Kubernetes網路原則Network Policy提供基於策略的網路控制。如果您希望在IP地址或者連接埠層面控制網路流量，您可以為叢集中特定應用使用網路原則。本文介紹如何使用ACK Serverless叢集的網路原則及常見的使用情境。
前提條件
已建立ACK託管叢集或ACK專有叢集，具體操作，請參見建立ACK託管叢集、建立ACK專有叢集。
重要ACK叢集Pro版和ACK Serverless叢集Network Policy的實現由不同組件承載。
在ACK叢集Pro版（非ECI執行個體）中，Network Policy的實現由Terway外掛程式負責。詳細資料，請參見在ACK中開啟網路原則。
在ACK Serverless叢集、ACK叢集Pro版的ECI執行個體中，Network Policy的實現由Poseidon組件負責。詳細資料將在本文進行介紹。
需要將ACK Virtual Node組件升級至v2.10.0及以上版本。具體操作，請參見管理組件。
注意事項
Network Policy功能僅支援在ACK Serverless叢集Pro版、ACK叢集Pro版使用。
暫不支援IPv6地址的網路原則。
暫不支援NetworkPolicy中EndPort配置。
NetworkPolicy規則允許通過LabelSelector選擇Namespace或者Pod。但當Pod中的NetworkPolicy數量增大時，不僅會使規則生效時間延長，而且大量的NetworkPolicy規則也會對您的叢集管理、問題排查帶來困擾，因此建議您叢集內的NetworkPolicy數量小於40個。
步驟一：開啟網路原則
如需在ACK Serverless叢集Pro版中使用Network Policy功能，需按照如下步驟進行操作。
安裝組件Poseidon。
登入Container Service管理主控台，在左側導覽列選擇叢集列表。
在叢集列表頁面，單擊目的地組群名稱，然後在左側導覽列，選擇。
在組件管理頁面，單擊網路頁簽，在Poseidon組件所在卡片的右下方，單擊安裝。
在安裝組件 Poseidon頁面，選中為ECI 執行個體啟用 NetworkPolicy，然後單擊確認。
組件安裝成功後，會在卡片右上方出現已安裝字樣。
步驟二：建立可以被其他Pod正常訪問的nginx測試應用
通過控制台操作
登入Container Service管理主控台，在左側導覽列選擇叢集列表。
在叢集列表頁面，單擊目的地組群名稱，然後在左側導覽列，選擇。
在無狀態頁面，單擊使用鏡像建立。在建立設定精靈頁面中，建立一個名稱為nginx的應用，並通過Service將其公開。配置完成後，單擊建立。
本樣本的nginx應用僅需配置以下配置項，其他配置項選擇預設配置。關於更多配置說明，請參見配置項說明。
配置項
說明
樣本值
應用基本資料
應用程式名稱
自訂名稱。
nginx
副本數量
按需選擇。
1
容器配置
鏡像名稱
啟動容器的鏡像名稱。
nginx:latest
進階配置
服務（Service）
在服務（Service）右側，單擊建立設定服務配置項。
名稱：nginx
類型：
負載平衡
公網訪問
建立SLB
連接埠映射：
名稱：nginx
服務連接埠：80
容器連接埠：80
協議：TCP
再次在無狀態頁面，單擊使用鏡像建立。在建立設定精靈頁面中，建立用於測試訪問名稱為busybox的用戶端應用，用於測試訪問上一步中建立的名為nginx的Service。
本樣本的busybox用戶端應用僅需配置以下配置項，其他配置項選擇預設配置。關於更多配置說明，請參見配置項說明。
配置項
說明
樣本值
應用基本資料
應用程式名稱
自訂名稱。
busybox
副本數量
按需取值。
1
容器啟動項
鏡像名稱
啟動容器的鏡像名稱。
busybox:latest
容器啟動項
無
選中stdin和tty
驗證busybox用戶端應用是否可以訪問Nginx Service。
在無狀態頁面，找到並單擊busybox名稱。
在容器組頁簽下的busybox-{hash值}容器組右側，單擊終端。
在busybox的命令列終端中執行
wget nginx測試訪問Nginx。
當出現以上資訊時，說明您可以在busybox中訪問Nginx Service。
通過命令列操作
執行以下命令，建立一個Nginx的應用，並通過名稱為Nginx的Service與其通訊。
建立Nginx應用：
kubectl run nginx --image=nginx預期輸出：
pod/nginx created查看Pod是否啟動：
kubectl get pod預期輸出：
NAME READY STATUS RESTARTS AGE nginx 1/1 Running 0 45s建立名為nginx的Service：
kubectl expose pod nginx --port=80預期輸出：
service/nginx exposed查看Service：
kubectl get service預期輸出：
NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE kubernetes ClusterIP 172.XX.XX.1 <none> 443/TCP 30m nginx ClusterIP 172.XX.XX.48 <none> 80/TCP 12s執行以下命令，建立名稱為busybox的Pod，訪問名為Nginx的Service。
kubectl run busybox --rm -ti --image=busybox /bin/sh預期輸出：
If you don't see a command prompt, try pressing enter. / # / #擷取nginx：
If you don't see a command prompt, try pressing enter. / # / # wget nginx # wget nginx需要輸入到此處。預期輸出：
Connecting to nginx (172.XX.XX.48:80) saving to 'index.html' index.html 100% |****************************************************************************************************************************************************| 612 0:00:00 ETA 'index.html' saved
步驟三：使用網路原則
以下幾種情境均支援使用網路原則，您可以按需選擇。
情境一：通過網路原則限制服務只能被帶有特定標籤的應用訪問
使用以下YAML模板並執行命令
vim policy.yaml，建立名為policy.yaml檔案。vim policy.yaml以下為YAML檔案內容。
kind: NetworkPolicy apiVersion: networking.k8s.io/v1 metadata: name: access-nginx spec: podSelector: matchLabels: run: nginx ingress: - from: - podSelector: matchLabels: access: "true"執行以下命令，根據上述的policy.yaml檔案建立網路原則。
kubectl apply -f policy.yaml預期輸出：
networkpolicy.networking.k8s.io/access-nginx created執行以下命令，當沒有定義訪問標籤時，測試訪問名為nginx的Service，請求會逾時，無法訪問。
kubectl run busybox --rm -ti --image=busybox /bin/sh測試訪問名為nginx的Service：
wget nginx預期輸出：
Connecting to nginx (172.19.XX.XX:80) wget: can't connect to remote host (172.19.XX.XX): Connection timed out執行以下命令，定義訪問標籤。
kubectl run busybox --rm -ti --labels="access=true" --image=busybox /bin/sh測試訪問nginx Service：
wget nginx預期輸出：
Connecting to nginx (172.21.XX.XX:80) saving to 'index.html' index.html 100% |****************************************************************************************************************************************************| 612 0:00:00 ETA 'index.html' saved串連nginx的進度為100%時，說明請求成功，可以正常訪問nginx服務。
情境二：通過網路原則限制可訪問公網服務的來源IP網段
執行以下命令，為上述名為nginx的應用建立阿里雲SLB服務，指定
type=LoadBalancer來向外網使用者暴露nginx服務。vim nginx-service.yamlnginx-service.yaml檔案模板如下。
# 將以下YAML內容粘貼至nginx-service.yaml中。 apiVersion: v1 kind: Service metadata: labels: run: nginx name: nginx-slb spec: externalTrafficPolicy: Local ports: - port: 80 protocol: TCP targetPort: 80 selector: run: nginx type: LoadBalancer執行以下命令，根據上述的nginx-service.yaml檔案建立網路原則。
kubectl apply -f nginx-service.yaml預期輸出：
service/nginx-slb created查看應用是否對外暴露nginx服務：
kubectl get service nginx-slb預期輸出：
NAME TYPE CLUSTER-IP EXTERNAL-IP PORT(S) AGE nginx-slb LoadBalancer 172.19.xx.xxx 47.110.xxx.xxx 80:32240/TCP 8m執行以下命令，訪問剛剛建立的SLB的IP地址47.110.xxx.xxx，訪問失敗。
wget 47.110.xxx.xxx預期輸出：
--2018-11-21 11:46:05-- http://47.110.xx.xxx/ Connecting to 47.110.XX.XX:80... failed: Connection refused.說明訪問失敗的原因是：
配置的nginx Service只能被帶有特定標籤即
access=true的應用訪問。訪問SLB的IP地址，是從外部存取Kubernetes，與通過網路原則限制服務只能被帶有特定標籤的應用訪問不同。
解決方案：修改網路原則，增加允許訪問的來源IP位址區段。
執行以下命令，查看本地的IP地址。
curl myip.ipip.net預期輸出：
當前IP：10.0.x.x來自於：中國 北京 北京 # 此處僅為樣本，具體請以實際裝置為準。執行以下命令，修改已經建立的policy.yaml檔案。
vim policy.yaml將policy.yaml檔案修改為如下內容：
# 以下為YAML檔案內容。 kind: NetworkPolicy apiVersion: networking.k8s.io/v1 metadata: name: access-nginx spec: podSelector: matchLabels: run: nginx ingress: - from: - podSelector: matchLabels: access: "true" - ipBlock: cidr: 100.64.0.0/10 - ipBlock: cidr: 10.0.0.1/24 # 本地IP地址，此處僅為樣本，具體請以實際裝置為準。執行以下命令，根據policy.yaml檔案建立網路原則。
kubectl apply -f policy.yaml預期輸出：
networkpolicy.networking.k8s.io/access-nginx unchanged說明有些網路的出口有多個IP地址，這裡請使用/24的位址範圍。
SLB健全狀態檢查地址在
100.64.0.0/10位址區段內，因此請務必配置100.64.0.0/10。
執行以下命令，建立Nginx服務。
kubectl run busybox --rm -ti --labels="access=true" --image=busybox /bin/sh訪問nginx服務：
wget 47.110.XX.XX預期輸出：
Connecting to 47.110.XX.XX (47.110.XX.XX:80) index.html 100% |***********************************************************| 612 0:00:00 ETA串連進度顯示100%時，說明成功訪問nginx服務。
情境三：通過網路原則限制一個Pod只能訪問指定地址
執行以下命令，擷取www.aliyun.com網域名稱解析到的IP地址清單。
dig +short www.aliyun.com預期輸出：
www-jp-de-intl-adns.aliyun.com. www-jp-de-intl-adns.aliyun.com.gds.alibabadns.com. v6wagbridge.aliyun.com. v6wagbridge.aliyun.com.gds.alibabadns.com. 106.XX.XX.21 140.XX.XX.4 140.XX.XX.13 140.XX.XX.3執行以下命令，建立busybox-policy檔案。
vim busybox-policy.yamlbusybox-policy檔案模板如下：
# 以下為YAML檔案內容。 kind: NetworkPolicy apiVersion: networking.k8s.io/v1 metadata: name: busybox-policy spec: podSelector: matchLabels: run: busybox egress: - to: - ipBlock: cidr: 106.XX.XX.21/32 - ipBlock: cidr: 140.XX.XX.4/32 - ipBlock: cidr: 140.XX.XX.13/32 - ipBlock: cidr: 140.XX.XX.3/32 - to: - ipBlock: cidr: 0.0.0.0/0 - namespaceSelector: {} ports: - protocol: UDP port: 53說明在busybox-policy檔案中，配置了出口規則（Egress），限制應用的對外訪問。在這裡需配置允許UDP請求，否則無法進行DNS解析。
執行以下命令，根據busybox-policy檔案建立網路原則。
kubectl apply -f busybox-policy.yaml預期輸出：
networkpolicy.networking.k8s.io/busybox-policy created執行以下命令，建立busybox。
kubectl run busybox --rm -ti --image=busybox /bin/sh訪問www.aliyun.com之外的網站，例如，www.taobao.com：
wget www.taobao.com預期輸出：
Connecting to www.taobao.com (64.13.XX.XX:80) wget: can't connect to remote host (64.13.XX.XX): Connection timed out出現can't connect to remote host時，說明訪問服務失敗。
執行以下命令，訪問www.aliyun.com。
wget www.aliyun.com預期輸出：
Connecting to www.aliyun.com (140.205.XX.XX:80) Connecting to www.aliyun.com (140.205.XX.XX:443) wget: note: TLS certificate validation not implemented index.html 100% |***********************************************************| 462k 0:00:00 ETA進行顯示100%，說明成功訪問服務。
情境四：通過網路原則控制命名空間下Pod公網存取權限
此操作有可能影響線上正在訪問公網的服務，建議在一個空的命名空間中進行以下操作。
執行以下命令，建立一個測試的命名空間來驗證限制的能力。
建立一個test-np的命名空間。
kubectl create ns test-np預期輸出：
namespace/test-np created執行以下命令，為這個命名空間設定預設的只允許主動訪問私網的網路原則規則。
vim default-deny.yaml以下為default-deny.yaml檔案的樣本模板：
# 以下為YAML檔案內容。 kind: NetworkPolicy apiVersion: networking.k8s.io/v1 metadata: namespace: test-np name: deny-public-net spec: podSelector: {} ingress: - from: - ipBlock: cidr: 0.0.0.0/0 egress: - to: - ipBlock: cidr: 192.168.0.0/16 - ipBlock: cidr: 172.16.0.0/12 - ipBlock: cidr: 10.0.0.0/8查看default-deny.yaml檔案是否已建立成功。
kubectl apply -f default-deny.yaml預期輸出：
networkpolicy.networking.k8s.io/deny-public-net created查看網路原則：
kubectl get networkpolicy -n test-np預期輸出：
NAME POD-SELECTOR AGE deny-public-net <none> 1m執行以下命令，為特殊標籤的Pod設定允許訪問公網。
vim allow-specify-label.yaml樣本標籤設定為
public-network=true。# 以下為YAML檔案內容。 kind: NetworkPolicy apiVersion: networking.k8s.io/v1 metadata: name: allow-public-network-for-labels namespace: test-np spec: podSelector: matchLabels: public-network: "true" ingress: - from: - ipBlock: cidr: 0.0.0.0/0 egress: - to: - ipBlock: cidr: 0.0.0.0/0 - namespaceSelector: matchLabels: ns: kube-system執行如下命令，建立網路原則：
kubectl apply -f allow-specify-label.yaml預期輸出：
networkpolicy.networking.k8s.io/allow-public-network-for-labels created查看網路原則：
kubectl get networkpolicy -n test-np預期輸出：
NAME POD-SELECTOR AGE allow-public-network-for-labels public-network=true 1m deny-public-net <none> 3m執行以下命令驗證無特殊標籤的Pod無法訪問公網。
kubectl run -it --namespace test-np --rm --image busybox busybox-intranetping aliyun.com預期輸出：
PING aliyun.com (106.11.2xx.xxx): 56 data bytes ^C --- aliyun.com ping statistics --- 9 packets transmitted, 0 packets received, 100% packet loss顯示0 packets received時，說明訪問失敗。
說明訪問失敗的原因是：由於通過deny-public-net的網路原則規則限制了test-np的這個命名空間下的Pod的預設的公網訪問，所以它下面啟動的預設標籤的Pod無法訪問公網。
執行以下命令驗證帶有public-network=true的Pod可以訪問服務。
kubectl run -it --namespace test-np --labels public-network=true --rm --image busybox busybox-internetping aliyun.com預期輸出：
PING aliyun.com (106.11.1xx.xx): 56 data bytes 64 bytes from 106.11.1xx.xx: seq=0 ttl=47 time=4.235 ms 64 bytes from 106.11.1xx.xx: seq=1 ttl=47 time=4.200 ms 64 bytes from 106.11.1xx.xx: seq=2 ttl=47 time=4.182 ms ^C --- aliyun.com ping statistics --- 3 packets transmitted, 3 packets received, 0% packet loss round-trip min/avg/max = 4.182/4.205/4.235 ms顯示0% packet loss時，說明成功訪問服務。
說明可以正常訪問的原因是：由於在allow-public-network-for-labels的網路原則的規則中允許了帶有public-network=true的Pod的公網訪問，所以帶有這個Label的busybox-internet的Pod可以訪問公網。