防火墙/限制 Kubernetes pod 出口流量

Question

我只是好奇，你们用什么来过滤 Kubernetes 上的 pod 出口流量。

我在 GKE 上运行 K8s 集群，并且我已经使用（calico）网络策略对入口和出口流量进行防火墙。

现在我遇到一种情况，我们需要访问在 akamais 边缘网络“后面”运行的外部 api。 使用 URL 连接到 api，并且 DNS 解析不时更改。 我的网络策略中没有固定的 IP 可用于允许访问。 使用所有 akamais ip 网络作为策略目标似乎也不是一种解决方案 - akamai 表示使用的 ip 网络每周可以更改几次，因此我可能需要经常调整策略。

所以，我只是想知道这个问题的解决方案是什么样的？ 我还偶然发现了使用 iptables“tproxy”功能重定向流量的透明代理，但我不确定这是否是这里的通用解决方案？比如非 HTTP 流量呢？

你们用什么来处理这种情况？

Answer 1

可能会编写一个守护进程（一个操作员），它大约每秒检查一次 DNS 并更新网络策略对象。这取决于系统更新时失去访问几秒钟的影响以及 akamai 更新的顺利程度。