如何使用网络策略拒绝所有命名空间的出口，并允许来自 kubernetes 中某些命名空间的入口答案

【问题标题】：how to deny egress to all namespaces, and allow ingress from some namespaces in kubernetes using network policies如何使用网络策略拒绝所有命名空间的出口，并允许来自 kubernetes 中某些命名空间的入口
【发布时间】：2021-01-20 03:03:40
【问题描述】：

上下文：我正在将 EKS 与 calico 插件一起用于网络策略和托管节点组。

我有一个名为“simon-test”的命名空间，我想在其中拒绝从该命名空间到其他人的所有出口（因此 simon-test 中的 pod 将无法看到其他命名空间中的其他 pod）。我尝试使用以下网络策略（似乎按预期工作）来做到这一点：

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: default-deny-all-egress
  namespace: simon-test
spec:
  policyTypes:
  - Egress
  podSelector: {}
  egress: []

但这也阻止了命名空间内的所有内部网络。所以为了解决这个问题，我创建了另一个网络策略，它应该允许命名空间内的所有流量：

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: allow-internal
  namespace: simon-test
spec:
  podSelector:
    matchLabels: {}
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          name: simon-test

但这并不能解决问题，因为命名空间内仍然没有网络。我很好奇为什么我仍然可以从另一个命名空间中的另一个 pod 访问“simon-test”（我在“simon-test”的一个 pod 中运行nc -nlvp 9999，从另一个命名空间的一个 pod 运行nc -z ip-of-pod-in-simon-test-ns 9999，它可以到达它，但是当从 simon-test 中 ping pod 时它不能。）

【问题讨论】：

您是否尝试过在 kube-system 命名空间中允许 dns 的出口？请参阅here 第 5 项。请告诉我

标签： kubernetes project-calico kubernetes-networkpolicy kubernetes-networking

【解决方案1】：

我不确定印花布/网络策略的内部细节，但我能够通过以下方式解决这个问题：

  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          name: simon-test

上述入口规则不起作用，因为命名空间上没有“name=simon-test”标签它。我认为默认情况下所有命名空间都有一个名为“名称”的标签您可以从这里参考，但似乎并非如此。到解决这个我不得不添加一个标签： kubectl label ns simontest name=simon-test.
对于第二个问题：I am curious why I can still reach "simon-test" from another pod in another namespace though (when ingress was blocked) 这是因为我试图从 kube-system 中的一个 pod 访问“simon-test”ns，它恰好使用启用了 hostNetwork，因此是该 pod 分配的 IP 地址，恰好是 k8s 节点的 IP 地址，（而不是 pod 的 IP，显然网络策略可以区分 IP 何时分配给 pod 和 k8s 节点？）因此没有被网络策略过滤。

【讨论】：