第280篇：云原生网络策略 NetworkPolicy 实现

关键词：NetworkPolicy、Kubernetes、网络策略、Calico、Cilium、Iptables、eBPF、安全组

一、引言

Kubernetes NetworkPolicy是K8s原生的网络安全策略API，用于控制Pod之间的网络访问权限。NetworkPolicy本身只是一个API规范，其实际执行依赖于CNI插件的数据面实现。

本文将深入解析NetworkPolicy的工作原理、不同CNI插件的实现差异，以及在实际生产环境中的最佳实践。

二、核心概念

2.1 NetworkPolicy API

NetworkPolicy的核心字段：

规则匹配元素：

2.2 NetworkPolicy 匹配逻辑

NetworkPolicy的匹配规则：

2.3 不同 CNI 的实现差异

2.4 NetworkPolicy 与 安全组对比

三、技术细节

3.1 Calico Iptables 模式实现

Calico在iptables模式下，为每个Pod生成两条iptables链：

FORWARD链处理流程：

3.2 Calico eBPF 模式实现

Calico的eBPF模式使用eBPF程序替代iptables：

3.3 Cilium 原生实现

Cilium的eBPF原生实现是最为高效的：

3.4 NetworkPolicy 有状态策略

有状态（Stateful）策略：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: stateful-web-policy
  namespace: default
spec:
  podSelector:
    matchLabels:
      app: web
  policyTypes:
  - Ingress
  - Egress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: client
    ports:
    - protocol: TCP
      port: 80
  egress:
  - to:
    - ipBlock:
        cidr: 0.0.0.0/0
        except:
        - 10.0.0.0/8
    ports:
    - protocol: TCP
      port: 443
  - to:
    - namespaceSelector:
        matchLabels:
          kubernetes.io/metadata.name: kube-system
    ports:
    - protocol: UDP
      port: 53

3.5 策略即代码（Policy as Code）

将NetworkPolicy纳入GitOps工作流，实现策略的版本管理和自动化部署：

GitOps策略管理流程：

3.6 NetworkPolicy 可视化与调试

Cilium Hubble调试示例：

# 1. 观察特定Pod的入站流量
hubble observe --pod app-pod --protocol tcp --verdict forwarded

# 2. 观察被策略拒绝的流量
hubble observe --verdict dropped --reason policy_DENIED

# 3. 生成服务依赖图
hubble lens graph --json

# 4. 查询特定流量路径
hubble flow get --source-pod app-pod --destination-pod db-pod

# 5. 查看策略覆盖率
hubble status

3.7 NetworkPolicy 与 外部防火墙协同

四、实战配置/案例分析

4.1 完整的租户网络策略模板

# 1. 默认拒绝所有入站和出站
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny
  namespace: tenant-a
spec:
  podSelector: {}
  policyTypes:
  - Ingress
  - Egress
---
# 2. 允许同命名空间内通信
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-same-ns
  namespace: tenant-a
spec:
  podSelector: {}
  ingress:
  - from:
    - podSelector: {}
  policyTypes:
  - Ingress
---
# 3. 允许DNS解析
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-dns
  namespace: tenant-a
spec:
  podSelector: {}
  egress:
  - to:
    - namespaceSelector:
        matchLabels:
          kubernetes.io/metadata.name: kube-system
    ports:
    - protocol: UDP
      port: 53
    - protocol: TCP
      port: 53
  policyTypes:
  - Egress
---
# 4. 允许Ingress访问
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-ingress
  namespace: tenant-a
spec:
  podSelector:
    matchLabels:
      app: web
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          kubernetes.io/metadata.name: ingress-nginx
  policyTypes:
  - Ingress

4.2 故障案例：NetworkPolicy Egress规则遗漏导致应用异常

现象：某应用Pod无法连接外部API服务，但同命名空间内的其他Pod通信正常。

排查过程：

# 1. 检查NetworkPolicy
kubectl get networkpolicy -n app-ns
# 存在default-deny策略和有限的egress规则

# 2. 从Pod测试外部连接
kubectl exec app-pod -- curl https://api.external.com/data
# 连接超时

# 3. 检查egress规则
kubectl get networkpolicy -n app-ns -o yaml
# egress规则只允许DNS(UDP 53)和内部K8s服务
# 没有放行HTTPS(TCP 443)到外部地址的规则

# 4. 添加egress规则
kubectl apply -f external-api-egress.yaml

根因：NetworkPolicy的egress规则配置不完整，只放行了DNS和内部K8s服务的流量，未放行到外部API的HTTPS流量。

解决： 1. 添加egress规则放行外部API的HTTPS流量 2. 建议在NetworkPolicy模板中包含常见的egress规则（DNS、HTTP/HTTPS、NTP等） 3. 使用kubectl-np-viewer等可视化工具审计NetworkPolicy

4.3 故障案例：Calico策略链性能下降

现象：当集群中NetworkPolicy数量超过1000条时，Pod间通信延迟明显增加。

排查过程：

# 1. 检查iptables规则数量
iptables -L -n | wc -l
# 规则数超过5000条

# 2. 检查Calico策略链长度
iptables -S CALICO-FORWARD | wc -l
# 策略链非常长

# 3. 分析性能瓶颈
# Iptables模式需要线性遍历所有规则
# 规则越多, 匹配时间越长

# 4. 切换到Calico eBPF模式
# 升级Calico到支持eBPF的版本
# 配置CALICO_DATASTORE_TYPE=kubernetes
# 配置FELIX_BPFENABLEDTYPE=Fat

根因：Calico的iptables模式需要线性遍历策略链，当NetworkPolicy数量众多时，每条报文的策略检查时间线性增加，导致延迟上升。

解决： 1. 迁移到Calico eBPF模式，利用哈希查找替代线性遍历 2. 精简NetworkPolicy规则，减少不必要的策略 3. 使用命名空间级别的默认策略，减少Pod级别的细粒度策略

五、总结

思考

1. NetworkPolicy只能控制L3/L4流量，如何控制L7（HTTP/gRPC）级别的访问权限？
2. NetworkPolicy的podSelector: {}（空选择器）匹配什么Pod？与不指定podSelector有什么区别？
3. 如果集群中同时存在多个NetworkPolicy匹配同一个Pod，它们之间如何交互？
4. 策略即代码（Policy as Code）模式下，如何避免策略变更导致业务中断？
5. Cilium Hubble如何帮助调试NetworkPolicy？与传统的tcpdump抓包相比有什么优势？

下篇预告：第281篇：华为 CloudFabric 数据中心方案简介