在Kubernetes（K8S）中，有时候我们需要限制宿主机无法直接访问到某些Docker容器。这个需求可能源自安全考虑或者其他需要隔离的情况。在本文中，我将向您展示如何在K8S中实现这一功能。

整个流程可以分为以下步骤：

| 步骤 | 操作 |
| ---- | ---- |
| 1 | 创建一个网络策略（NetworkPolicy），限制宿主机与特定Pod之间的网络流量 |
| 2 | 编写规则，定义哪些网络流量允许，哪些禁止 |

下面我们逐步解释如何实现上述步骤：

### 步骤一：创建一个网络策略

首先，我们需要创建一个名为deny-ingress的NetworkPolicy，通过以下代码创建：

```yaml
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: deny-ingress
spec:
podSelector: {}
policyTypes:
- Ingress
```

上面的代码片段创建了一个名为deny-ingress的NetworkPolicy，它禁止所有Pod的入站流量。

### 步骤二：编写规则

接下来，我们需要定义哪些网络流量是允许或者被禁止的。下面是一个例子，允许特定Pod接收来自某些特定IP的流量：

```yaml
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: allow-ingress
spec:
podSelector:
matchLabels:
app: myapp
policyTypes:
- Ingress
ingress:
- from:
- ipBlock:
cidr: 192.168.1.0/24
except:
- 192.168.1.10/32
```

上述代码片段创建了一个名为allow-ingress的NetworkPolicy，它允许标签为app=myapp的所有Pod接收来自CIDR为192.168.1.0/24，但排除了192.168.1.10的流量。

通过上述步骤，我们成功实现了在K8S中限制宿主机无法访问Docker容器的功能。您可以根据实际情况，自定义规则来限制网络流量。

希望通过本文的介绍，您已经了解了如何在K8S中实现限制宿主机访问Docker容器的操作步骤，并可以成功应用到实际项目中。祝您在K8S的学习和应用中取得更多成果！