云服务器K8s集群网络策略高级配置实战

在云服务器上搭建K8s（Kubernetes）集群后，合理配置网络策略是保障集群安全与性能的关键。本文通过实战案例详解高级网络策略配置，涵盖环境准备、规则设计与验证全流程，帮助开发者构建更安全的容器通信边界。

理解K8s网络策略的核心作用

K8s网络策略就像游戏中的"副本准入规则"——它定义了Pod之间、Pod与外部网络的通信权限。不同于传统防火墙按IP地址管控，网络策略基于标签选择器动态匹配目标Pod，通过Ingress（入站）和Egress（出站）规则精准控制流量。某金融科技公司曾因未配置网络策略，导致测试环境Pod意外访问生产数据库，造成数据泄露；而另一家电商企业通过精细的网络策略，将支付服务Pod的入站流量限制为仅前端服务，全年未发生越权访问事件。

配置前的环境检查与准备

要让网络策略生效，云服务器上的K8s集群需满足两个条件：一是集群正常运行（可通过`kubectl get nodes`确认节点状态）；二是安装支持网络策略的CNI（容器网络接口）插件，如Calico或Cilium。以某物流企业的实践为例，他们曾因使用不支持网络策略的Flannel插件，导致策略配置后无效果，最终切换为Calico才解决问题。

步骤1：创建隔离命名空间

命名空间是K8s的逻辑隔离单元，类似游戏中的"独立地图"。执行以下命令创建测试空间：
kubectl create namespace my-app-ns

步骤2：部署测试应用

为验证策略效果，部署一个Nginx服务作为目标：
kubectl run nginx --image=nginx --labels=app=nginx -n my-app-ns
kubectl expose pod nginx --port=80 -n my-app-ns

高级网络策略实战配置

场景1：基于标签的入站访问控制

假设业务需求是"仅允许带有特定标签的Pod访问Nginx服务"。这类似于游戏中"只有VIP玩家才能进入高级副本"的规则。创建如下YAML文件（allow-specific-pods.yaml）：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-specific-pods-to-nginx
  namespace: my-app-ns
spec:
  podSelector:
    matchLabels:
      app: nginx
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          access: allowed
    ports:
    - protocol: TCP
      port: 80

应用策略后，只有标签为`access: allowed`的Pod才能通过80端口访问Nginx。某教育平台曾用此策略，将后台管理Pod标记为`access: allowed`，有效防止了测试Pod误访问生产系统。

场景2：限制出站流量范围

若需控制某类Pod仅能访问指定外部IP（如内部API服务器），可配置出站规则。例如限制`app: my-app`标签的Pod仅能访问`10.0.0.0/8`网段的80端口：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: restrict-outbound-traffic
  namespace: my-app-ns
spec:
  podSelector:
    matchLabels:
      app: my-app
  policyTypes:
  - Egress
  egress:
  - to:
    - ipBlock:
        cidr: 10.0.0.0/8
    ports:
    - protocol: TCP
      port: 80

某跨境电商企业曾用此策略，将商品同步Pod的出站流量限制为仅内部ERP服务器IP段，避免了因误配置导致的敏感数据外传风险。

策略生效验证与调优

部署策略后需验证效果。可创建两个测试Pod：一个带`access: allowed`标签（测试允许访问），另一个无此标签（测试拒绝访问）。通过`kubectl exec`进入Pod执行`curl nginx.my-app-ns.svc.cluster.local`，观察是否能成功连接。若允许标签的Pod能访问，无标签的无法访问，则说明入站策略生效；出站策略可通过`curl 10.0.1.100`（在允许网段内）和`curl 192.168.1.100`（不在允许网段）验证。

实际操作中，建议使用`kubectl describe networkpolicy`查看策略状态，或通过Calico的`calicoctl`工具检查流量日志，定位可能的配置错误（如标签匹配不精准、端口号写错等）。

在云服务器上为K8s集群配置高级网络策略，本质是为容器化应用构建"数字防护网"。通过标签选择器与规则组合，既能保障关键服务的访问安全，又能避免过度限制影响业务流转。掌握这些实战技巧，可让云服务器上的K8s集群在安全与性能间达到更优平衡。