Network Policy - 每天5分鐘玩轉 Docker 容器技術（171）

Network Policy - 每天5分鐘玩轉 Docker 容器技術（171）

CloudMan 2018-05-26

第171篇

Network Policy

Network Policy 是 Kubernetes 的一種資源。Network Policy 通過 Label 選擇 Pod，並指定其他 Pod 或外界如何與這些 Pod 通訊。

預設情況下，所有 Pod 是非隔離的，即任何來源的網路流量都能夠訪問 Pod，沒有任何限制。當為 Pod 定義了 Network Policy，只有 Policy 允許的流量才能訪問 Pod。

不過，不是所有的 Kubernetes 網路方案都支援 Network Policy。比如 Flannel 就不支援，Calico 是支援的。我們接下來將用 Canal 來演示 Network Policy。Canal 這個開源專案很有意思，它用 Flannel 實現 Kubernetes 叢集網路，同時又用 Calico 實現 Network Policy。

部署 Canal

部署 Canal 與部署其他 Kubernetes 網路方案非常類似，都是在執行了 kubeadm init 初始化 Kubernetes 叢集之後通過 kubectl apply 安裝相應的網路方案。也就是說，沒有太好的辦法直接切換使用不同的網路方案，基本上只能重新建立叢集。

要銷燬當前叢集，最簡單的方法是在每個節點上執行 kubeadm reset。然後就可以按照我們在前面 “部署 Kubernetes Cluster” 一章的 “初始化 Master” 小節中的方法初始化叢集。

kubeadm init --apiserver-advertise-address 192.168.56.105 --pod-network-cidr=10.244.0.0/16

然後按照文件 https://kubernetes.io/docs/setup/independent/create-cluster-kubeadm/ 安裝 Canal。文件列出了各種網路方案的安裝方法：

執行如下命令部署 Canal

kubectl apply -f https://raw.githubusercontent.com/projectcalico/canal/master/k8s-install/1.7/rbac.yaml
kubectl apply -f https://raw.githubusercontent.com/projectcalico/canal/master/k8s-install/1.7/canal.yaml

部署成功後，可以檢視到 Canal 相關元件：

Canal 作為 DaemonSet 部署到每個節點，地屬於 kube-system 這個 namespace。

Canal 準備就緒，下節我們將實踐 Network Policy。

書籍：

1.《每天5分鐘玩轉Kubernetes》
https://item.jd.com/26225745440.html（點選“閱讀原文”直達）

2.《每天5分鐘玩轉Docker容器技術》
https://item.jd.com/16936307278.html

3.《每天5分鐘玩轉OpenStack》
https://item.jd.com/12086376.html