面试题：微服务架构中Kubernetes的网络策略与安全管理

Kubernetes在微服务架构下的网络策略机制

网络策略概述：
- Kubernetes网络策略是基于Namespace、Label来定义的一组规则，用于控制Pod之间以及Pod与外部网络的流量。它是实现网络隔离和安全通信的关键组件。
- 网络策略以一种声明式的方式描述，Kubernetes网络插件（如Calico、Flannel等）负责实现这些策略。
实现微服务之间网络隔离：
- 基于Namespace隔离：不同的微服务可以部署在不同的Namespace中，默认情况下，不同Namespace之间的Pod无法通信，除非通过网络策略明确允许。例如，将用户服务部署在user - ns命名空间，订单服务部署在order - ns命名空间，初始时两者不能通信。
- 基于Label和Selector隔离：通过为Pod添加Label，如app = user - service，然后在网络策略中使用Selector（如matchLabels: {app: user - service}）来指定策略作用的目标Pod。例如，只有带有app = user - service标签的Pod才会应用针对用户服务的网络策略。这样可以精细地隔离不同微服务的Pod。
实现安全通信：
- Ingress和Egress策略：
  - Ingress策略：定义哪些源（可以是其他Pod、IP范围等）可以访问目标Pod。例如，允许app = gateway - service的Pod访问app = user - service的Pod，网络策略可以这样写：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow - gateway - to - user - service
  namespace: default
spec:
  podSelector:
    matchLabels:
      app: user - service
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: gateway - service

 - **Egress策略**：定义目标Pod可以访问哪些目的地（其他Pod、IP范围等）。比如，`app = user - service`的Pod只能访问数据库服务的Pod，策略如下：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow - user - service - to - db
  namespace: default
spec:
  podSelector:
    matchLabels:
      app: user - service
  egress:
  - to:
    - podSelector:
        matchLabels:
          app: db - service

基于端口限制：在Ingress和Egress策略中，可以进一步指定允许的端口。例如，只允许app = user - service的Pod通过TCP 8080端口访问app = gateway - service的Pod：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow - gateway - to - user - service - port - 8080
  namespace: default
spec:
  podSelector:
    matchLabels:
      app: user - service
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: gateway - service
    ports:
    - protocol: TCP
      port: 8080

基于Kubernetes网络策略的故障排查和修复

故障排查：
- 检查网络策略配置：
  - 确认网络策略是否正确应用到了目标Pod。可以通过kubectl describe networkpolicy <policy - name>命令查看策略的详细信息，包括选择的Pod和规则。例如，如果发现app = user - service的Pod无法被预期的源访问，检查对应的Ingress网络策略是否正确选择了该Pod。
  - 检查策略规则是否符合预期。查看Ingress和Egress规则中的源、目标以及端口等配置是否与需求一致。比如，确认允许访问的源Pod的Label选择器是否准确。
- 查看Pod标签：使用kubectl get pods --show - labels命令查看Pod的标签，确保网络策略选择的标签与实际Pod标签匹配。如果标签错误，可能导致网络策略无法正确应用。例如，原本应该是app = user - service的Pod，标签写成了app = user - service - v2，就会使相关网络策略失效。
- 检查Namespace设置：确认Pod所在的Namespace是否正确，不同Namespace之间的隔离策略可能影响网络访问。例如，检查是否将需要通信的两个微服务Pod放在了不同的Namespace，且没有配置允许跨Namespace通信的网络策略。
- 使用网络工具：
  - 在Pod内部使用ping、telnet或curl等工具测试网络连接。例如，在app = user - service的Pod内尝试ping或telnet目标Pod的IP地址和端口，判断是网络层还是应用层的问题。如果ping不通，可能是网络策略限制了ICMP流量。
  - 使用kubectl exec命令进入Pod执行网络测试命令。比如，kubectl exec -it <pod - name> -- ping <target - ip>，以模拟Pod内的网络环境进行测试。
修复措施：
- 调整网络策略：如果发现网络策略配置错误，根据排查结果修改网络策略。例如，如果是源Pod的Label选择器错误，修改from字段中的podSelector配置。可以通过kubectl edit networkpolicy <policy - name>命令直接编辑网络策略。
- 修正Pod标签：如果是Pod标签问题，使用kubectl label pods <pod - name> <correct - label>命令修改Pod标签，使其与网络策略匹配。例如，将错误的app = user - service - v2标签修正为app = user - service。
- 更新Namespace配置：如果是Namespace导致的问题，将Pod移动到合适的Namespace或者配置跨Namespace的网络策略。例如，将需要通信的两个微服务Pod移动到相同的Namespace，或者创建允许跨Namespace通信的网络策略。

星途面试题库

面试题：微服务架构中Kubernetes的网络策略与安全管理

知识考点

面试题答案

Kubernetes在微服务架构下的网络策略机制

基于Kubernetes网络策略的故障排查和修复