在Azure Kubernetes Service中实现网络策略以拒绝流量到命名空间

60次阅读

问题描述

在Azure Kubernetes Service（AKS）中尝试实现网络策略（Network Policies），但无法使其正常工作。用户在集群中有两个命名空间 – default 和 nginx，以及其他一些命名空间，但它们不应影响网络策略。用户在每个命名空间中都有一个nginx部署，用于在路径’/’上显示一些文本的网页（已对页面进行了轻微修改，以便能够识别所请求的页面）。此外，用户还为每个部署创建了一个ClusterIP服务。用户在nginx命名空间中部署了一个目标为所有内部Pod的Deny All Network Policy。然而，当用户在default命名空间中的nginx pod内打开一个shell，并执行curl http://servicename.namespace.svc:serviceport命令（这会解析为nginx命名空间内的服务），用户仍然可以访问Pod，尽管已应用网络策略规则。

解决方案

请注意以下操作可能因版本差异而略有不同，确保根据自己的情况进行调整。

确认AKS配置

在Azure Kubernetes Service（AKS）中实现网络策略之前，需要确认以下几个关键配置，以确保网络策略可以生效：
1. 网络插件配置：确保集群使用了正确的网络插件。在AKS中，可以选择使用Azure CNI（容器网络接口）或Calico网络插件。网络插件的选择会影响网络策略的实现。检查集群配置，确保network_plugin字段设置为”azure”或”calico”。
2. 网络策略配置：在创建AKS集群时，需要明确指定是否启用网络策略，并选择使用Azure还是Calico网络策略。检查集群配置，确保network_policy字段设置为”azure”或”calico”。

检查网络策略配置

您提供的网络策略示例似乎是正确的，但仍然可能出现问题。以下是您可以采取的一些步骤来诊断和解决问题：

检查Pod标签和网络策略匹配：确保您的网络策略中的podSelector与目标Pod的标签匹配。网络策略只会影响与podSelector匹配的Pod。
确认NetworkPolicy对象是否正确应用：使用以下命令检查网络策略是否正确应用于目标命名空间中的Pod。
bash kubectl get networkpolicy -n nginx
确保您看到了您创建的网络策略对象。
检查网络策略生效范围：网络策略可以定义为仅在特定命名空间内生效。确保您的网络策略对象的namespace字段与您的目标命名空间匹配。

验证网络策略规则

为了验证网络策略是否正确生效，您可以采取以下步骤：

在nginx命名空间中的nginx Pod内部执行以下命令，确保访问被拒绝：
bash curl http://servicename.namespace.svc:serviceport
如果网络策略生效，应该无法访问该服务。
在同一命名空间内的其他Pod中执行相同的curl命令，确保可以正常访问服务。

修正配置问题

根据您提供的信息，您在Terraform配置中可能遗漏了一些关键设置。确保您的Terraform配置中包括以下设置，以正确启用网络策略：

resource "azurerm_kubernetes_cluster" "example" {
  # ... 其他配置 ...

  network_profile {
    network_plugin = "azure"
    network_policy = "azure"  # 或 "calico"
  }

  # ... 其他配置 ...
}