设置网络防御策略（云原生网络2.0）

操作场景

如果未为Pod设置网络防御策略，默认情况下允许所有流量进出Pod。这表示Pod之间可以自由通信，并且可以访问集群外部网络，存在潜在的安全风险。

本文为您介绍如何为云原生网络2.0模型的集群设置网络防御策略，限制工作负载之间的通信，以及工作负载对集群外部网络的访问，从而提升集群的网络安全性。

约束与限制

仅1.19及以上版本的CCE Turbo集群支持容器防火墙功能。

创建网络防御策略

1. 登录企业主机安全控制台。
2. 在控制台左上角，单击图标，选择区域或项目。

3. 在左侧导航栏选择“容器防御 > 容器防火墙”，进入“容器防火墙”页面。
4. （可选）如果您已开通企业项目，可在界面上方的“企业项目”下拉列表中选择目标主机所在的企业项目。
5. 在集群列表上方，单击“手动同步”，同步所有集群已创建的策略。

   同步任务大概执行1~2分钟，请您稍作等待后单击列表右上方，刷新查看最新数据。

   图1 同步集群策略
   

6. 在目标云原生网络2.0模型的集群所在行的“操作”列，单击“策略管理”，进入策略管理页面。
7. 单击策略列表上方“创建”，弹出“创建安全组策略”对话框。
   图2 策略管理
   

8. 根据界面提示，填写策略信息。相关参数说明请参见表 创建安全组策略参数说明。
   图3 创建安全组策略
   

   表1 创建安全组策略参数说明

   参数名称	参数说明
   策略名称	自定义输入一个策略名称。要求如下： 名称只能由小写字母、数字、横线（-）和点（·）组成，且必须以字母或数字开头和结尾。 最多可输入253个字符。
   命名空间	在下拉框中选择命名空间。
   负载类型	选择负载类型。支持以下三种类型： 无状态负载：即Kubernetes中的“Deployment”，无状态工作负载支持弹性伸缩与滚动升级。 有状态负载：即Kubernetes中的“StatefulSet”，有状态工作负载支持实例有序部署和删除。 守护进程集：即Kubernetes中的“DaemonSet”，守护进程集确保全部（或者某些）节点都运行一个Pod实例。
   工作负载	选择目标工作负载。
   关联安全组	选择需要关联的安全组。一个策略最多只能关联五个安全组。 列表中的已有的安全组为您在VPC服务中创建的安全组；如果您需要创建新的安全组，您可以单击“创建安全组”，跳转至VPC控制台进行创建，创建详细操作请参见创建安全组。

9. 策略信息填写完成后，单击“确定”，完成创建。

   您可以在策略管理列表中查看新创建的策略。

相关操作

修改或删除网络防御策略

1. （可选）如果您已开通企业项目，可在界面上方的“企业项目”下拉列表中选择目标主机所在的企业项目。

2. 在目标云原生网络2.0模型的集群所在行的“操作”列，单击“策略管理”，进入策略管理页面。
3. 单击策略列表上方“手动同步”，同步集群策略信息。

   同步任务大概执行1~2分钟，请您稍作等待后单击列表右上方，刷新查看最新数据。

4. 选择需要对策略实施的操作。
   图4 管理策略
   
   • 查看策略内容

     在目标策略所在行的“操作”列，单击“查看YAML”，弹出“查看YAML”弹窗，您可以选择YAML或JSON视图查看策略详细内容。如需下载到本地查看，可单击弹窗左上角“下载”。

   • 更新策略内容
     1. 在目标策略所在行的“操作”列，单击“更新”，弹出“更新安全组策略”对话框。
     2. 添加或删除关联安全组。
     3. 单击“确定”，完成更新。
   • 删除策略
     1. 在目标策略所在行的“操作”列，单击“删除”，弹出“删除策略”对话框。
     2. 确认信息无误，单击“确定”，完成删除。