Kubernetes NetworkPolicy 实战

约 1007 字大约 3 分钟

kubernetessecuritynetworking

2026-03-14

概述

NetworkPolicy 用来定义 Pod 级别的网络访问边界。它解决的不是“怎么让服务互通”，而是“哪些 Pod 之间允许互通”。在多团队共享集群、零信任内网和合规要求下，它是 Kubernetes 里非常基础的一层控制面。

先理解三个事实

NetworkPolicy 是否生效，取决于 CNI 插件是否支持，例如 Calico、Cilium。
它只控制 Pod 网络流量，不直接替代 Ingress、Service、RBAC。
没有命中的策略通常意味着“默认允许”，但一旦某个方向被策略选中，就会变成白名单模式。

工作模型

要点：

podSelector 选择被保护的 Pod。
ingress 规定哪些来源可以访问它。
egress 规定它可以访问哪些目标。
policyTypes 决定策略作用于入站、出站还是两者。

默认拒绝是起点

实际治理里，通常先从 namespace 级默认拒绝开始，再逐步开白名单。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-all
  namespace: production
spec:
  podSelector: {}
  policyTypes:
    - Ingress
    - Egress

这条策略的含义是：

选中 production 命名空间里的所有 Pod。
对它们的入站和出站都不再“默认允许”。

允许同命名空间内部调用

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-same-namespace
  namespace: production
spec:
  podSelector: {}
  ingress:
    - from:
        - podSelector: {}
  egress:
    - to:
        - podSelector: {}
  policyTypes:
    - Ingress
    - Egress

这常用于第一阶段收敛，先堵住跨命名空间乱连，再继续细分服务边界。

允许网关访问后端

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-gateway-to-order
  namespace: production
spec:
  podSelector:
    matchLabels:
      app: order-service
  ingress:
    - from:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: ingress-system
          podSelector:
            matchLabels:
              app: gateway
      ports:
        - protocol: TCP
          port: 8080
  policyTypes:
    - Ingress

这类策略建议同时限制：

来源命名空间
来源 Pod 标签
目标端口

只配 podSelector 不配端口，往往会放得过宽。

数据库出口控制

后端 Pod 经常需要访问数据库、DNS、消息系统，出站策略不能忘掉这些基础依赖。

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: order-service-egress
  namespace: production
spec:
  podSelector:
    matchLabels:
      app: order-service
  egress:
    - to:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: database
          podSelector:
            matchLabels:
              app: mysql
      ports:
        - protocol: TCP
          port: 3306
    - to:
        - namespaceSelector:
            matchLabels:
              kubernetes.io/metadata.name: kube-system
          podSelector:
            matchLabels:
              k8s-app: kube-dns
      ports:
        - protocol: UDP
          port: 53
  policyTypes:
    - Egress