Auf dieser Seite wird beschrieben, wie Sie Standard-Kubernetes-Netzwerkrichtlinien verwenden, um den Netzwerkverkehr in einem Cluster in Google Distributed Cloud (GDC) mit Air Gap zu steuern.
Eine Kubernetes-Netzwerkrichtlinie ist eine standardmäßige, namespacebezogene Ressource, mit der der Trafficfluss auf IP-Adressen- oder Portebene (Ebene 3 oder 4) gesteuert wird. Netzwerkrichtlinien verwenden Pod-Labels, um Pods auszuwählen und Regeln zu definieren, die angeben, welcher Traffic zu und von diesen Pods zulässig ist.
In GDC sind Netzwerkrichtlinienressourcen, die in einem Cluster erstellt werden, nur auf den Bereich dieses Clusters beschränkt. Sie können Netzwerkrichtlinienressourcen verwenden, um Regeln für den Traffic zwischen Pods und Namespaces innerhalb desselben Clusters zu definieren. Sie können jedoch nicht die zugehörigen Label-Selektoren verwenden, um Pods oder Namespaces in anderen Clustern auszuwählen.
Um den Traffic zwischen Clustern zu steuern, müssen Sie einen ProjectNetworkPolicy verwenden. Weitere Informationen finden Sie unter Übersicht über PNP. Sie können auch das Feld ipBlock in einem Kubernetes-NetworkPolicy verwenden, um organisationsfremden Traffic sowie Traffic zu und von bestimmten Knoten im Cluster zu steuern.
Sicherheit und Konnektivität
Das Standardverhalten wird vom Projekt übernommen. Wenn die Basis-ProjectNetworkPolicy vorhanden ist, ist Traffic innerhalb des Projekts standardmäßig zulässig und aller andere Traffic wird abgelehnt. Andernfalls wird der Traffic standardmäßig abgelehnt.
GDC-Netzwerkrichtlinien werden miteinander kombiniert. Wenn mehrere Richtlinien denselben Pod auswählen, werden ihre Regeln kombiniert. Traffic wird zugelassen, wenn er mit den Regeln in mindestens einer der anwendbaren Richtlinien übereinstimmt.
Vordefinierte Rollen und Zugriff vorbereiten
Zum Konfigurieren von Kubernetes-Netzwerkrichtlinien benötigen Sie die erforderlichen Identitäts- und Zugriffsrollen:
- K8s Network Policy Admin: Verwaltet Kubernetes-Netzwerkrichtlinien. Bitten Sie den IAM-Administrator Ihrer Organisation, Ihnen diese Clusterrolle zuzuweisen.
Clusterknoten mit IP-Blöcken als Ziel festlegen
Sie können das Feld ipBlock in einer NetworkPolicy-Ressource verwenden, um einzelne Knoten-IP-Adressen oder Knoten-CIDR-Bereiche anzugeben und den Traffic zu und von bestimmten Knoten in einem Standardcluster zu steuern. Zu den häufigsten Anwendungsfällen gehören:
- Webhook-Eingang von Knoten der Steuerungsebene: Ermöglichen Sie eingehenden Traffic von Knoten der Clustersteuerungsebene (API-Server) zu einem Pod, in dem ein benutzerdefinierter Kubernetes-Zulassungs-Webhook ausgeführt wird.
- Ausgehender Traffic von Pods ist auf Knoten der Steuerungsebene beschränkt: Ausgehender Traffic von einem Pod zu Knoten der Clustersteuerungsebene (API-Server) ist zulässig, während Regeln vom Typ „Standardmäßig verweigern“ ausgehenden Traffic zu Worker-Knoten blockieren.
Eine Anleitung finden Sie unter Knotenrichtlinie für den Cluster erstellen.