiǎn)介

什么是 NetworkPolicy？

• 定義：NetworkPolicy 是 Kubernetes 中的一種資源對(duì)象，用于定義 Pod 之間及與外部網(wǎng)絡(luò)之間允許或拒絕的流量規(guī)則。
• 目標(biāo)：通過基于標(biāo)簽的選擇器模型，實(shí)現(xiàn)應(yīng)用為中心的網(wǎng)絡(luò)訪問控制和隔離，降低未經(jīng)授權(quán)的流量風(fēng)險(xiǎn)。
• 作用域：網(wǎng)絡(luò)策略僅在所在的命名空間內(nèi)生效，一旦某個(gè) Pod 被 NetworkPolicy 選中，該 Pod 將默認(rèn)處于隔離狀態(tài)，只允許明確允許的流量進(jìn)入或離開。
• 核心原則：遵循白名單機(jī)制，策略未明確允許的流量均會(huì)被拒絕。

為什么需要網(wǎng)絡(luò)隔離？

• 安全性：限制未經(jīng)授權(quán)的訪問，防止攻擊者在入侵集群后橫向滲透。
• 多租戶環(huán)境：在同一集群中，不同團(tuán)隊(duì)或應(yīng)用之間的隔離，有助于防止相互影響。
• 合規(guī)要求：滿足行業(yè)安全標(biāo)準(zhǔn)（如 PCI-DSS、HIPAA）對(duì)網(wǎng)絡(luò)分段的要求。
• 最小權(quán)限原則：只允許必要的網(wǎng)絡(luò)流量通過，從而降低風(fēng)險(xiǎn)面。

網(wǎng)絡(luò)策略的工作原理

基本模型

標(biāo)簽選擇器（podSelector / namespaceSelector）：NetworkPolicy 使用標(biāo)簽選擇器來確定哪些 Pod 受策略影響。可以針對(duì)單個(gè) Pod、一個(gè) Pod 集合或整個(gè)命名空間設(shè)置規(guī)則。

規(guī)則類型：網(wǎng)絡(luò)策略分為兩種方向的規(guī)則：

• Ingress（入站規(guī)則）：控制哪些來源可以訪問目標(biāo) Pod。
• Egress（出站規(guī)則）：控制目標(biāo) Pod 可以訪問哪些外部資源。

端口與協(xié)議：支持指定 TCP、UDP 和 SCTP 協(xié)議的端口范圍（部分網(wǎng)絡(luò)插件可能限制協(xié)議支持）。

白名單機(jī)制

• 默認(rèn)允許 VS 隔離：在未配置任何 NetworkPolicy 時(shí)，所有 Pod 間流量都是允許的。一旦 Pod 被任一 NetworkPolicy 選中，該 Pod 將進(jìn)入隔離狀態(tài)，只有符合策略中白名單規(guī)則的流量才會(huì)被允許。
• 規(guī)則疊加：若多個(gè)策略作用于同一 Pod，所有規(guī)則的并集生效（即流量只需匹配任一策略即可通過）。
• 雙向校驗(yàn)：流量需同時(shí)滿足源和目標(biāo)的策略規(guī)則。例如，Pod A 允許出口到 Pod B，但 Pod B 未允許來自 Pod A 的入口，則連接仍會(huì)被拒絕。

網(wǎng)絡(luò)插件支持

實(shí)現(xiàn)依賴：網(wǎng)絡(luò)策略的實(shí)際執(zhí)行依賴于 CNI 插件（如 Calico、Cilium、Weave Net、kube-router 等）。不同插件可能在細(xì)節(jié)上有差異，但基本原理一致。

插件選型指南：

• Calico：支持復(fù)雜策略（如基于域名的出口規(guī)則）、高性能，適合大規(guī)模集群。
• Cilium：支持 L7 策略、服務(wù)網(wǎng)格集成，適合需要深度流量分析的場(chǎng)景。
• Weave Net：配置簡(jiǎn)單，適合中小規(guī)模集群。

驗(yàn)證插件支持：通過部署測(cè)試策略并觀察流量行為，或查閱插件官方文檔確認(rèn)功能支持。

常見配置示例

基礎(chǔ)示例

以下策略對(duì) default 命名空間中帶有 role=db 標(biāo)簽的 Pod 進(jìn)行隔離，規(guī)定僅允許來自以下來源的 TCP 流量訪問 6379 端口：

• 來自 IP 地址塊 172.17.0.0/16，但排除 172.17.1.0/24。
• 來自帶有標(biāo)簽 project=myproject 的命名空間中的 Pod。
• 來自當(dāng)前命名空間中帶有標(biāo)簽 role=frontend 的 Pod。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: test-network-policy
  namespace: default
spec:
  podSelector:
    matchLabels:
      role: db
  policyTypes:
  - Ingress
  - Egress
  ingress:
  - from:
    - ipBlock:
        cidr: 172.17.0.0/16
        except:
        - 172.17.1.0/24
    - namespaceSelector:
        matchLabels:
          project: myproject
    - podSelector:  # 注意：此規(guī)則隱含了同一命名空間下的 Pod
        matchLabels:
          role: frontend
    ports:
    - protocol: TCP
      port: 6379
  egress:
  - to:
    - ipBlock:
        cidr: 10.0.0.0/24
    ports:
    - protocol: TCP
      port: 5978

默認(rèn)拒絕策略

設(shè)置命名空間內(nèi)所有 Pod 默認(rèn)拒絕所有入站流量：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-ingress
  namespace: default
spec:
  podSelector: {}  # 選中所有 Pod
  policyTypes:
  - Ingress
  # ingress 規(guī)則為空，表示拒絕所有入站

允許特定訪問

僅允許帶有 access: true 標(biāo)簽的 Pod 訪問 nginx：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: access-nginx
  namespace: default
spec:
  podSelector:
    matchLabels:
      app: nginx
  ingress:
  - from:
    - podSelector:
        matchLabels:
          access: "true"

關(guān)鍵場(chǎng)景擴(kuò)展

允許 DNS 解析

Pod 通常需要訪問集群 DNS（如 kube-dns）以解析服務(wù)名稱。若出口策略限制嚴(yán)格，需顯式放行 DNS 流量：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-dns
spec:
  podSelector: {}
  egress:
  - to:
    - namespaceSelector:
        matchLabels:
          kubernetes.io/metadata.name: kube-system  # 假設(shè) DNS 部署在 kube-system
      podSelector:
        matchLabels:
          k8s-app: kube-dns
    ports:
      - protocol: UDP
        port: 53

允許訪問外部服務(wù)

若 Pod 需訪問特定外部 API（如 api.example.com:443），可通過 IP 塊或域名（需插件支持）放行：

egress:
- to:
  - ipBlock:
      cidr: 203.0.113.0/24  # 替換為實(shí)際 IP 范圍
  ports:
  - protocol: TCP
    port: 443

實(shí)踐部署與注意事項(xiàng)

部署步驟

選擇并配置網(wǎng)絡(luò)插件

• 確認(rèn)插件支持 NetworkPolicy（如 Calico：kubectl apply -f https://docs.projectcalico.org/manifests/calico.yaml）。
• 驗(yàn)證插件功能：部署測(cè)試策略并觀察流量是否被正確攔截。

設(shè)計(jì)標(biāo)簽體系

• 為 Pod 和命名空間定義清晰的標(biāo)簽（如 app: frontend, tier: database）。
• 使用 kubectl label 命令動(dòng)態(tài)管理標(biāo)簽。

漸進(jìn)式策略部署

• 先隔離：應(yīng)用默認(rèn)拒絕策略（Deny All）。
• 后放通：按需添加允許規(guī)則，逐步開放必要流量。
• 監(jiān)控審計(jì)：結(jié)合日志工具（如 Cilium Hubble）觀察策略匹配情況。

跨命名空間策略

使用 namespaceSelector 控制跨命名空間訪問。

示例：允許 monitoring 命名空間下的 Prometheus Pod 拉取指標(biāo)：

ingress:
- from:
  - namespaceSelector:
      matchLabels:
        kubernetes.io/metadata.name: monitoring
    podSelector:
      matchLabels:
        app: prometheus

常見問題與排查

策略未生效的可能原因

1. 網(wǎng)絡(luò)插件未正確支持：執(zhí)行 kubectl get networkpolicy 確認(rèn)策略已創(chuàng)建，但插件可能未生效。
2. 標(biāo)簽不匹配：檢查 Pod 和命名空間的標(biāo)簽是否與策略中的選擇器一致。
3. 端口/協(xié)議不匹配：確保流量協(xié)議（TCP/UDP）和端口號(hào)與策略定義一致。
4. 規(guī)則方向錯(cuò)誤：入站流量需配置在 ingress，出站流量需 egress。

測(cè)試工具

臨時(shí)診斷 Pod：使用 nicolaka/netshoot 或 busybox 鏡像執(zhí)行 curl 或 nslookup。

kubectl run tester --image=nicolaka/netshoot --rm -it --restart=Never -- curl http://nginx:80

策略模擬工具：Calico 提供 calicoctl 模擬策略效果。

高級(jí)技巧與最佳實(shí)踐

復(fù)雜規(guī)則組合

聯(lián)合選擇器：namespaceSelector 和 podSelector 在同一個(gè) from/to 塊中時(shí)，需同時(shí)滿足（“與”關(guān)系）：

ingress:
- from:
  - namespaceSelector:
      matchLabels:
        env: prod
    podSelector:
      matchLabels:
        app: api

此規(guī)則僅允許來自 env=prod 命名空間且標(biāo)簽為 app=api 的 Pod。

性能優(yōu)化

• 避免寬泛規(guī)則：如 podSelector: {} 可能影響性能，盡量縮小選擇器范圍。
• 合并相似規(guī)則：減少策略數(shù)量以降低插件處理開銷。

安全增強(qiáng)

默認(rèn)拒絕出口：防止數(shù)據(jù)泄露，僅允許訪問必要的外部服務(wù)。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-egress
spec:
  podSelector: {}
  policyTypes:
  - Egress

定期審計(jì)策略：使用 kubectl get networkpolicy --all-namespaces 檢查冗余或過期規(guī)則。

總結(jié)

通過 Kubernetes 網(wǎng)絡(luò)策略，可以實(shí)現(xiàn)從粗放式網(wǎng)絡(luò)開放到精細(xì)化管控的轉(zhuǎn)變。核心要點(diǎn)包括：

• 零信任模型：默認(rèn)拒絕所有流量，按需放行。
• 多維控制：基于標(biāo)簽、命名空間、IP/CIDR 等多維度定義規(guī)則。
• 生態(tài)協(xié)同：結(jié)合服務(wù)網(wǎng)格（如 Istio）實(shí)現(xiàn) L7 控制，或使用 Cilium 增強(qiáng)可觀測(cè)性。

隨著集群規(guī)模擴(kuò)大，建議采用策略即代碼（Policy as Code）工具（如 OPA Gatekeeper）自動(dòng)化策略管理，確保安全性與合規(guī)性的同時(shí)降低運(yùn)維負(fù)擔(dān)。網(wǎng)絡(luò)策略不僅是技術(shù)手段，更是構(gòu)建云原生安全體系的核心基石。

以上為個(gè)人經(jīng)驗(yàn)，希望能給大家一個(gè)參考，也希望大家多多支持腳本之家。

最新評(píng)論