NetworkPolicy, lectura de reglas

Una NetworkPolicy tiene dos partes que conviene leer por separado. El selector de pods (podSelector) dice a quién se aplica: un conjunto de etiquetas, o {} para todos los pods del namespace. Las reglas (ingress para la entrada, egress para la salida) dicen qué tráfico se permite. Cada pod empieza sin aislar. En cuanto alguna política lo selecciona e incluye el tipo Ingress, solo acepta la entrada que alguna política permita.

Lo importante es que no existen reglas de denegación ni orden de evaluación. Si dos políticas seleccionan al mismo pod, lo que se permite es la unión de lo que cada una permite. Una política nueva nunca puede quitar lo que otra ya dio: para cerrar algo hay que quitarlo de donde se abrió.

La forma en que se escribe la lista from cambia el significado. Si en un mismo elemento de la lista van juntos un namespaceSelector y un podSelector, ambos se cumplen a la vez: solo los pods con esa etiqueta de ese namespace. Si van en dos elementos separados (cada uno con su guion), se suman: todos los pods de ese namespace, y además los pods con esa etiqueta del namespace de la propia política. Un guion de más cambia el alcance, y el manifiesto sigue siendo válido.

Abre politicas/metricas.yaml: hay dos políticas escritas de las dos maneras.

Un pod que ninguna política selecciona sigue aceptando tráfico de cualquiera: la ausencia de política es apertura total. Por eso, para saber qué está protegido, no basta con contar los manifiestos: hay que cruzar el selector de cada política con las etiquetas de los pods reales.

Revisa el inventario de pods y los tres archivos de políticas del namespace consultas.

Leer una política es preguntarse, regla por regla, a quién abre y a qué puerto. La más delicada es la que protege los datos: una base de datos que acepta conexiones de un namespace entero amplía mucho a quién hay que vigilar.

Si una regla no incluye la sección ports, permite todos los puertos del pod seleccionado para ese origen. No es un descuido de sintaxis, es otra forma de abrir: la política es válida y se aplica. Quien la lee debe comprobar siempre si la regla dice el puerto, igual que dice el origen.