在K8S中，网络策略原理是什么?

在Kubernetes中，网络策略（NetworkPolicy）的原理是为了提供一种机制，使得Pod之间的网络通信可以被精细控制。网络策略通过API对象的形式定义了Pod之间通信的规则，从而增强了集群的安全性。以下是网络策略的原理及其工作方式的详细介绍：

1. 网络策略的基本原理

1. API对象：

   • 网络策略是一个Kubernetes API对象，可以像其他资源（如Pod、Deployment等）一样被创建、更新和删除。网络策略对象存储在Kubernetes API服务器中，并且可以在集群中的所有节点上生效。

2. 命名空间范围：

   • 网络策略作用于特定的命名空间内的Pod。这意味着，即使两个Pod在不同的命名空间中，它们仍然可以不受彼此命名空间内的网络策略的影响。

3. 匹配Pod：

   • 网络策略通过podSelector字段来指定哪些Pod受该策略影响。podSelector是一个标签选择器，允许基于Pod的标签来选择Pod。

2. 网络策略的对象结构

一个典型的网络策略对象包含以下字段：

1. Pod选择器 (podSelector)：

   • 用于指定哪些Pod受此网络策略的影响。

2. 入站规则 (ingress)：

   • 规定了哪些流量可以进入选定的Pod。每个ingress规则可以包含以下子字段：
     • from：定义了流量的来源，可以是Pod选择器或命名空间选择器。
     • ports：定义了允许的端口和协议。

3. 出站规则 (egress)：

   • 规定了哪些流量可以从选定的Pod发出。每个egress规则也可以包含类似的子字段来定义目的Pod或端口。

4. 策略类型 (policyTypes)：

   • 可以是Ingress、Egress或Ingress,Egress，分别表示只控制入站流量、只控制出站流量或同时控制两者。

3. 网络策略的工作流程

当一个网络策略被创建后，Kubernetes会将这些规则传播到集群中的各个节点。每个节点上的kubelet会根据网络策略来配置网络规则，这些规则通常通过CNI插件来实现。下面是具体的工作流程：

1. 策略应用：

   • 当网络策略被应用到一个命名空间时，所有符合podSelector的Pod都会受到该策略的影响。

2. 规则检查：

   • 每当有流量试图进入或离开一个受网络策略影响的Pod时，都会根据网络策略中的规则进行检查。

3. 规则执行：

   • 如果流量不符合任何定义的入站或出站规则，那么该流量将被拒绝。如果符合，则允许通过。

4. CNI插件的作用：

   • 实际上，网络策略是由CNI插件来实现的。不同的CNI插件有不同的实现方式，例如Calico通过iptables规则来实现网络策略，而Cilium则利用eBPF技术来更高效地实现。

4. 实现细节

不同的CNI插件实现网络策略的方式有所不同，但通常涉及以下几个方面：

• iptables规则：某些CNI插件（如Calico）通过在节点上添加iptables规则来拦截和过滤流量。
• eBPF技术：一些现代插件（如Cilium）使用eBPF程序来直接在内核中实现网络策略，这种方法更加高效。
• 网络隔离：网络策略可以被用来实现Pod之间的隔离，确保只有授权的Pod才能互相通信。

5. 示例

下面是一个简单的网络策略示例：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-http
spec:
  podSelector:
    matchLabels:
      role: web
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          role: db
    ports:
    - protocol: TCP
      port: 80

这个网络策略允许标记为role=db的Pod访问标记为role=web的Pod的TCP端口80。

综上所述，网络策略通过API对象定义了Pod之间通信的规则，并通过CNI插件在节点上实现这些规则，从而达到细粒度的网络访问控制的目的。