Kubernetes(k8s)中如何使用网络策略(NetworkPolicy)解决服务间的通信问题？

Kubernetes中通过定义NetworkPolicy资源，限制特定Pod间的入站和出站流量，例如仅允许指定标签的服务通信，从而隔离非授权访问。默认拒绝所有流量后，显式配置允许规则可精确控制服务间网络权限。

在Kubernetes中，使用NetworkPolicy控制服务间通信的步骤如下：

1. 确认CNI插件支持：

   • 确保集群网络插件（如Calico、Cilium）支持NetworkPolicy，否则规则不生效。

2. 定义Pod标签：

   • 为需管控的服务Pod添加标签（如 app: backend），便于策略匹配。

3. 编写NetworkPolicy YAML：

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
    name: allow-frontend-to-backend
   spec:
    podSelector:
      matchLabels:
        app: backend    # 目标后端Pod
    policyTypes:
    - Ingress
    ingress:
    - from:
      - podSelector:
          matchLabels:
            app: frontend   # 允许来自前端Pod的流量
      ports:
      - protocol: TCP
        port: 8080         # 仅开放后端服务端口

4. 应用策略：

   • kubectl apply -f policy.yaml -n <namespace>

5. 验证策略生效：

   • 前端Pod执行 curl backend-service:8080 应成功。
   • 其他Pod访问后端服务应被拒绝（如 kubectl exec -it other-pod -- curl backend-service:8080 返回超时）。

6. 常见问题排查：

   • 检查Pod标签与策略中的podSelector是否匹配。
   • 使用 kubectl describe networkpolicy <name> 确认策略范围及规则。
   • 通过 kubectl get networkpolicy 确认策略已部署到正确命名空间。

扩展场景：

• 默认拒绝所有流量：创建Deny-All策略后逐步放通白名单。
• 跨命名空间访问：在from字段中添加namespaceSelector匹配目标命名空间标签。

Kubernetes中使用NetworkPolicy可通过定义规则限制Pod间的通信。例如，通过podSelector选择目标Pod，并在ingress/egress规则中指定允许访问的源或目标。延伸知识点：默认拒绝策略。创建NetworkPolicy时，若未显式允许流量，则默认拒绝所有进出流量。例如，以下策略拒绝所有入站流量，但允许来自带有标签role=frontend的Pod的流量：

apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: deny-all-except-frontend spec: podSelector: {} policyTypes:

• Ingress ingress:
• from:
  • podSelector: matchLabels: role: frontend

在k8s里用NetworkPolicy可以像“防火墙”一样控制服务间的访问。比如给Pod打标签，然后在NetworkPolicy里定义哪些带标签的Pod能互相通信，或者限制特定端口。比如只让前端服务访问后端数据库，其他服务拦在外面。注意要装支持NetworkPolicy的网络插件（比如Calico），不然配置了也没用～