在 Kubernetes 中，NetworkPolicy API 用于管理 Pod 之间的通信。通过使用 NetworkPolicy API 可以定义网络策略规则，以控制哪些 Pod 可以相互通信，以及它们可以访问哪些服务和端口。本文将介绍如何使用 Kubernetes 的 NetworkPolicy API 声明网络策略去管理 Pod 之间的通信
一、准备
必须拥有一个 Kubernetes 的集群，同时必须配置 kubectl 命令行工具与集群通信。 建议在至少有两个不作为控制平面主机的节点的集群上运行本教程。 如果还没有集群，可以通过 Minikube 构建一个自己的集群，或者可以使用下面的 Kubernetes 练习环境之一：
- Killercoda
- 玩转 Kubernetes
Kubernetes 服务器版本必须不低于版本 v1.8. 要获知版本信息，请输入 kubectl version.
首先需要有一个支持网络策略的 Kubernetes 集群。已经有许多支持 NetworkPolicy 的网络提供商，包括：
- Antrea
- Calico
- Cilium
- Kube-router
- Romana
- Weave 网络
二、创建nginx Deployment
首先创建一个nginx Deployment 并且通过服务将其暴露。为了查看 Kubernetes 网络策略是怎样工作的，可以从创建一个nginx Deployment 并且通过服务将其暴露开始：
kubectl create deployment nginx --image=nginx
deployment.apps/nginx created
将此 Deployment 以名为 nginx 的 Service 暴露出来：
kubectl expose deployment nginx –port=80
service/nginx exposed
上述命令创建了一个带有一个 nginx 的 Deployment，并将之通过名为 nginx 的 Service 暴露出来。名为 nginx 的 Pod 和 Deployment 都位于 default 名字空间内。
kubectl get svc,pod
NAME CLUSTER-IP EXTERNAL-IP PORT(S) AGE
service/kubernetes 10.100.0.1 <none> 443/TCP 46m
service/nginx 10.100.0.16 <none> 80/TCP 33s
NAME READY STATUS RESTARTS AGE
pod/nginx-701339712-e0qfq 1/1 Running 0 35s三、测试
应该可以从其它的 Pod 访问这个新的 nginx 服务。 要从 default 命名空间中的其它 Pod 来访问该服务。可以启动一个 busybox 容器：
kubectl run busybox --rm -ti --image=busybox:1.28 -- /bin/sh
在 Shell 中，运行下面的命令：
wget --spider --timeout=1 nginx
Connecting to nginx (10.100.0.16:80) remote file exists
四、限制nginx服务访问
如果想限制对 nginx 服务的访问，只让那些拥有标签 access: true 的 Pod 访问它， 那么可以创建一个如下所示的 NetworkPolicy 对象：
apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: access-nginx spec: podSelector: matchLabels: app: nginx ingress: - from: - podSelector: matchLabels: access: "true"
NetworkPolicy 对象的名称必须是一个合法的 DNS 子域名.
NetworkPolicy 中包含选择策略所适用的 Pods 集合的 podSelector。 可以看到上面的策略选择的是带有标签 app=nginx 的 Pods。 此标签是被自动添加到 nginx Deployment 中的 Pod 上的。 如果 podSelector 为空，则意味着选择的是名字空间中的所有 Pods。
五、为服务指定策略
使用 kubectl 根据上面的 nginx-policy.yaml 文件创建一个 NetworkPolicy：
kubectl apply -f https://k8s.io/examples/service/networking/nginx-policy.yaml
networkpolicy.networking.k8s.io/access-nginx created
六、测试访问服务
如果尝试从没有设定正确标签的 Pod 中去访问 nginx 服务，请求将会超时：
kubectl run busybox --rm -ti --image=busybox:1.28 -- /bin/sh
在 Shell 中运行命令：
wget --spider --timeout=1 nginx
Connecting to nginx (10.100.0.16:80) wget: download timed out
七、再次测试
创建一个拥有正确标签的 Pod，将看到请求是被允许的：
kubectl run busybox --rm -ti --labels="access=true" --image=busybox:1.28 -- /bin/sh
在 Shell 中运行命令：
wget --spider --timeout=1 nginx
Connecting to nginx (10.100.0.16:80) remote file exists
