云服务器K8s集群Calico网络策略配置修改实操

在云服务器K8s集群中，Calico作为主流网络插件（支持网络策略与IPAM），其策略配置直接影响集群内Pod间的通信安全。无论是调整业务端口访问权限，还是限制特定服务的流量流向，掌握Calico网络策略的修改方法都是运维人员的必修课。本文将通过实操步骤，详细讲解如何安全修改Calico网络策略，适配业务需求变化。

云服务器K8s集群Calico网络策略配置修改实操

前提条件与环境准备

操作前需确保云服务器已稳定运行K8s集群（推荐使用1.23+版本），且Calico网络组件（v3.25+）正常部署。需提前安装Kubectl工具（与集群API版本兼容），并配置好kubeconfig文件以便远程操作。若集群规模较大（如节点数超50），建议选择云服务器的高IO实例（如配备NVMe硬盘），保障Calico策略同步的低延迟。

第一步：查看现有策略避免误操作

修改前必须明确当前策略配置，防止覆盖关键规则。可通过Kubectl命令快速查询：
- 列出指定命名空间的所有策略：`kubectl get networkpolicies -n `（例：`kubectl get networkpolicies -n production`）
- 查看单个策略详情：`kubectl describe networkpolicy -n `（例：`kubectl describe networkpolicy allow-frontend-to-db -n default`）

输出结果中需重点关注`podSelector`（匹配目标Pod的标签）、`policyTypes`（策略类型，Ingress/Egress）及`ingress/egress`（具体流量规则）。例如某电商大促期间，若发现支付服务Pod（标签`app: payment`）的Ingress策略仅开放8080端口，而实际需要新增443端口（HTTPS），即可针对性修改。

第二步：安全修改策略配置

修改前务必备份原策略（`kubectl get networkpolicy -n -o yaml > backup-policy.yaml`），避免操作失误导致业务中断。

1. 编辑策略文件
执行`kubectl edit networkpolicy -n `（例：`kubectl edit networkpolicy allow-frontend-to-db -n default`），Kubectl会调用默认编辑器（如Vi）打开策略YAML文件。

2. 核心规则调整示例
以允许前端Pod访问数据库Pod的6379（Redis）和8080（业务接口）端口为例，原策略如下：

spec:
  podSelector:
    matchLabels:
      role: db
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          role: frontend
    ports:
    - protocol: TCP
      port: 6379

修改时仅需在`ports`字段新增8080端口配置：

ports:
- protocol: TCP
  port: 6379
- protocol: TCP
  port: 8080  # 新增业务接口端口

若需限制来源IP段（如仅允许办公网访问），可补充`ipBlock`规则：

from:
- podSelector:
    matchLabels:
      role: frontend
- ipBlock:
    cidr: 192.168.1.0/24  # 办公网IP段

第三步：验证与测试策略生效

保存退出编辑器后，Kubectl会自动应用修改。可通过`kubectl get networkpolicy -n `查看更新时间（`AGE`字段会刷新），确认策略已生效。

连通性测试是关键：
- 在前端Pod（标签`role: frontend`）中执行`kubectl exec -it -n -- curl :6379`，应返回Redis连接成功信息；
- 测试新增的8080端口：`kubectl exec -it -n -- curl :8080`，若返回403则检查策略是否遗漏端口配置；
- 若需验证IP段限制，可使用`kubectl run test-pod --image=alpine --rm -it -- sh`创建临时Pod，从非192.168.1.0/24网段访问应被拒绝。

第四步：异常情况快速回滚

若测试发现流量异常（如前端无法访问数据库），立即使用备份文件回滚：
`kubectl apply -f backup-policy.yaml`
回滚后再次验证，确认业务恢复正常。日常运维中建议将策略备份存储至云服务器的对象存储服务（如OSS），避免本地文件丢失。

掌握上述步骤，即可在云服务器K8s集群中灵活调整Calico网络策略，应对业务流量变化、安全规则更新等场景。无论是电商大促期间的端口临时开放，还是生产环境的最小权限控制，都能通过策略修改快速实现，保障集群通信安全与业务连续性。

云服务器K8s集群Calico网络策略配置修改实操

前提条件与环境准备

第一步：查看现有策略避免误操作

第二步：安全修改策略配置

第三步：验证与测试策略生效

第四步：异常情况快速回滚

相关文章

相关标签

最热文章

最新文章