K8S NetworkPolicy配置与CKA备考实战指南

1. 理解NetworkPolicy在K8S中的核心作用

NetworkPolicy是Kubernetes中用于定义Pod间网络通信规则的关键资源对象。它通过标签选择器机制，实现了对入站（Ingress）和出站（Egress）流量的精细控制。在CKA认证考试中，NetworkPolicy的配置与验证是必考知识点，也是实际生产环境中保障微服务安全的重要工具。

NetworkPolicy的工作原理基于三个核心要素：

• Pod选择器（podSelector）：指定规则适用的目标Pod
• 策略类型（policyTypes）：定义规则作用于Ingress、Egress或两者
• 规则集（ingress/egress）：详细的白名单规则，包括允许的源/目标、端口和协议

典型的NetworkPolicy配置示例：

yaml复制apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: test-network-policy
spec:
  podSelector:
    matchLabels:
      role: db
  policyTypes:
  - Ingress
  - Egress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          role: frontend
    ports:
    - protocol: TCP
      port: 6379

2. 搭建CKA备考练习环境

2.1 基础集群部署方案

对于CKA备考，推荐使用以下两种环境搭建方式：

1. 本地开发环境方案：

   • 工具组合：Minikube + Docker Desktop
   • 硬件要求：至少4核CPU/8GB内存/20GB磁盘
   • 安装步骤：

     bash复制# 安装Minikube
     curl -LO https://storage.googleapis.com/minikube/releases/latest/minikube-linux-amd64
     sudo install minikube-linux-amd64 /usr/local/bin/minikube
     
     # 启动集群
     minikube start --driver=docker --cpus=4 --memory=8192
     

2. 云环境方案：

   • 推荐平台：AWS EKS、Azure AKS或GCP GKE的免费层
   • 优势：更接近考试环境，可模拟多节点场景
   • 特别注意：考试时可能限制云服务商特定功能的使用

2.2 网络插件选择与配置

NetworkPolicy功能依赖CNI插件实现，不同插件的支持程度差异较大：

安装Calico插件的命令示例：

bash复制kubectl create -f https://raw.githubusercontent.com/projectcalico/calico/v3.26.1/manifests/tigera-operator.yaml
kubectl create -f https://raw.githubusercontent.com/projectcalico/calico/v3.26.1/manifests/custom-resources.yaml

3. NetworkPolicy实战配置

3.1 基础策略编写与部署

创建一个隔离前端与数据库服务的典型策略：

yaml复制apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: frontend-db-policy
spec:
  podSelector:
    matchLabels:
      app: mysql
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: frontend
    ports:
    - protocol: TCP
      port: 3306

部署策略的注意事项：

1. 确保目标Pod已正确打标（label）
2. 策略生效有延迟（通常1-2分钟）
3. 默认拒绝所有流量，需显式允许必要通信

3.2 高级策略模式

1. 命名空间隔离：

yaml复制apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: deny-cross-ns
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector: {}

2. IP黑白名单：

yaml复制ingress:
- from:
  - ipBlock:
      cidr: 192.168.1.0/24
      except:
      - 192.168.1.100/32

3. 多条件组合规则：

yaml复制ingress:
- from:
  - namespaceSelector:
      matchLabels:
        env: prod
  - podSelector:
      matchLabels:
        role: monitoring

4. 策略验证方法与技巧

4.1 基础验证工具链

1. kubectl诊断命令：

   bash复制# 检查策略是否生效
   kubectl get networkpolicy
   kubectl describe networkpolicy <name>
   
   # 检查Pod标签
   kubectl get pods --show-labels
   

2. 临时测试Pod创建：

   bash复制# 创建BusyBox测试Pod
   kubectl run test-pod --image=busybox --restart=Never --rm -it -- sh
   
   # 在Pod内执行网络测试
   wget -qO- <service-name>.<namespace>.svc.cluster.local:<port>
   

3. 网络连通性测试工具：

   bash复制# 安装网络诊断工具
   kubectl apply -f https://k8s.io/examples/admin/dns/dnsutils.yaml
   
   # 执行测试
   kubectl exec -it dnsutils -- nc -zv <target-pod-ip> <port>
   

4.2 高级验证场景

1. 跨命名空间测试：

   bash复制# 在不同命名空间创建测试Pod
   kubectl create ns test-ns
   kubectl run -n test-ns test-pod --image=busybox -- sleep 3600
   
   # 验证跨命名空间通信
   kubectl exec -n test-ns test-pod -- ping <target-pod-ip>
   

2. 流量捕获分析：

   bash复制# 在目标Pod所在节点安装tcpdump
   kubectl debug node/<node-name> -it --image=nicolaka/netshoot
   
   # 捕获特定端口的流量
   tcpdump -i any port <port> -nn -v
   

3. 策略影响评估：

   bash复制# 查看网络策略日志（Calico特有）
   kubectl logs -n kube-system -l k8s-app=calico-node
   

5. CKA考试特别注意事项

5.1 考试环境特点

1. 集群配置预置：

   • 通常已安装支持NetworkPolicy的CNI插件
   • 可能限制某些kubectl命令的使用（如describe）
   • 需要熟练使用--dry-run=client -o yaml生成模板

2. 典型题目模式：

   • 根据需求编写NetworkPolicy YAML
   • 修复不生效的现有策略
   • 验证特定服务间的连通性

5.2 时间管理技巧

1. YAML快速生成方法：

   bash复制# 使用kubectl创建模板
   kubectl create networkpolicy <name> \
     --pod-selector=<label> \
     --ingress='<rule>' \
     --dry-run=client -o yaml > policy.yaml
   

2. 常见错误检查清单：

   • 确认policyTypes字段包含所有规则类型
   • 检查标签拼写（区分大小写）
   • 验证端口协议是否匹配（TCP/UDP）
   • 确保没有冲突策略（特别是默认拒绝策略）

3. 应急解决方案：

   bash复制# 临时允许所有流量（仅用于测试）
   kubectl apply -f - <<EOF
   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: allow-all
   spec:
     podSelector: {}
     ingress:
     - {}
     egress:
     - {}
     policyTypes:
     - Ingress
     - Egress
   EOF
   

6. 生产环境进阶实践

6.1 策略管理最佳实践

1. 策略组织原则：

   • 按功能模块划分（如按微服务划分）
   • 使用命名规范（如<app>-<direction>-<priority>）
   • 添加注释说明业务目的

2. 版本控制策略：

   bash复制# 使用kustomize管理环境差异
   base/
   ├── networkpolicy.yaml
   overlays/
   ├── dev/
   │   └── patch.yaml
   └── prod/
       └── patch.yaml
   

3. 策略审计方法：

   bash复制# 检查策略覆盖情况
   kubectl get pods -o wide --no-headers | while read pod; do
     kubectl get networkpolicy --field-selector="spec.podSelector.matchLabels in $pod"
   done
   

6.2 性能优化技巧

1. 策略合并原则：

   • 合并相同目标的策略减少规则数量
   • 使用命名空间级默认策略

2. 大规模部署建议：

   • 限制每个命名空间的策略数量（<50）
   • 避免使用过于宽泛的IP块（CIDR范围过大）
   • 定期清理未使用的策略

3. 监控与告警配置：

   bash复制# Prometheus监控指标示例
   calico_active_policy_rules{type="ingress"}
   calico_policy_update_count