对于k8s禁止不同Namespace之间访问的网络策略

网络策略如下#

我使用的网络插件是 Calico，以下是基于 Calico 的网络策略示例，实现不同 Namespace 之间的访问隔离：

1
# API 版本，指定使用的 Kubernetes 网络策略 API
2
apiVersion: networking.k8s.io/v1
3
# 资源类型，这里是 NetworkPolicy
4
kind: NetworkPolicy
5
metadata:
6
  # 策略名称
7
  name: namespace-isolation
8
  # 策略所属的命名空间
9
  namespace: namespace-name
10
spec:
11
  # 选择器，{} 表示作用于该命名空间下所有 Pod
12
  podSelector: {}
13
  # 策略类型，Ingress 表示入站流量，Egress 表示出站流量
14
  policyTypes:
15
    - Ingress
16
    - Egress
17
  ingress:
18
    # 允许同命名空间下的 Pod 访问
19
    - from:
20
        - podSelector: {}
21
    # 允许集群内部分必要组件访问
22
    - from:
23
        - namespaceSelector:
24
            matchLabels:
25
              kubernetes.io/metadata.name: ingress-nginx
26
    - from:
27
        - namespaceSelector:
28
            matchLabels:
29
              kubernetes.io/metadata.name: kube-system
30
    - from:
31
        - namespaceSelector:
32
            matchLabels:
33
              kubernetes.io/metadata.name: cattle-monitoring-system
34
    - from:
35
        - namespaceSelector:
36
            matchLabels:
37
              kubernetes.io/metadata.name: pod-files-api
38
    - from:
39
        - namespaceSelector:
40
            matchLabels:
41
              kubernetes.io/metadata.name: web-ssh
42
    # 允许所有 TCP 和 UDP 协议端口流量（用于 NodePort/LoadBalancer 类型 Service）
43
    - ports:
44
        - protocol: TCP
45
        - protocol: UDP
46
  egress:
47
    # 允许访问同命名空间下的 Pod
48
    - to:
49
        - podSelector: {}
50
    # 允许访问 DNS 服务（53 端口，TCP/UDP）
51
    - ports:
52
        - port: 53
53
          protocol: UDP
54
        - port: 53
55
          protocol: TCP
56
    # 允许访问除内网和保留地址外的公网 IP
57
    - to:
58
        - ipBlock:
59
            cidr: 0.0.0.0/0
60
            except:
61
              - 10.0.0.0/8        # 私有网段
62
              - 172.16.0.0/12     # 私有网段
63
              - 192.168.0.0/16    # 私有网段
64
              - 169.254.0.0/16    # 链路本地地址
65
              - 224.0.0.0/4       # 组播地址
66
              - 240.0.0.0/4       # 保留地址
67
              - 127.0.0.0/8       # 本地回环地址

思路说明#

屏蔽内网网段
首先通过 ipBlock 的 except 字段屏蔽了常见的内网和保留地址段，提升集群安全性，防止 Pod 直接访问内网资源：

1
- to:
2
   - ipBlock:
3
      cidr: 0.0.0.0/0
4
      except:
5
       - 10.0.0.0/8        # 私有网段
6
       - 172.16.0.0/12     # 私有网段
7
       - 192.168.0.0/16    # 私有网段
8
       - 169.254.0.0/16    # 链路本地地址
9
       - 224.0.0.0/4       # 组播地址
10
       - 240.0.0.0/4       # 保留地址
11
       - 127.0.0.0/8       # 本地回环地址

只允许必要流量
由于上述策略会禁止所有外部流量（包括集群内部流量），所以需要通过 podSelector 和 namespaceSelector 显式允许同命名空间和部分系统组件的访问。
放行必要组件
允许如 ingress-nginx、kube-system 等命名空间的流量，保证集群管理和监控等功能正常。
NodePort/LoadBalancer 兼容性
由于 NodePort 和 LoadBalancer 类型的 Service 需要暴露端口给外部访问，需通过 ports 字段放行所有 TCP/UDP 流量，否则会导致服务不可用：

1
- ports:
2
   - protocol: TCP
3
   - protocol: UDP

Kubernetes 的 NetworkPolicy 默认是“拒绝优先”，只有被允许的流量才能通过。通过 ipBlock、namespaceSelector 和 ports 的组合，可以实现灵活且安全的网络隔离。若有更细粒度需求，可进一步细化 podSelector 或 namespaceSelector，甚至指定端口范围。

如果有更好的方法，欢迎交流。