为AKS群集配置网络策略

网络策略是一种Kubernetes规范，其中针对Pod之间的通讯定义了访问策略。使用网络策略可以定义有关发送和接收流量的规则集，并将其应用到与一个或多个标签选择器相匹配的Pod集合。我们可以在Azure Kubernetes服务中使用网络策略，使用此功能，允许我们控制Pod之间的流量流。可以基于所分配的标签、命名空间或流量端口等设置，来允许或拒绝到Pod的流量。对于在AKS群集中的Pod之间流量的流动方式，应该使用最低权限原则。

今天主要和大家聊一下如何使用Kubernetes网络策略来控制AKS中Pod之间的流量流动方式。我们使用Calico网络策略。首先来检查下当前AKS群集的网络模式和网络策略，可以看到当前的网络模式为kubenet，已经启用了Calico网络策略：

准备好启用网络策略的AKS群集以后，接下来开始定义网络策略

拒绝流向Pod的所有入站流量

创建演示资源

在定义规则以允许特定网络流量之前，需要先创建用于拒绝所有流量的网络策略。可以使用这个拒绝的网络策略作为起始点，然后仅为所需的流量创建允许列表。

首先我们先创建一个namespace来允许演示资源，运行如下命令创建

kubectl create ns dev

kubectl label ns/dev purpose=dev

Namespace创建好以后，在创建一个运行Nginx的后端Pod。使用这个Pod模拟Web应用程序的后端。在dev命名空间中创建此Pod并打开80端口，用于web流量访问。在Pod上打上标签 app=webapp,role=backend，以便我们可在下一节中使用网络策略定向到它。

kubectl run backend --image=mcr.microsoft.com/oss/nginx/nginx:1.15.5-alpine --labels app=webapp,role=backend --namespace dev --expose --port 80

创建另一个 Pod 并附加终端会话，然后运行wget命令，以测试是否可以成功访问默认的 NGINX 网页，可以看到当前能够成功访问到nginx网页：

kubectl run --rm -it --image=mcr.microsoft.com/aks/fundamental/base-ubuntu:v0.0.11 network-policy --namespace dev
wget -qO- http://backend

创建并应用网络策略

确定可以在后端Pod上使用基本的Nginx网页以后，接下来需要创建一个拒绝所有流量的网络策略。创建名为backend-policy.yaml的网络策略文件并粘贴以下 YAML 清单。 这个清单使用 podSelector 将策略附加到具有 app:webapp,role:backend标签的 Pod。Ingress下未定义任何规则，因此将拒绝流向 Pod 的所有入站流量

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: backend-policy
  namespace: dev
spec:
  podSelector:
    matchLabels:
      app: webapp
      role: backend
  ingress: []

使用kubectl apply -f 命令应用网络策略：

网络策略应用完成以后，我们再测试下能否在后端Pod上使用Nginx网页，运行如下命令创建一个附加终端会话的Pod：

kubectl run --rm -it --image=mcr.microsoft.com/aks/fundamental/base-ubuntu:v0.0.11 network-policy --namespace dev

使用 ​​wget​​ 确认是否可以访问默认的 NGINX 网页。 这一次，将超时值设为 2 秒。 网络策略现在会阻止所有入站流量，因此无法加载页面，如以下示例中所示：

wget -O- --timeout=2 --tries=1 ​​http://backend​​

允许基于Pod标签的流入流量

在前面的部分，我们已经部署了一个后端Nginx Pod并且使用网络策略拒绝了所有网络的入站流量，接下来让我们创建一个前端Pod并更新网络策略以允许来自前端Pod的流量。 首先让我们更新之前定义的网络策略，更新策略允许具有标签app:webapp, role:fronted的Pod的任何命名空间的流量：

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:
  name: backend-policy
  namespace: dev
spec:
  podSelector:
    matchLabels:
      app: webapp
      role: backend
  ingress:
  - from:
    - namespaceSelector: {}
      podSelector:
        matchLabels:
          app: webapp
          role: frontend

策略更新好以后，允许kubectl apply来更新网络策略：

更新以后，允许一个带有app:webapp, role:fronted标签的Pod并打开终端会话：

在shell提示符下，使用wget确认是否可以访问nginx网页, 可以看到，带有app:webapp, role:fronted标签的Pod可以正常访问到后端的nginx服务：

此时，如果没有匹配标签的Pod是不可以访问后端Nginx的：

仅允许来自特定命名空间的流量

前面的演示中，我们配置了后端Nginx服务允许特定标签的Pod流量。还有一个常见的需求是，将流量限制在特定的命名空间内

在前面的示例中，我们已创建拒绝所有流量的网络策略，然后更新了该策略，以允许来自具有特定标签的 Pod 的流量。 另一个常见需求是将流量限制在给定的命名空间内。 如果前面的示例适用于 dev 命名空间中的流量，那么就需要创建一个网络策略用于阻止来自另一命名空间（例如 production）的流量访问 Pod。

接下来让我们先更新之前定义的网络策略， 在Ingress规则namespaceSelector下，配置仅允许来自dev命名空内部的网络流量：

kind: NetworkPolicy
apiVersion: networking.k8s.io/v1
metadata:  
  name: backend-policy
  namespace: dev
spec:
  podSelector:
    matchLabels:
      app: webapp
      role: backend
  ingress:
  - from:
    - namespaceSelector: 
        matchLabels:
          purpose: dev
      podSelector:
        matchLabels:
          app: webapp
          role: frontend

配置好以后，运行kubectl apply来应用策略：

策略应用以后，我们可以在默认命名空间中启动一个Pod来测试是否可以访问dev命名空间中后端Nginx服务，可以看到，来自默认命名空间中的流量以及被拒绝：

接下来让我们在dev命名空间中启动一个Pod来测试访问后端Nginx服务，可以看到dev命名空间中的pod可以访问后端nginx服务：