# 设置网络防御策略（云原生网络2.0）
#### 操作场景
如果未为Pod设置网络防御策略，默认情况下允许所有流量进出Pod。这表示Pod之间可以自由通信，并且可以访问集群外部网络，存在潜在的安全风险。
本文为您介绍如何为云原生网络2.0模型的集群设置网络防御策略，限制工作负载之间的通信，以及工作负载对集群外部网络的访问，从而提升集群的网络安全性。
#### 约束与限制
仅1.19及以上版本的CCE Turbo集群支持容器防火墙功能。
#### 创建网络防御策略
1. [登录企业主机安全控制台](https://console.huaweicloud.com/hss/?locale=zh-cn)。
2. 在控制台左上角，单击![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002384023862.png)图标，选择区域或项目。

3. 在左侧导航栏选择"主动防御 \> 容器防火墙"，进入"容器防火墙"页面。
4. （可选）如果您已开通企业项目，可在界面上方的"企业项目"下拉列表中选择目标主机所在的企业项目。
5. 在集群列表上方，单击"手动同步"，同步所有集群已创建的策略。 
   同步任务大概执行1\~2分钟，请您稍作等待后单击列表右上方![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000001883361496.png "点击放大")，刷新查看最新数据。
   图1同步集群策略   
   ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002003770873.png "点击放大")
   
   

6. 在目标云原生网络2.0模型的集群所在行的"操作"列，单击"策略管理"，进入策略管理页面。
7. 单击策略列表上方"创建"，弹出"创建安全组策略"对话框。 
   图2策略管理   
   ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002003653737.png "点击放大")
   
   
8. 根据界面提示，填写策略信息。相关参数说明请参见[表 创建安全组策略参数说明]。
   
   图3创建安全组策略   
   ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002107288260.png "点击放大")
    表1创建安全组策略参数说明 
   | 参数名称  | 参数说明                                                                                                                                                                                                                                                                                                                                                                                                                                               |
   |:---|:---|
   | 策略名称  | 自定义输入一个策略名称。要求如下： - 名称只能由小写字母、数字、横线（-）和点（·）组成，且必须以字母或数字开头和结尾。  - 最多可输入253个字符。                                                                                                                                                                                   |
   | 命名空间  | 在下拉框中选择命名空间。                                                                                                                                                                                                                                                                                                                                                                                                                                       |
   | 负载类型  | 选择负载类型。支持以下三种类型： - 无状态负载：即Kubernetes中的"Deployment"，无状态工作负载支持弹性伸缩与滚动升级。  - 有状态负载：即Kubernetes中的"StatefulSet"，有状态工作负载支持实例有序部署和删除。  - 守护进程集：即Kubernetes中的"DaemonSet"，守护进程集确保全部（或者某些）节点都运行一个Pod实例。   |
   | 工作负载  | 选择目标工作负载。                                                                                                                                                                                                                                                                                                                                                                                                                                          |
   | 关联安全组 | 选择需要关联的安全组。一个策略最多只能关联五个安全组。 列表中的已有的安全组为您在VPC服务中创建的安全组；如果您需要创建新的安全组，您可以单击"创建安全组"，跳转至VPC控制台进行创建，创建详细操作请参见[创建安全组](https://support.huaweicloud.com/usermanual-vpc/zh-cn_topic_0013748715.html)。                                                                                                                                                                                                                          |
      
   
   
9. 策略信息填写完成后，单击"确定"，完成创建。 
   您可以在策略管理列表中查看新创建的策略。
   
   
 
#### 相关操作
**修改或删除网络防御策略**
1. （可选）如果您已开通企业项目，可在界面上方的"企业项目"下拉列表中选择目标主机所在的企业项目。

2. 在目标云原生网络2.0模型的集群所在行的"操作"列，单击"策略管理"，进入策略管理页面。
3. 单击策略列表上方"手动同步"，同步集群策略信息。 
   同步任务大概执行1\~2分钟，请您稍作等待后单击列表右上方![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000001845627657.png "点击放大")，刷新查看最新数据。
   
   
4. 选择需要对策略实施的操作。 
   图4管理策略   
   ![](https://support.huaweicloud.com/usermanual-hss2.0/zh-cn_image_0000002003775289.png "点击放大")
   - 查看策略内容 在目标策略所在行的"操作"列，单击"查看YAML"，弹出"查看YAML"弹窗，您可以选择YAML或JSON视图查看策略详细内容。如需下载到本地查看，可单击弹窗左上角"下载"。
     
   
   - 更新策略内容
     1. 在目标策略所在行的"操作"列，单击"更新"，弹出"更新安全组策略"对话框。
     
     2. 添加或删除关联安全组。
     
     3. 单击"确定"，完成更新。
      
   
   - 删除策略
     1. 在目标策略所在行的"操作"列，单击"删除"，弹出"删除策略"对话框。
     
     2. 确认信息无误，单击"确定"，完成删除。