k8s 网段限制

Kubernetes（K8S）是一个开源的容器编排引擎，用于自动化部署、扩展和操作容器化应用程序。在实际的生产环境中，我们可能需要对网络通信进行一定的限制，以确保安全性和稳定性。这就需要对Kubernetes集群中的网络进行一定的限制，这就是所谓的"k8s 网段限制"。

下面我将向你介绍如何在Kubernetes中实现"网段限制"，帮助你理解整个过程。

### 步骤

| 步骤 | 操作 |
|:----:|-------|
| 1 | 创建NetworkPolicy资源对象，定义网络策略 |
| 2 | 部署网络策略，限制Pod之间的网络通信 |
| 3 | 验证限制是否生效 |

### 代码示例

#### 步骤1：创建NetworkPolicy资源对象

首先，我们需要创建一个NetworkPolicy资源对象来定义网络策略。以下是一个示例的YAML文件，定义了一个名为"web-allow"的NetworkPolicy，限制了只有标签为"app: web"的Pod才能接收来自标签为"app: db"的Pod的流量。

```yaml
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
name: web-allow
spec:
podSelector:
matchLabels:
app: web
policyTypes:
- Ingress
ingress:
- from:
- podSelector:
matchLabels:
app: db
```

#### 步骤2：部署网络策略

将上面的YAML文件保存为"web-allow.yaml"，然后使用kubectl命令来创建NetworkPolicy资源对象：

```bash
kubectl apply -f web-allow.yaml
```

通过上述命令，我们将在Kubernetes集群中部署了一个名为"web-allow"的NetworkPolicy，限制了指定的Pod之间的网络通信。

#### 步骤3：验证限制是否生效

接下来，我们需要验证限制是否生效。我们可以通过创建两个测试的Pod来测试网络通信是否受到了限制。一个Pod应该有标签"app: web"，另一个Pod应该有标签"app: db"。

```bash
# 创建一个测试Pod，标签为"app: web"
kubectl run test-web --image=nginx:alpine --labels=app=web

# 创建另一个测试Pod，标签为"app: db"
kubectl run test-db --image=nginx:alpine --labels=app=db
```

接着，在"test-db" Pod中执行一个简单的HTTP请求来测试网络通信是否受到限制：

```bash
kubectl exec -it test-db -- curl
```

如果一切设置正确，你应该会看到网络请求失败的结果，因为"web-allow"的NetworkPolicy限制了"app: db"的Pod无法与"app: web"的Pod进行通信。

通过以上步骤，你已经学会了如何在Kubernetes中实现"网段限制"，希望这篇文章对你有所帮助。在实际的生产环境中，合理配置网络策略可以有效地提升Kubernetes集群的安全性和稳定性。祝你在学习和工作中取得更多成就！