kubernetes - Kubernetes NetworkPolicies是否会阻止NodePort流量？

Question

我在官方docs中找不到NetworkPolicy是否阻止NodePort入口流量。

  ingress:
  - from:
    - podSelector:
        matchLabels:
          role: frontend

考虑到上面的NetworkPolicy-是否期望它会阻止我的 namespace 中到 NodePort -type服务的任何入口流量？

如果是这样，如何允许此类流量进入我的 namespace ？ ipBlock 会解决吗？

Answer 1

Do Kubernetes NetworkPolicies block NodePort traffic?

并不是的。

就像在 docs中所说的:“是对 pod 组 ...的规范。”基本上，它们适用于Pod或Pod组。 NodePort在Kubernetes中定义为 Service的一种类型。

您可以将网络策略应用于您的 namespace ，并如上所述指定 ipBlock 来限制流量。这将专门限制流量到您的Pod，但不限制到NodePort。 (这可能就是您所需要的全部)

为了将流量限制到NodePorts，您将不得不使用替代的外部解决方案，这实际上取决于您的设置。例如，如果您使用的是AWS之类的云提供商，则可以使用 security groups。

另外，GCP还为 Google Cloud Armor提供了一个后端配置，该配置可让您控制到服务/入口的流量。