如何在Debian上配置K8s的网络策略

在Debian上配置Kubernetes（K8s）的网络策略，可以按照以下步骤进行：

1. 安装Kubernetes集群

首先，确保你已经在Debian上安装并运行了一个Kubernetes集群。你可以使用kubeadm来快速搭建一个集群。

# 安装kubeadm, kubelet和kubectl
sudo apt-get update && sudo apt-get install -y apt-transport-https curl
curl -s https://packages.cloud.google.com/apt/doc/apt-key.gpg | sudo apt-key add -
echo "deb https://apt.kubernetes.io/ kubernetes-xenial main" | sudo tee /etc/apt/sources.list.d/kubernetes.list
sudo apt-get update
sudo apt-get install -y kubelet kubeadm kubectl
sudo apt-mark hold kubelet kubeadm kubectl

# 初始化Kubernetes集群
sudo kubeadm init --pod-network-cidr=10.244.0.0/16

2. 配置网络插件

Kubernetes需要一个网络插件来管理Pod之间的通信。常用的网络插件有Calico、Flannel、Weave等。这里以Calico为例。

安装Calico

# 下载Calico的YAML文件
kubectl apply -f https://docs.projectcalico.org/v3.25/manifests/calico.yaml

# 检查Calico Pod是否运行
kubectl get pods -n kube-system | grep calico

3. 创建网络策略

网络策略定义了哪些Pod可以相互通信以及如何通信。以下是一个简单的示例，限制只有同一个命名空间内的Pod可以相互通信。

创建一个命名空间

kubectl create namespace example-namespace

创建网络策略

创建一个名为allow-same-namespace.yaml的文件，内容如下：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-same-namespace
  namespace: example-namespace
spec:
  podSelector: {}
  ingress:
  - from:
    - podSelector: {}
  egress:
  - to:
    - podSelector: {}

应用这个网络策略：

kubectl apply -f allow-same-namespace.yaml

4. 验证网络策略

你可以通过创建一些Pod来测试网络策略是否生效。

创建两个Pod

kubectl run pod1 --image=nginx --namespace=example-namespace
kubectl run pod2 --image=nginx --namespace=example-namespace

尝试从pod1访问pod2

进入pod1：

kubectl exec -it pod1 --namespace=example-namespace -- /bin/sh

尝试ping pod2：

ping pod2

如果网络策略生效，你应该会看到连接被拒绝。

5. 调整网络策略

根据需要，你可以调整网络策略以允许或拒绝特定的通信。例如，你可以允许来自特定标签的Pod的流量。

修改网络策略

编辑allow-same-namespace.yaml文件，添加标签选择器：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-same-namespace
  namespace: example-namespace
spec:
  podSelector:
    matchLabels:
      app: example-app
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: example-app
  egress:
  - to:
    - podSelector:
        matchLabels:
          app: example-app

应用修改后的网络策略：

kubectl apply -f allow-same-namespace.yaml

通过以上步骤，你可以在Debian上配置Kubernetes的网络策略，确保Pod之间的通信符合你的安全需求。