技术标签: kubernetes kubenetes 网络 Powered by 金山文档 docker
默认情况下,Kubernetes集群网络没任何网络限制,Pod可以与任何其他pod通信,在某些场景下就需要进行网络控制,减少网络攻击面,提高安全性,这就会用到网络策略。
网络策略(network policy):
是一个K8s资源,用于限制pod出入流量,提供pod级别和namespace级别网络访问控制。
应用场景:
1.应用程序间的访问控制,列如项目A不能访问项目B的pod
2.开发环境命名空间不能访问测试环境命名空间Pod
3.当pod暴露到外部时,需要做Pod白名单
4.多租户网络环境隔离
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: test-network-policy
namespace: default #策略应用在那个名称空间,就说对那个命名空间的pod做限制(目标)
spec:
podSelector: #选择匹配哪些标签的pod,选择一组pod做网络策略,写{}表示分区下pod
matchLabels:
role: db
policyTypes:
- Ingress #入网,谁访问pod(即谁访问default名称空间下有role=db标签的pod)
- Egress #出网,role=db的pod可以访问谁
ingress:
- from:
- ipBlock: #ip控制入站
cidr: 172.17.0.0/16 #允许此网段访问
except:
- 172.17.1.0/24 #这个网段不能访问
- namespaceSelector: #通过名称空间控制
matchLabels:
project: myproject
- podSelector: #允许来自本地名字空间中标有 role=client 的 Pod 的连接,或 来自任何名字空间中标有 user=alice 的任何 Pod 的连接。不加-则为该名称空间下的只允许来自标有 role=client 的 Pod 且该 Pod 所在的名字空间中标有 user=alice 的连接。
matchLabels:
role: frontend
ports: #以上三种可以访问那个端口
- protocol: TCP
port: 6379
egress:
- to:
- ipBlock:
cidr: 10.0.0.0/24
ports:
- protocol: TCP
port: 5978
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: deny-all
namespace: test
spec:
podSelector: {} #匹配本命名空间所有pod
policyTypes:
- Ingress
- Egress
#ingress和egress没有指定规则,则不允许任何流量进出pod
未设置networkpolicy时,可自由出入站访问(可先起pod测试,K8s默认互通),设置后则生效(无法访问)
apply之后
测试访问外部(拒绝访问),
【】kubectl run busybox --image=busybox -n test -- sleep 12h
【】kubectl exec busybox -n test -- ping baidu.cm
测试外部pod访问(拒绝访问)
【】kubectl run web --image=nginx -n test
【】kubectl run busybox --image=busybox --sleep 12h
【】kubectl exec busybox -- ping nginxpod的ip
测试内部pod之间访问(拒绝访问)
【】kubectl exec busybox -n test -- ping nginxpod的ip
此策略基本不用,但可以设置为默认策略
需求:test命名空间下所有pod可以互相访问,也可以访问其他命名空间pod,但其他命名空间pod不能访问test命名空间pod
记得删除1的策略再进行2
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: deny-ingress
namespace: test
spec:
podSelector: {} #test下的所有pod
policyTypes:
- Ingress
ingress:
- from:
- podSelector: {} #匹配本命名空间所有pod
需求:允许其他命名空间test命名空间指定pod,pod标签app=web
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: allow-all-nmespace
namespace: test
spec:
podSelector:
matchLabels:
app: web #test名称空间下的有app=web的标签
policyTypes:
- Ingress
ingress:
- from:
- namespaceSelector: {} #匹配所有命名空间的pod
#即所有名称空间的pod都可以访问test名称空间下的app=web的pod,和K8s默认一样,没意义。但和案列1搭配即可实现一个可访问,一个不可访问
#默认拒绝不加-from则拒绝所有入站,加上之后通过namespaceseletctor进行匹配名称空间{}表所有
单独此规则
与案例1一起用
需求:将test命名空间中标签为run=web的pod隔离,只允许test名称空间下标签为run=client1的pod访问80端口
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: app-to-app
namespace: test
spec:
podSelector:
matchLabels:
run: web
policyTypes:
- Ingress
ingress:
【】kubectl run client1 --image=busybox -n test-- sleep 12h
需求:只允许指定命名空间中的应用访问和其他所有命名空间指定标签pod访问
应用策略命名空间在dev,web的pod标签为env=dev
允许prod命名空间中的pod访问,及其他命名空间中的pod标签为app=client1的pod访问
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: dev-web
namespace: dev
spec:
podSelector:
matchLabels:
env: dev
policyTypes:
- Ingress
ingress:
#满足允许prod命名空间中的pod访问
- from:
- namespaceSelector:
matchLabels:
env: prod
#允许pod标签为app=client1的pod访问,所有命名空间
- from:
- namespaceSelector: {}
podSelector:
matchLabels:
app: client1
【】kubectl create ns dev
【】kubectl run web --image=busybox -n dev --labels="env=dev" -- sleep 12h
【】kubectl create ns prod
【】kubectl label ns prod env=prod
【】kubectl run web --image=busybox -n prod -- sleep 12h
#按要求进行测试即可
文章浏览阅读1.3w次。转载自 http://www.miui.com/thread-2003672-1-1.html 当手机在刷错包或者误修改删除系统文件后会出现无法开机或者是移动定制(联通合约机)版想刷标准版,这时就会用到线刷,首先就是安装线刷驱动。 在XP和win7上线刷是比较方便的,用那个驱动自动安装版,直接就可以安装好,完成线刷。不过现在也有好多机友换成了win8/8.1系统,再使用这个_mt65驱动
文章浏览阅读1k次。SonarQube是一个代码质量管理平台,可以扫描监测代码并给出质量评价及修改建议,通过插件机制支持25+中开发语言,可以很容易与gradle\maven\jenkins等工具进行集成,是非常流行的代码质量管控平台。通CheckStyle、findbugs等工具定位不同,SonarQube定位于平台,有完善的管理机制及强大的管理页面,并通过插件支持checkstyle及findbugs等既有的流..._sonar的客户端区别
文章浏览阅读3.4k次,点赞2次,收藏27次。神经图灵机是LSTM、GRU的改进版本,本质上依然包含一个外部记忆结构、可对记忆进行读写操作,主要针对读写操作进行了改进,或者说提出了一种新的读写操作思路。神经图灵机之所以叫这个名字是因为它通过深度学习模型模拟了图灵机,但是我觉得如果先去介绍图灵机的概念,就会搞得很混乱,所以这里主要从神经图灵机改进了LSTM的哪些方面入手进行讲解,同时,由于模型的结构比较复杂,为了让思路更清晰,这次也会分开几..._神经图灵机方法改进
文章浏览阅读2.8k次。一、模型迭代方法机器学习模型在实际应用的场景,通常要根据新增的数据下进行模型的迭代,常见的模型迭代方法有以下几种:1、全量数据重新训练一个模型,直接合并历史训练数据与新增的数据,模型直接离线学习全量数据,学习得到一个全新的模型。优缺点:这也是实际最为常见的模型迭代方式,通常模型效果也是最好的,但这样模型迭代比较耗时,资源耗费比较多,实时性较差,特别是在大数据场景更为困难;2、模型融合的方法,将旧模..._模型迭代
文章浏览阅读2.3k次。1、前言上传图片一般采用异步上传的方式,但是异步上传带来不好的地方,就如果图片有改变或者删除,图片服务器端就会造成浪费。所以有时候就会和参数同步提交。笔者喜欢base64图片一起上传,但是图片过多时就会出现数据丢失等异常。因为tomcat的post请求默认是2M的长度限制。2、解决办法有两种:① 修改tomcat的servel.xml的配置文件,设置 maxPostSize=..._base64可以装换zip吗
文章浏览阅读1k次,点赞17次,收藏22次。Opencv自然场景文本识别系统(源码&教程)_opencv自然场景实时识别文字
文章浏览阅读1.3k次。拷贝虚拟机文件时间比较长,因为虚拟机 flat 文件很大,所以要等。脚本完成后,以复制虚拟机文件夹。将以下脚本内容写入文件。_exsi6.7快速克隆centos
文章浏览阅读2k次。本文主要实现基于二度好友的推荐。数学公式参考于:http://blog.csdn.net/qq_14950717/article/details/52197565测试数据为自己随手画的关系图把图片整理成文本信息如下:a b c d e f yb c a f gc a b dd c a e h q re f h d af e a b gg h f bh e g i di j m n ..._本关任务:使用 spark core 知识完成 " 好友推荐 " 的程序。
文章浏览阅读367次。南京大学高级程序设计期末复习总结,c++面向对象编程_南京大学高级程序设计
文章浏览阅读3.1k次,点赞2次,收藏12次。实现朴素贝叶斯分类器,并且根据李航《统计机器学习》第四章提供的数据训练与测试,结果与书中一致分别实现了朴素贝叶斯以及带有laplace平滑的朴素贝叶斯%书中例题实现朴素贝叶斯%特征1的取值集合A1=[1;2;3];%特征2的取值集合A2=[4;5;6];%S M LAValues={A1;A2};%Y的取值集合YValue=[-1;1];%数据集和T=[ 1,4,-1;..._朴素贝叶斯 matlab训练和测试输出
文章浏览阅读1.6k次。Markdown 文本换行_markdowntext 换行
文章浏览阅读6.7w次,点赞2次,收藏37次。win10 2016长期服务版激活错误解决方法:打开“注册表编辑器”;(Windows + R然后输入Regedit)修改SkipRearm的值为1:(在HKEY_LOCAL_MACHINE–》SOFTWARE–》Microsoft–》Windows NT–》CurrentVersion–》SoftwareProtectionPlatform里面,将SkipRearm的值修改为1)重..._错误: 0xc0000022 在运行 microsoft windows 非核心版本的计算机上,运行“slui.ex