Container Service for Kubernetes:ACK クラスターでのネットワークポリシーの使用

コンソールの使用

1. Nginx Service のネットワークポリシーを作成します。設定の詳細については、「ネットワークポリシーを使用して、特定のラベルを持つアプリケーションへのサービスアクセスを制限する」をご参照ください。

2. サービスリストの [外部エンドポイント] 列で、Nginx サンプルアプリケーション Service のパブリックアクセスアドレス (47.xxx.xx.x) を見つけ、ブラウザでアクセスします。

   ネットワークポリシーがデフォルトでアクセスを拒否するため、アクセスは失敗します。

3. クライアントアクセスを許可するために、許可された CIDR ブロックをネットワークポリシーに追加します。

   1. ブラウザで myip.ipip.net にアクセスして、お使いのマシンのパブリック IP アドレスを取得します。

   2. ネットワークポリシーリストで、access-nginx ネットワークポリシーを見つけ、[アクション] 列の [編集] をクリックし、[編集] パネルでルールを変更します。

      [ソース] の右側にある [+ 追加] をクリックし、次の操作を行います:

      • [ルール] の右側にある [+ 追加] をクリックします。マシンの IP アドレスからのアクセスを許可するように新しいルールを設定します:

        設定項目	設定例
        セレクター	ipBlock
        cidr	<お使いのマシンの IP アドレス>/32 例: 42.xx.xx.xx/32

      • [ルール] の右側にある [+ 追加] をクリックします。Alibaba Cloud SLB のヘルスチェック CIDR ブロックからのアクセスを許可するようにルールを設定します:

        設定項目	設定例
        セレクター	ipBlock
        cidr	100.0.0.0/8

      • [ポート] の右側にある [+ 追加] をクリックし、ポートを次のように設定します:

        設定項目	設定例
        プロトコル	TCP
        ポート	80

      

   3. [次へ] をクリックし、次に [OK] をクリックします。

   4. サービスリストの [外部エンドポイント] 列で、外部エンドポイントの IP アドレス (47.xxx.xx.x:80) をクリックして Nginx サービスにアクセスします。

      

      ネットワークポリシーが変更された後、クライアントはインターネット向け SLB を介して Nginx サービスにアクセスできます。

コマンドラインの使用

1. 次のコマンドを実行して、nginx アプリケーション用の Alibaba Cloud SLB インスタンスを作成します。nginx サービスをインターネットに公開するために type=LoadBalancer を指定します。

   vim nginx-service.yaml

   nginx-service.yaml ファイルのテンプレートは次のとおりです。

   # 以下の YAML コンテンツを nginx-service.yaml に貼り付けます。
   apiVersion: v1
   kind: Service
   metadata:
     labels:
       run: nginx
     name: nginx-slb
   spec:
     externalTrafficPolicy: Local
     ports:
     - port: 80
       protocol: TCP
       targetPort: 80
     selector:
       run: nginx
     type: LoadBalancer

   次のコマンドを実行して、nginx-service.yaml ファイルからネットワークポリシーを作成します。

   kubectl apply -f nginx-service.yaml 

   期待される出力:

   service/nginx-slb created

   アプリケーションが Nginx サービスを公開しているかどうかを確認します:

   kubectl get service nginx-slb

   期待される出力:

   NAME        TYPE           CLUSTER-IP      EXTERNAL-IP      PORT(S)        AGE
   nginx-slb   LoadBalancer   172.19.xx.xxx   47.110.xxx.xxx   80:32240/TCP   8m

2. 次のコマンドを実行して、新しく作成された SLB インスタンスの IP アドレス 47.110.xxx.xxx にアクセスします。アクセスは失敗します。

   wget 47.110.xxx.xxx

   期待される出力:

   --2018-11-21 11:46:05--  http://47.110.xx.xxx/
   Connecting to 47.110.XX.XX:80... failed: Connection refused.

   説明

   次の理由により、アクセスは失敗します:

   • 設定された nginx Service には、特定のラベル access=true を持つアプリケーションのみがアクセスできます。

   • SLB インスタンスの IP アドレスへのアクセスは、Kubernetes への外部アクセスと見なされます。これは、特定のラベルを持つアプリケーションへのサービスアクセスを制限するシナリオとは異なります。

   解決策: 許可されたソース CIDR ブロックを追加するようにネットワークポリシーを変更します。

3. 次のコマンドを実行して、ローカル IP アドレスを表示します。

   curl myip.ipip.net

   期待される出力:

   Current IP: 10.0.x.x From: China Beijing Beijing        # これは一例です。実際のデバイス情報を使用してください。

4. 次のコマンドを実行して、policy.yaml ファイルを変更します。

   vim policy.yaml

   policy.yaml ファイルを変更して、次の内容を含めます:

   # 以下は YAML ファイルの内容です。
   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: access-nginx
   spec:
     podSelector:
       matchLabels:
         run: nginx
     ingress:
     - from:
       - podSelector:
           matchLabels:
             access: "true"
       - ipBlock:
           cidr: 100.64.0.0/10
       - ipBlock:
           cidr: 10.0.0.1/24      # ローカル IP アドレス。これは一例です。実際のデバイス情報を使用してください。

   次のコマンドを実行して、policy.yaml ファイルからネットワークポリシーを作成します。

   kubectl apply -f policy.yaml 

   期待される出力:

   networkpolicy.networking.k8s.io/access-nginx unchanged

   説明

   • 一部のネットワークには複数のエグレス IP アドレスがあります。/24 アドレス範囲を使用することをお勧めします。

   • SLB ヘルスチェックアドレスは 100.64.0.0/10 CIDR ブロックにあります。したがって、許可リストに 100.64.0.0/10 を追加する必要があります。

5. 次のコマンドを実行して、Nginx サービスにアクセスします。

   kubectl run busybox --rm -ti --labels="access=true" --image=busybox /bin/sh

   nginx サービスにアクセスします:

   wget 47.110.XX.XX

   期待される出力:

   Connecting to 47.110.XX.XX (47.110.XX.XX:80)
   index.html           100% |***********************************************************|   612  0:00:00 ETA

   出力は、接続の進行状況が 100% であることを示しています。これは、Nginx サービスに正常にアクセスしたことを意味します。

コンソールの使用

このセクションでは、www.aliyun.com と registry.aliyuncs.com を例として、Pod が registry.aliyuncs.com にのみアクセスできるようにするネットワークポリシーを設定する方法を示します。

1. `ping` コマンドを使用して、registry.aliyuncs.com が解決する IP アドレス (120.55.XXX.XXX) をクエリします。

2. busybox アプリケーションが registry.aliyuncs.com にのみアクセスできるように制限するネットワークポリシールールを作成します。

   1. [ネットワークポリシー] ページの右上隅にある [作成] をクリックし、[作成] パネルでネットワークポリシールールを設定します。

   パラメーターの詳細については、「ネットワークポリシーを使用して、特定のラベルを持つアプリケーションへのサービスアクセスを制限する」をご参照ください。以下は設定例です。

   設定項目	説明	設定例
   名前	ネットワークポリシーのカスタム名。	busybox-policy
   Pod セレクター	[+ ワークロードを選択してラベルを追加] をクリックして、ネットワークポリシーが適用される Pod を設定します。 説明 Pod セレクターが空の場合、ネットワークポリシーは名前空間内のすべての Pod に適用されます。	この例では、次の設定を使用します: タイプをステートレスに設定 ワークロードを busybox に設定 ラベルを app=busybox に設定
   宛先	[宛先] の右側にある [+ 追加] をクリックし、次に [ルール] の右側にある [+ 追加] をクリックします。 以前に取得した registry.aliyuncs.com の解決済み IP アドレス (120.55.XXX.XXX)/32 を持つ ipBlock のルールを追加します。	セレクター: ipBlock cidr: 120.55.XXX.XXX/32
   	[宛先] の右側にある [+ 追加] をクリックします。アプリケーションが DNS 解決を実行できるように、すべての名前空間に対して UDP ポート 53 へのアクセスを許可するルールを追加します。 [ルール] の右側にある [+ 追加] をクリックします。すべての名前空間を選択するルールを追加します。 [ポート] の右側にある [+ 追加] をクリックします。アプリケーションが DNS 解決を実行できるように、UDP 53 のルールを追加します。	ルール: セレクター: namespaceSelector 名前空間: すべて ポート: プロトコル: UDP ポート: 53

   2. [次へ] をクリックし、次に [OK] をクリックします。

   3. busybox ターミナルで、次のコマンドを実行して www.aliyun.com と registry.aliyuncs.com にアクセスします。

      nc -vz -w 1 www.aliyunc.com 443

      nc -vz -w 1 registry.aliyuncs.com 443

      出力は、ネットワークポリシーが追加された後、busybox アプリケーションは registry.aliyuncs.com にのみアクセスでき、他のアドレスにはアクセスできないことを示しています。

コマンドラインの使用

1. 次のコマンドを実行して、www.aliyun.com ドメイン名が解決する IP アドレスのリストを取得します。

   dig +short www.aliyun.com

   期待される出力:

   www-jp-de-intl-adns.aliyun.com.
   www-jp-de-intl-adns.aliyun.com.gds.alibabadns.com.
   v6wagbridge.aliyun.com.
   v6wagbridge.aliyun.com.gds.alibabadns.com.
   106.XX.XX.21
   140.XX.XX.4
   140.XX.XX.13
   140.XX.XX.3

2. busybox-policy.yaml という名前のファイルを作成します。

   vim busybox-policy.yaml

   busybox-policy.yaml ファイルには次のテンプレートを使用します:

   # 以下は YAML ファイルの内容です。
   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: busybox-policy
   spec:
     podSelector:
       matchLabels:
         run: busybox
     egress:
     - to:
       - ipBlock:
           cidr: 106.XX.XX.21/32
       - ipBlock:
           cidr: 140.XX.XX.4/32
       - ipBlock:
           cidr: 140.XX.XX.13/32
       - ipBlock:
           cidr: 140.XX.XX.3/32
     - to:
       - ipBlock:
           cidr: 0.0.0.0/0
       - namespaceSelector: {}
       ports:
       - protocol: UDP
         port: 53

   説明

   busybox-policy.yaml ファイルでは、アプリケーションのアウトバウンドアクセスを制限するために egress ルールが設定されています。UDP リクエストを許可するようにルールを設定する必要があります。そうしないと、DNS 解決が失敗します。

3. 次のコマンドを実行して、busybox-policy.yaml ファイルからネットワークポリシーを作成します。

   kubectl apply -f busybox-policy.yaml 

   期待される出力:

   networkpolicy.networking.k8s.io/busybox-policy created

4. 次のコマンドを実行して busybox Pod を作成し、アクセスをテストします。

   kubectl run busybox --rm -ti --image=busybox /bin/sh

   www.aliyun.com 以外のウェブサイト、たとえば www.taobao.com にアクセスします:

   wget www.taobao.com

   期待される出力:

   Connecting to www.taobao.com (64.13.XX.XX:80)
   wget: can't connect to remote host (64.13.XX.XX): Connection timed out

   can't connect to remote host メッセージは、アクセスが失敗したことを示します。

5. 次のコマンドを実行して www.aliyun.com にアクセスします。

   wget www.aliyun.com

   期待される出力:

   Connecting to www.aliyun.com (140.205.XX.XX:80)
   Connecting to www.aliyun.com (140.205.XX.XX:443)
   wget: note: TLS certificate validation not implemented
   index.html           100% |***********************************************************|  462k  0:00:00 ETA

   出力は、接続の進行状況が 100% であることを示しています。これは、サービスに正常にアクセスできたことを意味します。

コンソールの使用

1. [ネットワークポリシー] ページの右上隅にある [作成] をクリックし、[作成] パネルでネットワークポリシールールを設定します。

   パラメーターと操作の詳細については、「ネットワークポリシーを使用して、特定のラベルを持つアプリケーションへのサービスアクセスを制限する」をご参照ください。以下は設定例です。

   設定項目	設定例
   名前	deny-public-net
   Pod セレクター	タイプを [すべて] に設定します。
   ソース	次の 2 つのルールを追加します: namespaceSelector に [すべて] を許可するルールを設定します。 ipBlock に [すべて] を許可するルールを設定します。
   宛先	内部ネットワークへのアクセスのみを許可するルールを追加します: Pod が内部ネットワーク上のすべての Pod にアクセスできるように、[namespaceSelector] に [すべて] を許可するルールを設定します。 次の 3 つの内部ネットワーク CIDR ブロックに対して、[ipBlock] に 3 つのルールを設定します: 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16 説明 単一の ipBlock ルールに複数の CIDR ブロックを追加することはできません。

2. [次へ] をクリックし、次に [OK] をクリックします。

3. クラスター詳細ページの [基本情報] タブで、API サーバーの内部 IP アドレスとポートを取得します。

   

4. busybox ターミナルで、次のコマンドを実行して、Pod のパブリックおよび内部ネットワークアクセスをテストします。

   nc -vz -w 1 www.aliyunc.com 443

   nc -vz -w 1 10.xx.xx.xx:<IP port> # これは内部 IP アドレスです。

   出力は、Pod が内部アドレスにのみアクセスでき、パブリックアドレスにはアクセスできないことを示しています。

コマンドラインの使用

1. 次のコマンドを実行して、テスト用の名前空間を作成します。

   test-np という名前の名前空間を作成します。

   kubectl create ns test-np

   期待される出力:

   namespace/test-np created

2. 次のコマンドを実行して、プライベートネットワークへのアウトバウンドアクセスのみを許可する、名前空間のデフォルトのネットワークポリシーを作成します。

   vim default-deny.yaml

   以下は、default-deny.yaml ファイルのサンプルテンプレートです:

   # 以下は YAML ファイルの内容です。
   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     namespace: test-np
     name: deny-public-net
   spec:
     podSelector: {}
     ingress:
     - from:
       - ipBlock:
           cidr: 0.0.0.0/0
     egress:
     - to:
       - ipBlock:
           cidr: 192.168.0.0/16
       - ipBlock:
           cidr: 172.16.0.0/12
       - ipBlock:
           cidr: 10.0.0.0/8

   default-deny.yaml ファイルが作成されたことを確認します。

   kubectl apply -f default-deny.yaml

   期待される出力:

   networkpolicy.networking.k8s.io/deny-public-net created

   ネットワークポリシーを表示します:

   kubectl get networkpolicy -n test-np

   期待される出力:

   NAME                              POD-SELECTOR          AGE
   deny-public-net                   <none>                1m

3. 次のコマンドを実行して、特定のラベルを持つ Pod がパブリックネットワークにアクセスできるようにするネットワークポリシーを作成します。

   vim allow-specify-label.yaml

   この例では、ラベルは public-network=true です。

   # 以下は YAML ファイルの内容です。
   kind: NetworkPolicy
   apiVersion: networking.k8s.io/v1
   metadata:
     name: allow-public-network-for-labels
     namespace: test-np
   spec:
     podSelector:
       matchLabels:
         public-network: "true"
     ingress:
     - from:
       - ipBlock:
           cidr: 0.0.0.0/0
     egress:
     - to:
       - ipBlock:
           cidr: 0.0.0.0/0
       - namespaceSelector:
           matchLabels:
             ns: kube-system  # Pod が kube-system の主要なサービス (CoreDNS など) にアクセスできるようにします。これは一例です。必要に応じて設定してください。 

   次のコマンドを実行して、ネットワークポリシーを作成します:

   kubectl apply -f allow-specify-label.yaml

   期待される出力:

   networkpolicy.networking.k8s.io/allow-public-network-for-labels created

   ネットワークポリシーを表示します:

   kubectl get networkpolicy -n test-np

   期待される出力:

   NAME                              POD-SELECTOR          AGE
   allow-public-network-for-labels   public-network=true    1m
   deny-public-net                   <none>                 3m

4. 次のコマンドを実行して、特別なラベルのない Pod がパブリックネットワークにアクセスできないことを確認します。

   kubectl run -it --namespace test-np --rm --image registry-cn-hangzhou.ack.aliyuncs.com/ack-demo/busybox:1.28 busybox-intranet

   ping aliyun.com

   期待される出力:

   PING aliyun.com (106.11.2xx.xxx): 56 data bytes
   ^C
   --- aliyun.com ping statistics ---
   9 packets transmitted, 0 packets received, 100% packet loss

   0 packets received メッセージは、アクセスが失敗したことを示します。

   説明

   アクセスが失敗したのは、deny-public-net ネットワークポリシーがデフォルトで test-np 名前空間の Pod のパブリックネットワークアクセスを制限しているためです。したがって、この名前空間でデフォルトのラベルで起動された Pod は、パブリックネットワークにアクセスできません。

5. 次のコマンドを実行して、public-network=true ラベルを持つ Pod がパブリックネットワークにアクセスできることを確認します。

   kubectl run -it --namespace test-np --labels public-network=true --rm --image registry-cn-hangzhou.ack.aliyuncs.com/ack-demo/busybox:1.28 busybox-internet

   ping aliyun.com

   期待される出力:

   PING aliyun.com (106.11.1xx.xx): 56 data bytes
   64 bytes from 106.11.1xx.xx: seq=0 ttl=47 time=4.235 ms
   64 bytes from 106.11.1xx.xx: seq=1 ttl=47 time=4.200 ms
   64 bytes from 106.11.1xx.xx: seq=2 ttl=47 time=4.182 ms
   ^C
   --- aliyun.com ping statistics ---
   3 packets transmitted, 3 packets received, 0% packet loss
   round-trip min/avg/max = 4.182/4.205/4.235 ms

   0% packet loss メッセージは、サービスに正常にアクセスできたことを示します。

   説明

   アクセスが成功したのは、allow-public-network-for-labels ネットワークポリシーが public-network=true ラベルを持つ Pod のパブリックネットワークアクセスを許可しているためです。したがって、このラベルを持つ busybox-internet Pod は、パブリックネットワークにアクセスできます。