kubernetes - AKS |网络政策|使用Azure CNI时阻止入口流量

Question

我在获取基本的NetworkPolicy资源以阻止Azure Kubernetes服务(AKS)实例上的所有入口流量时遇到一些麻烦。 AKS是使用azure网络插件(即Azure CNI)设置的。
我们的问题是，随着VNet对等到本地网络，AKS工作负载现在暴露给内部网络中的不良行为者。因此，我们有一个入口 Controller ，但想使其成为所有非系统工作负载的唯一入口点。
这是NetworkPolicy资源:

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: hello-node-network-policy
  namespace: hello-namespace-2
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  ingress: []

在另一个命名空间中的Pod上，我仍然可以同时连接到Service端点和Pod IP地址(在 kubectl get pods --output=wide --namespace=hello-namespace-2中可见)。在同一VNet中的Azure VM上，我也可以直接连接到IP地址。
命名空间，StatefulSet，Service，Ingress和NetworkPolicy定义如下。

apiVersion: v1
kind: Namespace
metadata:
  name: hello-namespace-2
  labels:
    ingress-allowed: "allowed"
---
apiVersion: apps/v1
kind: StatefulSet
metadata:
  creationTimestamp: null
  labels:
    app: hello-node
  name: hello-node
  namespace: hello-namespace-2
spec:
  serviceName: hello-node
  replicas: 1
  selector:
    matchLabels:
      app: hello-node
  template:
    metadata:
      creationTimestamp: null
      labels:
        app: hello-node
    spec:
      containers:
      - image: k8s.gcr.io/echoserver:1.4
        name: echoserver
        resources: {}
---
apiVersion: v1
kind: Service
metadata:
  name: hello-node-service
  namespace: hello-namespace-2
spec:
  type: ClusterIP
  selector:
    app: hello-node
  ports:
  - name: http
    protocol: TCP
    port: 80
    targetPort: 8080
---
apiVersion: networking.k8s.io/v1beta1
kind: Ingress
metadata:
  name: hello-node-ingress
  namespace: hello-namespace-2
  annotations:
    kubernetes.io/ingress.class: nginx
    nginx.ingress.kubernetes.io/rewrite-target: /$2
spec:
  rules:
  - host: hello-namespace-2
    http:
      paths:
      - path: /hello-node(/|$)(.*)
        backend:
          serviceName: hello-node-service
          servicePort: 80
---
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: hello-node-network-policy
  namespace: hello-namespace-2
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  ingress: []

行为就像没有安装网络 Controller 一样，我认为它代表了Azure CNI的 azure网络插件。我们是否必须显式安装Calico这样的网络 Controller ？
任何对此行为的见解都将不胜感激。
谢谢!

Answer 1

1. Network policy options in AKS
Azure提供了两种实施网络策略的方法。创建AKS群集时，请选择网络策略选项。创建集群后，就无法更改策略选项:

Azure自己的实现，称为Azure网络策略。

Calico网络策略，由Tigera创建的开源网络和网络安全解决方案。

两种实现都使用Linux IPTables实施指定的策略。策略被转换为允许和禁止IP对的集合。然后将这些对编程为IPTable过滤器规则。
2. Differences between Azure and Calico policies and their capabilities
3. Create an AKS cluster and enable network policy
若要使用Azure网络策略，必须使用 Azure CNI plug-in并定义自己的虚拟网络和子网。有关如何规划所需子网范围的更多详细信息，请参见 configure advanced networking。
Calico网络策略可以与此相同的Azure CNI插件一起使用，也可以与Kubenet CNI插件一起使用。
4. 我个人从未使用过 Azure CNI plug-in。始终使用创建集群

az aks create --resource-group <RG> --name <NAME> --network-policy calico 

请看下面的例子:
a。 Tutorial: Calico Network Policies with Azure Kubernetes Service
b。 Network Policy in Kubernetes using Calico