如何使用网络策略拒绝所有命名空间的出口，并允许从 kubernetes 中的某些命名空间进入

Question

上下文：我将 EKS 与用于网络策略的 calico 插件和托管节点组一起使用。

我有一个名为“simon-test”的名称空间，我想在其中拒绝从名称空间到其他名称空间的所有出口（因此 simon-test 中的 pods 将无法看到其他 pods 在其他命名空间中）。我尝试使用以下网络策略（似乎按预期工作）来执行此操作：

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: default-deny-all-egress
  namespace: simon-test
spec:
  policyTypes:
  - Egress
  podSelector: {}
  egress: []

但这也阻止了命名空间内的所有内部网络。因此，为了解决这个问题，我创建了另一个网络策略，该策略应该允许命名空间内的所有流量：

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: allow-internal
  namespace: simon-test
spec:
  podSelector:
    matchLabels: {}
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          name: simon-test

但这并不能解决问题，因为命名空间内仍然没有联网。我很好奇为什么我仍然可以从另一个名称空间中的另一个 pod 到达“simon-test”（我是运行 nc -nlvp 9999 在“simon-test”的 pod 中，nc -z ip-of-pod-in-simon-test-ns 9999 来自来自另一个命名空间的 pod 并且它可以访问它，但是当从 simon-test 中 ping pod 时它不能。）

Answer 1

我不太清楚 calico/网络策略的内部结构，但我能够按如下方式解决这个问题：

  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          name: simon-test

上面的入口规则不起作用，因为命名空间没有“name=simon-test”标签它。我认为默认情况下所有名称空间都有一个名为“name”的标签你可以从这里参考，但似乎并非如此。到解决这个我必须添加一个标签： kubectl label ns simontest name=simon-test.
对于第二个问题：I am curious why I can still reach "simon-test" from another pod in another namespace though (when ingress was blocked) 这是因为我试图从 kube-system 中的一个 pod 到达“simon-test” ns，这恰好是使用启用的 hostNetwork，因此 pod 分配的 IP 地址恰好是 k8s 节点的 IP 地址，（而不是 pod 的 IP，显然网络策略可以区分何时将 IP 分配给 pod 和k8s节点？）因此没有被网络策略过滤。

如何使用网络策略拒绝所有命名空间的出口，并允许从 kubernetes 中的某些命名空间进入

how to deny egress to all namespaces, and allow ingress from some namespaces in kubernetes using network policies

kubernetes

project-calico

kubernetes-networkpolicy

kubernetes-networking