Container Service for Kubernetes:ACK クラスターでのネットワークポリシーの使用

コンソール

1. nginx サービス向けのネットワークポリシーを構成します。構成の詳細については、「ユースケース 1：特定のラベルを持つアプリケーションへのサービスアクセス制限」をご参照ください。

2. サービス一覧で、外部エンドポイント 列（例：47.xxx.xx.x）から nginx サービスのパブリック IP アドレスを検索し、ブラウザでそのアドレスにアクセスしてみてください。

   ネットワークポリシーがデフォルトですべてのインバウンドトラフィックを拒否するため、アクセスは失敗します。

3. ネットワークポリシーを変更し、特定のクライアント CIDR ブロックからのアクセスを許可します。

   1. ブラウザで myip.ipip.net を開き、ご自身のマシンのパブリック IP アドレスを確認します。

   2. ネットワークポリシー一覧で access-nginx ポリシーを見つけ、編集 をクリックし、編集 パネルでルールを変更します。

      送信元 の右側にある + 追加 をクリックし、以下の手順を実行します：

      • ルール の右側にある + 追加 をクリックし、ご自身のマシンの IP アドレスからのアクセスを許可するルールを追加します：

        パラメーター	例
        セレクター	ipBlock
        cidr	<ご自身のマシンの IP アドレス>/32 例：42.xx.xx.xx/32

      • ルール の右側にある + 追加 をクリックし、Alibaba Cloud SLB のヘルスチェック CIDR ブロックからのアクセスを許可する別のルールを追加します：

        パラメーター	例
        セレクター	ipBlock
        cidr	100.0.0.0/8

      • ポート の右側にある + 追加 をクリックし、ポート設定を以下のように構成します：

        パラメーター	例
        プロトコル	TCP
        ポート	80

      

   3. 次へ をクリックし、その後 OK をクリックします。

   4. サービス一覧で、外部エンドポイント列の IP アドレス（例：47.xxx.xx.x:80）をクリックして、nginx サービスにアクセスします。

      

      ネットワークポリシーが更新された後、インターネット向け SLB 経由でクライアントから nginx サービスにアクセスできるようになります。

CLI

1. 以下のコマンドを実行して、nginx アプリケーション向けの Alibaba Cloud Server Load Balancer (SLB) サービスを作成し、type=LoadBalancer を指定して nginx サービスをインターネットに公開します。

   vim nginx-service.yaml

   以下の内容は、nginx-service.yaml ファイルのテンプレートです。

   # 次の YAML コンテンツを nginx-service.yaml に貼り付けます。
   apiVersion: v1
   kind: Service
   metadata:
     labels:
       run: nginx
     name: nginx-slb
   spec:
     externalTrafficPolicy: Local
     ports:
     - port: 80
       protocol: TCP
       targetPort: 80
     selector:
       run: nginx
     type: LoadBalancer

   nginx-service.yaml ファイルからサービスを作成するため、以下のコマンドを実行します。

   kubectl apply -f nginx-service.yaml 

   期待される出力：

   service/nginx-slb created

   サービスがインターネットに公開されていることを確認します：

   kubectl get service nginx-slb

   期待される出力：

   NAME        TYPE           CLUSTER-IP      EXTERNAL-IP      PORT(S)        AGE
   nginx-slb   LoadBalancer   172.19.xx.xxx   47.110.xxx.xxx   80:32240/TCP   8m

2. 先ほど作成した SLB の IP アドレス 47.110.xxx.xxx にアクセスするため、以下のコマンドを実行します。アクセスは失敗します。

   wget 47.110.xxx.xxx

   期待される出力：

   --2018-11-21 11:46:05--  http://47.110.xx.xxx/
   Connecting to 47.110.XX.XX:80... failed: Connection refused.

   説明

   アクセスが失敗する理由は以下のとおりです：

   • 構成済みの nginx サービスは、特定のラベル access=true を持つアプリケーションからのみアクセス可能です。

   • SLB の IP アドレスにアクセスすることは、Kubernetes に対する外部アクセスであり、特定のラベルを持つアプリケーションへのサービスアクセス制限というネットワークポリシーの用途とは異なります。

   解決策：ネットワークポリシーを変更し、許可する送信元 CIDR ブロックを追加します。

3. ご自身のローカルパブリック IP アドレスを確認するため、以下のコマンドを実行します。

   curl myip.ipip.net

   期待される出力：

   Current IP: 10.0.x.x From: China Beijing Beijing        # 出力は参考用です。実際の IP アドレスを使用してください。

4. policy.yaml ファイルを変更するため、以下のコマンドを実行します。

   vim policy.yaml

   以下の内容で policy.yaml ファイル を更新します：

   # 以下の内容は YAML ファイルの内容です。
   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: access-nginx
   spec:
     podSelector:
       matchLabels:
         run: nginx
     ingress:
     - from:
       - podSelector:
           matchLabels:
             access: "true"
       - ipBlock:
           cidr: 100.64.0.0/10
       - ipBlock:
           cidr: 10.0.0.0/24      # ご自身のローカルネットワークのアドレス範囲。これは例です。実際の情報を使用してください。

   policy.yaml ファイルから変更を適用するため、以下のコマンドを実行します。

   kubectl apply -f policy.yaml 

   期待される出力：

   networkpolicy.networking.k8s.io/access-nginx unchanged

   説明

   • /24 アドレス範囲を使用してください。

   • SLB のヘルスチェックアドレスは 100.64.0.0/10 アドレスブロックにあります。そのため、100.64.0.0/10 を設定する必要があります。

5. クライアント Pod を起動し、それを使用して nginx サービスにアクセスします。

   kubectl run busybox --rm -ti --labels="access=true" --image=busybox /bin/sh

   nginx サービスにアクセスします：

   wget 47.110.XX.XX

   期待される出力：

   Connecting to 47.110.XX.XX (47.110.XX.XX:80)
   index.html           100% |***********************************************************|   612  0:00:00 ETA

   100% の進行状況は、nginx サービスへの接続が成功したことを示します。

コンソール

本トピックでは、www.aliyun.com および registry.aliyuncs.com というドメインを使用した例を紹介し、Pod が registry.aliyuncs.com にのみアクセスできるようにネットワークポリシーを構成する方法を説明します。

1. ping コマンドを使用して、registry.aliyuncs.com のバインド済み IP アドレス（120.55.XXX.XXX）を照会します。

2. busybox アプリケーションのアクセスを registry.aliyuncs.com にのみ制限するネットワークポリシールールを作成します。

   1. [ネットワークポリシー] ページで、右上隅にある [作成] をクリックします。[作成] パネルで、ネットワークポリシー ルールを設定します。

   パラメーターの詳細については、「ユースケース 1：特定のラベルを持つアプリケーションへのサービスアクセス制限」をご参照ください。以下の表に、例としての構成を示します。

   パラメーター	説明	例
   名前	ネットワークポリシーのカスタム名。	busybox-policy
   Pod セレクター	+ ワークロードタイプとラベルを指定 をクリックして、ネットワークポリシーを適用する Pod を選択します。 説明 Pod セレクターを指定しない場合、ネットワークポリシーは名前空間内のすべての Pod に適用されます。	本例では、以下の設定を使用します： タイプ を ステートレス に設定 ワークロード を busybox に設定 ラベル を app=busybox に設定
   出口	アウトバウンド の右側にある + 追加 をクリックし、その後 ルール の右側にある + 追加 をクリックします。 以前に取得した registry.aliyuncs.com の IP アドレスを /32 形式（例：120.55.XXX.XXX/32）で ipBlock として設定するルールを追加します。	セレクター：ipBlock cidr：120.55.XXX.XXX/32
   	アウトバウンド の右側にある + 追加 をクリックして、別のルールを追加します。このルールは、UDP ポート 53 で全名前空間へのアウトバウンドトラフィックを許可し、アプリケーションが DNS 解決を実行できるようにします。 ルール の右側にある + 追加 をクリックし、全名前空間を選択するルールを追加します。 ポート の右側にある + 追加 をクリックし、UDP ポート 53 のルールを追加します。	ルール： セレクター：namespaceSelector 名前空間：すべて ポート： プロトコル：UDP ポート：53

   2. 次へ をクリックし、その後 OK をクリックします。

   3. BusyBox ターミナルで、以下のコマンドを実行して www.aliyun.com にアクセスします。

      nc -vz -w 1 www.aliyun.com 443

      期待される出力：

      nc: www.aliyun.com (60.191.xx.xx:443): Connection timed out

      registry.aliyuncs.com にアクセスします。

      nc -vz -w 1 registry.aliyuncs.com 443

      期待される出力：

      registry.aliyuncs.com (120.55.xx.xx:443) open

CLI

1. www.aliyun.com が解決する IP アドレスの一覧を取得するため、以下のコマンドを実行します。

   dig +short registry.aliyuncs.com

   期待される出力：

   120.55.XXX.XXX

2. busybox-policy ファイルを作成するため、以下のコマンドを実行します。

   vim busybox-policy.yaml

   busybox-policy ファイル のテンプレートは以下のとおりです：

   # 以下の内容は YAML ファイルの内容です。
   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: busybox-policy
   spec:
     podSelector:
       matchLabels:
         run: busybox
     egress:
     - to:
       - ipBlock:
           cidr: 120.55.XXX.XXX/32
     - to:
       - ipBlock:
           cidr: 0.0.0.0/0
       - namespaceSelector: {}
       ports:
       - protocol: UDP
         port: 53

   説明

   busybox-policy ファイルには、アプリケーションのアウトバウンドアクセスを制限するアウトバウンドルールが含まれています。DNS 解決を正常に機能させるためには、UDP 要求を許可するようにこのルールを設定する必要があります。

3. busybox-policy ファイルからネットワークポリシーを作成するため、以下のコマンドを実行します。

   kubectl apply -f busybox-policy.yaml 

   期待される出力：

   networkpolicy.networking.k8s.io/busybox-policy created

4. busybox Pod を起動し、ネットワークアクセスをテストするため、以下のコマンドを実行します。

   kubectl run busybox --rm -ti --image=busybox /bin/sh

   www.aliyun.com 以外のウェブサイト（例：www.taobao.com）にアクセスします：

   wget www.taobao.com

   期待される出力：

   Connecting to www.taobao.com (64.13.XX.XX:80)
   wget: can't connect to remote host (64.13.XX.XX): Connection timed out

   can't connect to remote host エラーは、サービスへのアクセスが失敗したことを示します。

5. www.aliyun.com にアクセスするため、以下のコマンドを実行します。

   wget registry.aliyuncs.com

   期待される出力：

   Connecting to registry.aliyuncs.com (120.55.XXX.XXX:80)
   Connecting to registry.aliyuncs.com (120.55.XXX.XXX:443)
   wget: note: TLS certificate validation not implemented
   index.html           100% |***********************************************************|  462k  0:00:00 ETA

   100% の進行状況は、接続が成功したことを示します。

コンソール

1. 「ネットワーク ポリシー」ページの右上隅で、[作成] をクリックします。[作成] パネルで、ネットワーク ポリシーを設定します。

   パラメーターの詳細および手順については、「ネットワークポリシーを使用した特定のラベルを持つアプリケーションへのサービスアクセス制限」をご参照ください。以下の表に、例としての構成を示します。

   パラメーター	値
   名前	deny-public-net
   Pod セレクター	タイプをすべてに設定します。
   Ingress	以下の 2 つのルールを追加します： namespaceSelector に対するすべて許可ルール。 ipBlock に対するすべて許可ルール。
   アウトバウンド	プライベートネットワークへのアウトバウンドトラフィックのみを許可するルールを追加します： namespaceSelector を すべて に設定し、Pod が内部ネットワーク内のすべての Pod にアクセスできるようにします。 ipBlock に対して 3 つのルールを作成し、以下の 3 つのプライベートネットワーク CIDR ブロックへのアウトバウンドトラフィックを許可します： 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16 説明 単一の ipBlock ルールで複数の CIDR ブロックを追加することはできません。

2. 次へ をクリックし、その後 OK をクリックします。

3. クラスターの詳細ページの [基本情報] タブで、内部 IP アドレスおよびポートを取得します。

   

4. busybox ターミナルで、以下のコマンドを実行して、Pod のパブリックネットワークおよびプライベートネットワークへのアクセスをテストします。

   nc -vz -w 1 www.aliyun.com 443

   期待される出力：Pod はパブリックネットワークにアクセスできず、接続がタイムアウトします。

   nc: www.aliyun.com (60.191.xx.xx:443): Connection timed out

   プライベートネットワークへのアクセスをテストします。

   nc -vz -w 1 10.134.xx.xx:<Port> # 実際のプライベート IP アドレスに置き換えてください。

   期待される出力：Pod はプライベートネットワークアドレスにアクセスできます。

   10.134.xx.xx:<Port> (10.134.xx.xx:<Port>) open

CLI

1. アクセス制限の検証のためにテスト用名前空間を作成するため、以下のコマンドを実行します。

   test-np という名前の名前空間を作成します。

   kubectl create ns test-np

   期待される出力：

   namespace/test-np created

2. この名前空間向けのデフォルトネットワークポリシーを作成し、プライベートネットワークへのアウトバウンドトラフィックのみを許可します。

   vim default-deny.yaml

   以下の内容は、default-deny.yaml ファイルの例としてのテンプレートです：

   # 以下の内容は YAML ファイルの内容です。
   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     namespace: test-np
     name: deny-public-net
   spec:
     podSelector: {}
     ingress:
     - from:
       - ipBlock:
           cidr: 0.0.0.0/0
     egress:
     - to:
       - ipBlock:
           cidr: 192.168.0.0/16
       - ipBlock:
           cidr: 172.16.0.0/12
       - ipBlock:
           cidr: 10.0.0.0/8

   kubectl apply コマンドを実行して、default-deny.yaml ファイルからネットワークポリシーを作成します。

   kubectl apply -f default-deny.yaml

   期待される出力：

   networkpolicy.networking.k8s.io/deny-public-net created

   ネットワークポリシーを表示します：

   kubectl get networkpolicy -n test-np

   期待される出力：

   NAME                              POD-SELECTOR          AGE
   deny-public-net                   <none>                1m

3. 特定のラベルを持つ Pod がパブリックネットワークにアクセスできるようにするネットワークポリシーを作成します。

   vim allow-specify-label.yaml

   例としてのラベルは public-network=true に設定します。

   # 以下の内容は YAML ファイルの内容です。
   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: allow-public-network-for-labels
     namespace: test-np
   spec:
     podSelector:
       matchLabels:
         public-network: "true"
     ingress:
     - from:
       - ipBlock:
           cidr: 0.0.0.0/0
     egress:
     - to:
       - ipBlock:
           cidr: 0.0.0.0/0
       - namespaceSelector:
           matchLabels:
             ns: kube-system  # CoreDNS などのキーサービスへのアクセスを許可します。これは例です。必要に応じて設定してください。

   以下のコマンドを実行して、ネットワークポリシーを作成します：

   kubectl apply -f allow-specify-label.yaml

   期待される出力：

   networkpolicy.networking.k8s.io/allow-public-network-for-labels created

   ネットワークポリシーを表示します：

   kubectl get networkpolicy -n test-np

   期待される出力：

   NAME                              POD-SELECTOR          AGE
   allow-public-network-for-labels   public-network=true    1m
   deny-public-net                   <none>                 3m

4. 特別なラベルを持たない Pod がパブリックネットワークにアクセスできないことを確認するため、以下のコマンドを実行します。

   kubectl run -it --namespace test-np --rm --image registry-cn-hangzhou.ack.aliyuncs.com/ack-demo/busybox:1.28 busybox-intranet

   ping aliyun.com

   期待される出力：

   PING aliyun.com (106.11.2xx.xxx): 56 data bytes
   ^C
   --- aliyun.com ping statistics ---
   9 packets transmitted, 0 packets received, 100% packet loss

   0 packets received が表示された場合、アクセスは失敗しています。

   説明

   アクセス失敗の原因は、deny-public-net ネットワークポリシールールにあります。このルールにより、test-np 名前空間内の Pod に対するデフォルトのパブリックネットワークアクセスが拒否されます。その結果、この名前空間で起動したデフォルトのラベルを持つ Pod はパブリックネットワークにアクセスできません。

5. public-network=true を持つ Pod がサービスにアクセスできることを確認するため、以下のコマンドを実行します。

   kubectl run -it --namespace test-np --labels public-network=true --rm --image registry-cn-hangzhou.ack.aliyuncs.com/ack-demo/busybox:1.28 busybox-internet

   ping aliyun.com

   期待される出力：

   PING aliyun.com (106.11.1xx.xx): 56 data bytes
   64 bytes from 106.11.1xx.xx: seq=0 ttl=47 time=4.235 ms
   64 bytes from 106.11.1xx.xx: seq=1 ttl=47 time=4.200 ms
   64 bytes from 106.11.1xx.xx: seq=2 ttl=47 time=4.182 ms
   ^C
   --- aliyun.com ping statistics ---
   3 packets transmitted, 3 packets received, 0% packet loss
   round-trip min/avg/max = 4.182/4.205/4.235 ms

   0% packet loss が表示された場合、サービスへのアクセスが成功しています。

   説明

   busybox-internet Pod はパブリックネットワークにアクセスできます。これは、allow-public-network-for-labels ネットワークポリシーに、public-network=true ラベルを持つ Pod に対するパブリックネットワークアクセスを許可するルールが含まれているためです。