4. CiliumNetworkPolicy 实战：创建允许特定微服务通信的策略、Deny 策略、基于 FQDN 的策略

本章通过三个实战场景，演示如何利用 CiliumNetworkPolicy (CNP) 实现微服务间的精细化访问控制。你将掌握从“允许特定通信”到“显式拒绝”再到“基于域名出口”的完整策略编写与验证流程。

4.1 实战场景与集群环境准备

假设我们有一个运行在 Kubernetes 上的电商应用，包含以下微服务：

4.2 实战一：允许特定微服务通信的策略

目标：只允许 frontend 访问 checkout 的 8080 端口，拒绝其他所有流量。

策略定义：

apiVersion: cilium.io/v2
kind: CiliumNetworkPolicy
metadata:
  name: allow-frontend-to-checkout
  namespace: default
spec:
  endpointSelector:
    matchLabels:
      app: checkout
  ingress:
  - fromEndpoints:
    - matchLabels:
        app: frontend
    toPorts:
    - ports:
      - port: "8080"
        protocol: TCP

关键字段解析：

• endpointSelector：策略作用的目标 Pod（checkout）。
• ingress.fromEndpoints：允许的源 Pod（frontend）。
• toPorts：限制目标端口为 8080/TCP。

验证方法：

1. 进入 frontend Pod：kubectl exec -it deploy/frontend -- sh
2. 测试允许的访问：curl http://checkout:8080/health（应返回 200）。
3. 测试拒绝的访问：curl http://checkout:8081/health（应超时或拒绝）。
4. 从 inventory Pod 测试：curl http://checkout:8080/health（应被拒绝）。

4.3 实战二：Deny 策略——显式拒绝特定通信

Cilium 支持 Deny 策略，优先级高于 Allow 策略。当同时存在 Allow 和 Deny 规则时，Deny 规则优先生效。

场景：禁止 monitoring 服务访问 payment 服务，即使其他策略允许。

apiVersion: cilium.io/v2
kind: CiliumNetworkPolicy
metadata:
  name: deny-monitoring-to-payment
  namespace: default
spec:
  endpointSelector:
    matchLabels:
      app: payment
  ingressDeny:
  - fromEndpoints:
    - matchLabels:
        app: monitoring

Deny 策略与 Allow 策略的对比：

验证 Deny 策略：

1. 进入 monitoring Pod：kubectl exec -it deploy/monitoring -- sh
2. 尝试访问 payment：curl http://payment:9090/metrics（应被拒绝）。
3. 从其他 Pod（如 frontend）访问 payment：应正常（前提是有 Allow 策略）。

4.4 实战三：基于 FQDN 的策略——安全的外部出口

场景：monitoring 服务需要访问外部监控 API（例如 api.example.com），但禁止访问其他外部地址。

FQDN 策略使用 toFQDNs 字段，基于 DNS 解析结果动态生成网络规则。

apiVersion: cilium.io/v2
kind: CiliumNetworkPolicy
metadata:
  name: fqdn-egress-monitoring
  namespace: default
spec:
  endpointSelector:
    matchLabels:
      app: monitoring
  egress:
  - toFQDNs:
    - matchName: "api.example.com"
    toPorts:
    - ports:
      - port: "443"
        protocol: TCP
  - toEndpoints:
    - matchLabels:
        k8s:io.kubernetes.pod.namespace: kube-system
      matchLabels:
        k8s-app: kube-dns
    toPorts:
    - ports:
      - port: "53"
        protocol: UDP

策略说明：

• 第一条规则：允许访问 api.example.com 的 443 端口。
• 第二条规则：允许访问集群 DNS（CoreDNS），这是 FQDN 策略工作的前提——Cilium 需要拦截 DNS 请求来学习域名与 IP 的映射。

4.5 三种策略的协同关系与架构图

下图展示了三种策略在集群中的协同工作方式：

4.6 策略编写最佳实践

• 先 Deny 后 Allow：先部署 Deny 策略阻断高风险流量，再逐步开放 Allow 策略。
• FQDN 策略必须放行 DNS：缺少 DNS 规则会导致域名解析失败，FQDN 策略无法生效。
• 使用标签而非 IP：始终基于 Kubernetes 标签选择端点，避免硬编码 IP 导致策略漂移。
• 启用 Hubble 监控：通过 hubble observe --verdict DROPPED 快速定位被拒绝的流量。
• 策略命名规范：建议格式 <action>-<source>-to-<target>，例如 allow-frontend-to-checkout。