kubernetes - 如何在不禁用到 Kubernetes pod 的外部流量的情况下使用 NetworkPolicy 隔离命名空间中的 pod

Question

我正在尝试将命名空间中的 pod 与其他命名空间隔离。我试图创建一个 NetworkPolicy:

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-from-other-namespaces
spec:
  podSelector:
    matchLabels:
  ingress:
  - from:
    - podSelector: {}

此 NetworkPolicy 成功地将我的命名空间中的 pod 与另一个命名空间隔离开来。但是，一旦应用此策略，就会禁用这些 Pod 的所有外部流量。是否有任何方法可以仅阻止来自其他命名空间的流量并允许所有外部流量进入 pod。

Answer 1

您应用的 NetworkPolicy 正在阻止来自每个来源的流量。
您可以在定义中添加授权的 CIDR 块:

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: example-policy
  namespace: default
spec:
  podSelector:
    matchLabels:
  policyTypes:
  - Ingress
  ingress:
  - from:
    - ipBlock:
        cidr: 172.17.0.0/16