4. 网络隔离与策略管理

在多租户 Kubernetes 集群中，网络是隔离的第一道防线。本章深入剖析 CNI 插件选型、NetworkPolicy 最佳实践、租户间网络加密以及服务网格的多租户支持，帮助你在不同隔离等级下做出最优技术决策。

4.1 CNI 插件选型：Calico、Cilium、Flannel 对比

CNI（Container Network Interface）插件决定了 Pod 网络的基本连通性与隔离能力。对于多租户场景，选型核心在于是否支持网络策略、加密通信及性能开销。

4.2 NetworkPolicy 最佳实践

NetworkPolicy 是 Kubernetes 原生的网络隔离机制，通过标签选择器定义 Pod 间的访问规则。在多租户集群中，应遵循以下实践：

• 默认拒绝所有入站/出站流量：为每个命名空间创建默认的 Deny-All 策略，然后按需开放。
• 基于租户标签的精细化控制：使用 tenant 或 team 标签区分租户，策略中引用这些标签。
• 隔离命名空间边界：禁止跨命名空间的非授权访问，除非显式声明。
• 限制外部出口流量：仅允许特定网段或 FQDN 的出站访问，防止数据泄露。

# 示例：默认拒绝所有入站流量
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: default-deny-ingress
  namespace: tenant-a
spec:
  podSelector: {}
  policyTypes:
  - Ingress

# 示例：允许同一租户内的 Pod 互相访问
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-same-tenant
  namespace: tenant-a
spec:
  podSelector: {}
  ingress:
  - from:
    - namespaceSelector:
        matchLabels:
          tenant: tenant-a

4.3 租户间网络加密（IPSec / WireGuard）

对于跨节点或跨集群的租户流量，明文传输存在安全风险。加密方案分为节点级和 Pod 级：

• 节点级加密（IPSec）：在宿主机网络层加密所有 Pod 流量，对应用透明。适用于 Calico 企业版或自建 IPSec 隧道。
• Pod 级加密（WireGuard）：Cilium 支持透明 WireGuard 加密，仅加密特定租户的 Pod 流量，性能优于 IPSec。

# Cilium 启用 WireGuard 加密（Helm 配置）
helm upgrade cilium cilium/cilium \
  --namespace kube-system \
  --set encryption.enabled=true \
  --set encryption.type=wireguard

4.4 服务网格（Istio）多租户支持

服务网格在应用层提供更细粒度的流量管理、安全与可观测性。Istio 通过以下机制支持多租户：

• 命名空间隔离：每个租户拥有独立的命名空间，部署自己的 Istio Sidecar 和配置。
• AuthorizationPolicy：基于 JWT、服务账户或请求属性的访问控制，实现租户间认证与授权。
• mTLS 加密：自动为同一网格内的服务启用双向 TLS，确保通信加密。
• 租户级遥测：通过标签和命名空间区分指标、日志和追踪数据。

# 示例：Istio AuthorizationPolicy 限制跨租户访问
apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: deny-cross-tenant
  namespace: tenant-a
spec:
  action: DENY
  rules:
  - from:
    - source:
        namespaces: ["tenant-b"]

4.5 综合策略矩阵

根据不同的隔离等级，推荐以下组合方案：