amazon-web-services - K8s网络策略仅限制一个端点的导出

Question

我需要创建一个NetwrokPolicy对于我的 pod，从网络方面需要访问集群外部仅一个特定端点，仅此端点。

端点如下所示。 https://140.224.232.236:8088

在应用以下网络策略之前，我已对 Pod 执行操作(该镜像基于 alpine)并运行 ping www.google.com 并且它按预期工作，

但是，当我应用网络策略时，我和我尝试 ping google.com 我收到 ping: bad address 'www.google.com' 但当我 ping 时类似于 ip

1. ping 140.224.232.236
2. ping 140.224.232.236:8080

它被卡住了，在我能够看到这样的东西之前

64 bytes from 140.224.232.236: seq=518 ttl=245 time=137.603 ms
64 bytes from 140.224.232.236: seq=519 ttl=245 time=137.411 ms
64 bytes from 140.224.232.236: seq=520 ttl=245 time=137.279 ms
64 bytes from 140.224.232.236: seq=521 ttl=245 time=137.138 ms
....

现在它只是停留在这个问题上，有什么想法吗？

ping 140.224.232.236
PING 140.224.232.236 (140.224.232.236): 56 data bytes

仅此而已，这是什么意思？

我所做的如下

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
    name: test-network-policy
    namespace: dev
spec:
    podSelector:
      matchLabels:
        app.kubernetes.io/name: foo
  policyTypes:
  - Egress
  egress:
  - to:
    - ipBlock:
        cidr: 140.224.232.236/32
    ports:
    - protocol: TCP
      port: 8088 

1. 我已将其应用到 pod 的同一个 ns 上。
2. pod 选择器标签的名称取 self 想要应用网络策略并具有以下内容的 pod。app.kubernetes.io/name: foo

Answer 1

当您使用端口定义导出时:

ports:
- protocol: TCP
  port: 8080

这意味着允许在 TCP 端口 8080 上连接到 IP 140.224.232.236。

但是，ping(ICMP) 不知道端口。每次都会 Ping 失败。

1. ping 是一种网络实用程序，用于测试通过互联网协议(protocol) (IP) 远程主机的可达性。 ping 实用程序通过向远程主机发送一系列Internet 控制消息协议(protocol) (ICMP) 回显请求数据包来实现此目的。

2. 无法使用 ping 命令探测特定端口，因为 ICMP 属于第 3 层 IP 层，而不是第 4 层传输层(例如 TCP/UDP)。

3. 为了 ping 远程主机的特定端口，您需要使用具有端口号概念的第 4 层传输协议(protocol)，以及许多命令行工具，例如:

• paping 140.224.232.236 -p 8080 -c 3
• nmap -p 80 -sT www.google.com
• tcpping www.google.com