Questa pagina fornisce una panoramica di come utilizzare le policy di rete Kubernetes standard per controllare il traffico di rete all'interno di un cluster in Google Distributed Cloud (GDC) con air gap.
Un policy di rete Kubernetes è una risorsa standard con spazio dei nomi che controlla il flusso di traffico a livello di indirizzo IP o porta (livello 3 o 4). Le policy di rete utilizzano le etichette dei pod per selezionare i pod e definire le regole che specificano il traffico consentito da e verso questi pod.
In GDC, le risorse di policy di rete create all'interno di un cluster sono limitate al solo ambito di quel cluster. Puoi utilizzare le risorse dei criteri di rete per definire regole per il traffico tra pod e spazi dei nomi all'interno dello stesso cluster, ma non puoi utilizzare i relativi selettori di etichette per selezionare pod o spazi dei nomi in altri cluster.
Per controllare il traffico tra i cluster, devi utilizzare un ProjectNetworkPolicy. Per
maggiori informazioni, consulta
Panoramica di PNP. Puoi anche utilizzare
il campo ipBlock in un NetworkPolicy Kubernetes per controllare
il traffico esterno all'organizzazione e il traffico da e verso nodi specifici nel
cluster.
Sicurezza e connettività
Il comportamento predefinito viene ereditato dal progetto. Se è presente la base ProjectNetworkPolicy, il traffico all'interno del progetto è consentito per impostazione predefinita e tutto il resto del traffico viene negato. In caso contrario, il traffico viene negato per impostazione predefinita.
Le policy di rete GDC sono cumulative. Quando più criteri selezionano lo stesso pod, le relative regole vengono combinate. Il traffico è consentito se corrisponde alle regole di almeno uno dei criteri applicabili.
Preparare ruoli e accesso predefiniti
Per configurare i criteri di rete di Kubernetes, devi disporre dei ruoli di identità e accesso necessari:
- Amministratore policy di rete K8s: gestisce le policy di rete Kubernetes. Chiedi all'amministratore IAM dell'organizzazione di concederti questo ruolo del cluster.
Nodi del cluster di destinazione che utilizzano blocchi IP
Puoi utilizzare il campo ipBlock in una risorsa NetworkPolicy per specificare
intervalli CIDR o indirizzi IP dei singoli nodi e controllare il traffico da e verso
nodi specifici in un cluster standard. I casi d'uso comuni includono:
- Webhook in entrata dai nodi del control plane: consente il traffico in entrata dai nodi del control plane del cluster (server API) a un pod che esegue un webhook di ammissione Kubernetes personalizzato.
- Uscita dei pod limitata ai nodi del control plane: consente il traffico in uscita da un pod ai nodi del control plane del cluster (server API) mentre le regole di negazione predefinita bloccano il traffico in uscita verso i nodi worker.
Per istruzioni, vedi Crea una policy dei nodi intracluster.