设置网络防御策略（k8s原生网络）

同步任务大概执行1~2分钟，请您稍作等待后单击列表右上方，刷新查看最新数据。

图1 同步集群策略

以下为YAML创建的网络策略示例：通过网络策略限制Pod只能被带有特定标签的Pod访问

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: access-demo1
  namespace: default
spec:
  podSelector:                  # 规则对具有role=db标签的Pod生效
    matchLabels:
      role: db
  ingress:                      # 表示入规则
  - from:
    - podSelector:              # 只允许具有role=frontend标签的Pod访问
        matchLabels:
          role: frontend
    ports:                      # 只能使用TCP协议访问6379端口
    - protocol: TCP
      port: 6379

您可以在策略管理列表中查看新创建的策略。

同步任务大概执行1~2分钟，请您稍作等待后单击列表右上方，刷新查看最新数据。

图2 同步集群策略

• 策略名称：自定义输入网络策略名称。
• 命名空间：在下拉框中选择网络策略所在命名空间。
• 选择器：输入标签键和标签值选择要关联的Pod，然后单击“确认添加”。您也可以单击“引用负载标签”直接引用已有负载的标签。
• 入方向规则：单击添加规则，添加入方向规则，参数说明请参见表 添加入方向规则。

  表1 添加入方向规则

  参数	参数说明
  协议端口	填写需要关联的Pod的入方向协议类型和端口，目前支持TCP和UDP协议。不填写表示全部放通。
  源对象命名空间	选择允许哪个命名空间的对象访问。不填写表示和当前策略属于同一命名空间。
  源对象Pod标签	允许带有这个标签的Pod访问，不填写表示允许命名空间下全部Pod访问。

• 出方向规则：单击添加规则，添加出方向规则，参数说明请参见表 添加出方向规则。

  表2 添加出方向规则

  参数	参数说明
  协议端口	填写目的对象的端口和协议。不填写表示不限制。
  目标网段	允许将流量转发至指定的一个网段内（可指定多个例外网段）。 指定网段和例外网段用竖线（|）分隔，多个例外网段用逗号（,）分隔。 例如：172.17.0.0/16|172.17.1.0/24,172.17.2.0/24 表示允许访问 172.17.0.0/16 网段，其中 172.17.1.0/24 和 172.17.2.0/24 两个网段例外。
  目的对象命名空间	目的对象所在的命名空间，不填写表示和当前策略属于同一命名空间。
  目的对象Pod标签	允许访问带有这个标签的Pod，不填写表示允许访问命名空间下全部Pod。

您可以在策略管理列表中查看新创建的策略。