5. 网络与策略实例

# 一、实现目标

> 假设有名为testing的名称空间内运行着一组nginx Pod和一组myappPod。要求实现如下目标。

1. myapp Pod仅允许来自nginx Pod的流量访问其80/TCP端口，但可以向nginx Pod的所有端口发出出站流量。
2. nginx Pod允许任何源端点对其80/TCP端口的访问，并能够向任意端点发出出站流量。
3. myapp Pod和nginx Pod都可与kube-system名称空间的任意Pod进行任何类型的通信，以便于可以使用由kube-dns提供的名称解析服务等。

![未命名图片.png](/media/202406/10.5.15282732_image1.png)

# 二、创建基本环境

1. 创建testing名称空间，为其添加标签“ns=kube-system”

![未命名图片.png](/media/202406/10.5.15282732_image2.png)

2. 使用deployment控制器在testing空间创建nginx pod

![未命名图片.png](/media/202406/10.5.15282732_image3.png)

3. 使用deployment控制器在testing空间创建myapp pod

![未命名图片.png](/media/202406/10.5.15282732_image4.png)

4. 启动一个终端，在default名称空间中创建一个用于测试的临时交互式客户端：<br /># kubectl run cirros-$RANDOM --namespace=default --rm -it --image=cirros -- sh
- 分别测试访问nginx和myapp的服务，名称空间的默认网络策略为准许访问，接下来确认其访问请求可正常通过：

![未命名图片.png](/media/202406/10.5.15282732_image5.png)

# 三、定义默认网络策略并测试

1. 将testing名称空间的入站及出站的默认策略修改为拒绝访问

![未命名图片.png](/media/202406/10.5.15282732_image6.png)

2. 查看对应的netpol生成情况

![未命名图片.png](/media/202406/10.5.15282732_image7.png)

3. 再一次进行访问测试：

![未命名图片.png](/media/202406/10.5.15282732_image8.png)

# 四、定义流量放行规则

1. 配置清单，允许任何源端点对其80/TCP端口的访问

![未命名图片.png](/media/202406/10.5.15282732_image9.png)

- 测试客户端发起访问请求进行测试，nginx已经能够正常访问。

![未命名图片.png](/media/202406/10.5.15282732_image10.png)

2. 放行testing名称空间中来自nginx Pod的发往myapp Pod的80/TCP的访问流量，以及myapp Pod发往nginx Pod的所有流量。允许myapp Pod与kube-system名称空间的任何Pod进行交互的所有流量：

![未命名图片.png](/media/202406/10.5.15282732_image11.png)

- 测试客户端发起访问请求进行测试，myapp拒绝访问。

![未命名图片.png](/media/202406/10.5.15282732_image12.png)

- 进入nginx空间访问myapp测试，允许访问。

![未命名图片.png](/media/202406/10.5.15282732_image13.png)