1

我在获取基本NetworkPolicy资源来阻止 Azure Kubernetes 服务 (AKS) 实例上的所有入口流量时遇到了一些问题。AKS 设置有azure网络插件（即 Azure CNI）。

我们的问题是，通过 VNet 对等本地网络，AKS 工作负载现在暴露给来自内部网络的不良行为者。所以我们有一个入口控制器，但想让它成为所有非系统工作负载的唯一入口点。

这是NetworkPolicy资源：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: hello-node-network-policy
  namespace: hello-namespace-2
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  ingress: []

在不同命名空间中的 Pod 上，我仍然可以连接到 Service 端点和 Pod IP 地址（如 中所示kubectl get pods --output=wide --namespace=hello-namespace-2）。在同一 VNet 中的 Azure VM 上，我也可以直接连接到 IP 地址。

Namespace、StatefulSet、Service、Ingress 和 NetworkPolicy 定义如下。

apiVersion: v1
kind: Namespace
metadata:
  name: hello-namespace-2
  labels:
    ingress-allowed: "allowed"
---
apiVersion: apps/v1
kind: StatefulSet
metadata:
  creationTimestamp: null
  labels:
    app: hello-node
  name: hello-node
  namespace: hello-namespace-2
spec:
  serviceName: hello-node
  replicas: 1
  selector:
    matchLabels:
      app: hello-node
  template:
    metadata:
      creationTimestamp: null
      labels:
        app: hello-node
    spec:
      containers:
      - image: k8s.gcr.io/echoserver:1.4
        name: echoserver
        resources: {}
---
apiVersion: v1
kind: Service
metadata:
  name: hello-node-service
  namespace: hello-namespace-2
spec:
  type: ClusterIP
  selector:
    app: hello-node
  ports:
  - name: http
    protocol: TCP
    port: 80
    targetPort: 8080
---
apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  name: hello-node-ingress
  namespace: hello-namespace-2
  annotations:
    kubernetes.io/ingress.class: nginx
    nginx.ingress.kubernetes.io/rewrite-target: /$2
spec:
  rules:
  - host: hello-namespace-2
    http:
      paths:
      - path: /hello-node(/|$)(.*)
        backend:
          serviceName: hello-node-service
          servicePort: 80
---
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: hello-node-network-policy
  namespace: hello-namespace-2
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  ingress: []

这就像没有安装网络控制器一样，我认为 Azure CNI 的azure网络插件代表了它。我们是否必须明确安装像 Calico 这样的网络控制器？

非常感谢对此行为的任何见解。

谢谢！

4

1 回答 1

0

1. AKS 中的网络策略选项

Azure 提供了两种实施网络策略的方法。创建 AKS 群集时选择网络策略选项。创建集群后无法更改策略选项：

  • Azure 自己的实现，称为 Azure 网络策略。
  • Calico Network Policies，由 Tigera 创立的开源网络和网络安全解决方案。

两种实现都使用 Linux IPTables 来强制执行指定的策略。策略被转换为允许和不允许的 IP 对集。然后将这些对编程为 IPTable 过滤规则。

2. Azure 和 Calico 策略的区别及其能力

3. 创建 AKS 集群并启用网络策略

若要使用 Azure 网络策略，必须使用Azure CNI 插件并定义自己的虚拟网络和子网。有关如何规划所需子网范围的更多详细信息，请参阅配置高级网络。

Calico 网络策略可以与同一个 Azure CNI 插件或 Kubenet CNI 插件一起使用。

4.我个人从未使用过Azure CNI 插件。始终使用创建集群

az aks create --resource-group <RG> --name <NAME> --network-policy calico

请查看示例：

一种。 教程：使用 Azure Kubernetes 服务的 Calico 网络策略

湾。 Kubernetes 中使用 Calico 的网络策略

于 2020-10-20T09:09:59.490 回答