Modelo de red de contenedores

En Kubernetes cada pod recibe su propia dirección IP, y el modelo de red establece que todos los pods pueden comunicarse con todos los demás, estén en el mismo nodo o en otro, sin traducción de direcciones (NAT). Quien implementa esa red es el complemento de red (CNI) del clúster; Kubernetes define el modelo, no el producto.

Para quien defiende, la consecuencia es directa: el punto de partida es una red plana y abierta. Los espacios de nombres (namespaces) organizan los recursos, pero por sí solos no separan el tráfico. La separación hay que pedirla con políticas de red, que es el tema de la sala siguiente.

Un pod normal vive en su propio espacio de red. Existe un ajuste, llamado a menudo red del nodo (hostNetwork en el manifiesto), con el que el pod comparte la red del nodo donde corre: no recibe una dirección propia, usa la del nodo. A veces se justifica (agentes que miran el propio nodo), pero cambia lo que un defensor puede asumir: el pod alcanza interfaces del nodo y las políticas de red pueden comportarse de otro modo, según el complemento de red.

Consulta la tabla pods y fíjate en la dirección del pod frente a la del nodo y en la columna usa_la_red_del_nodo.

Los pods nacen y mueren, y su dirección cambia; por eso las aplicaciones se hablan a través de un Service, que da una dirección y un nombre estables. Hay tres tipos que importan al defensor: ClusterIP (solo alcanzable desde dentro del clúster), NodePort (abre además un puerto, por lo general entre 30000 y 32767, en todos los nodos) y LoadBalancer (pide un balanceador externo, que suele apoyarse en un puerto de los nodos).

Un servicio de consulta interna publicado como NodePort es una puerta abierta en cada nodo que nadie pensó en vigilar. Consulta la tabla servicios y compara el tipo con la función de cada servicio.

Un Service reparte el tráfico entre los pods que atiende y resuelve la pregunta «a quién llamo». No es un control de acceso: no decide quién puede llamarlo ni lo registra. Si el servicio de pagos es alcanzable desde cualquier pod del clúster, lo es con independencia de su nombre estable.

Antes de proponer ningún aislamiento se dimensiona: cuántos pods hay en el espacio sensible. Es el número que se lleva a la reunión para decir qué parte del clúster se vería afectada por una política nueva.

Consulta la tabla pods y cuenta los de un espacio.