Políticas de red y aislamiento entre espacios

La regla de partida de Kubernetes sorprende a quien viene de los cortafuegos: si ninguna política selecciona a un pod, ese pod acepta tráfico de cualquiera y puede salir hacia donde quiera. Un pod queda aislado en una dirección (entrada o salida) solo cuando alguna política lo selecciona y declara esa dirección. Desde ese momento, solo pasa lo que alguna política permita.

Las políticas no se contradicen: se suman. Si dos políticas seleccionan al mismo pod, lo permitido es la unión de las dos. Y para que una conexión pase entre dos pods, tienen que permitirla la salida del origen y la entrada del destino. Todo esto depende de que el complemento de red del clúster aplique las políticas; si no lo hace, se pueden crear y no tienen ningún efecto.

Abre el laboratorio y lee primero la ficha del complemento de red: confirma si las políticas tienen efecto en este clúster. Después lee las políticas por espacio y busca el espacio en alcance que no tiene ninguna, es decir, donde todos los pods aceptan tráfico de cualquiera y salen a cualquier destino.

En una política, un selector vacío ({}) no significa «ninguno» sino «todos». Un podSelector: {} selecciona todos los pods del espacio, y por eso se usa para las políticas de denegación por defecto. Un namespaceSelector: {} en una regla de entrada permite el tráfico desde pods de todos los espacios del clúster, incluidos los que no son del cliente.

La lectura de las políticas dice qué debería pasar; la prueba de conectividad del cliente dice qué pasa. Cuando las dos coinciden, el hallazgo queda confirmado sin que el evaluador lance una sola conexión. Y la prueba suele traer lo que más le importa al cliente: quién llega a sus datos que no debería.